Phishing wird laut dem Bericht zunehmend auf das jeweilige Ziel zugeschnitten. Köder, die sich als Datei-Freigabe tarnen, konzentrieren sich auf Branchen und Rollen, in denen der Austausch von Dokumenten üblich und erwartbar ist. Das Nachahmen bekannter Marken orientiert sich an der Komplexität der eingesetzten Software. In beiden Fällen ist der Köder so gestaltet, dass er sich in die gewohnten Abläufe und Werkzeuge der Beschäftigten einfügt.

Mehr als 20 Prozent der Phishing-Angriffe nutzen Weiterleitungsketten, um die eigentliche Schadseite vor Nutzern wie vor Sicherheitswerkzeugen zu verbergen. Gut 10 Prozent davon setzen auf Linkverkürzer, wobei tinyurl (31,6 Prozent) und t.co (26,6 Prozent) dominieren. Tinyurl ist ein kostenloser Dienst, t.co wird von X/Twitter automatisch auf ausgehende Links angewendet. In beiden Fällen kann die Adresse seriös wirken, und Sicherheitsteams scheuen davor zurück, sie automatisch zu blockieren.

Seltener, aber wirkungsvoller ist BEC – und es erfordert mehr Handwerk seitens der Angreifer. Während BEC Beschäftigte innerhalb einer Organisation ins Visier nimmt, stützt sich VEC auf ein kompromittiertes Lieferantenkonto, um darüber dessen Kunden oder Zulieferer anzugreifen. Die genaue Vorgehensweise verschiebt sich mit der Unternehmensgröße: Das Vortäuschen einer VIP-Identität kommt bei kleinen Unternehmen in 43 Prozent der Angriffe vor, bei großen nur in 7 Prozent. Umgekehrt machen laterale Angriffe, bei denen ein kompromittiertes Konto ein weiteres ins Visier nimmt, in kleinen Organisationen weniger als 1 Prozent aus, in großen über 23 Prozent. Besonders anfällig dafür ist laut Abnormal der Hochschulbereich, wo 33 Prozent der BEC-Angriffe lateral verlaufen – ein Hinweis darauf, wie offene Umgebungen mit hoher Fluktuation die interne Ausbreitung begünstigen.

Knapp 40 Prozent aller BEC-Angriffe nutzen das Vertrauen aus, das Beschäftigte Kollegen, Führungskräften und internen Abteilungen entgegenbringen. 45 Prozent dieser Angriffe geben sich als namentlich genannte Kollegen ohne Leitungsfunktion aus. Allgemeine Vortäuschungen – die gefälschte Meldung des IT-Helpdesks, das HR-Update zu Sozialleistungen, der Alarm des Lohnabrechnungssystems – folgen mit 36,7 Prozent. Sie funktionieren laut Abnormal, weil Beschäftigte darauf konditioniert sind, auf Nachrichten interner Systeme zu reagieren, ohne zu prüfen, wer sie tatsächlich gesendet hat.

Der VEC-Untertyp ist inzwischen häufiger als die persönliche Identitätsvortäuschung bei klassischem BEC. In Nordamerika dominiert Rechnungsbetrug mit 42 Prozent der VEC-Kampagnen, in der Region EMEA überwiegen Vorwände aus der Beschaffungsphase mit 41 Prozent – ein Beleg dafür, dass regionale Geschäftsgepflogenheiten in die Angriffsmethoden einfließen. Besonders schwer abzuwehren ist VEC laut Abnormal, weil Abrechnung und Zahlung fester Bestandteil der täglichen E-Mail-Kommunikation zwischen Lieferanten und Kunden sind; eine vermeintlich vom Lieferanten stammende Bitte, Bankdaten zu ändern oder große Beträge zu überweisen, fällt deshalb nicht sofort als verdächtig auf.

Der Bericht erwähnt keinen kriminellen Einsatz von KI bei dieser neuen Qualität der Angriffe – quantifizieren ließe er sich ohnehin nicht. Auf der Abwehrseite empfiehlt Abnormal hingegen ausdrücklich KI, die Identität, Kontext und Inhalt analysiert, um für jeden Beschäftigten und jeden Lieferanten in der Cloud-Umgebung eine Verhaltensgrundlinie zu bilden – und so auffällig zu machen, wenn ein Angriff sich als ganz normaler Geschäftsvorgang ausgibt.