Zscaler führt den Rückgang nicht auf eine nachlassende Bedeutung von Phishing zurück. Auf der Veranstaltung Zenith Live in Las Vegas sagte Brett Stone-Gross, Senior Director of Threat Intelligence bei Zscaler, gegenüber Dark Reading, Angreifer würden selektiver vorgehen. Statt massenhaft zu streuen, setzten sie stärker auf zielgerichtete Angriffe. Das erfordere zwar mehr Aufwand und Ressourcen, bringe aber einen höheren Ertrag.

Stone-Gross ordnete diese Entwicklung in einen breiteren Kontext ein. Als Beispiel nannte er Ransomware-Gruppen: Anfangs hätten diese wahllos viele Opfer angegriffen und auf zahlreiche kleine Zahlungen gesetzt. Heute seien die Kampagnen deutlich gezielter und richteten sich auf Unternehmen und hohe Auszahlungen in Millionenhöhe. Nach seiner Einschätzung lässt sich ein Teil der Entwicklung bei Phishing ähnlich erklären.

Dass diese Strategie aufgeht, legen die Zahlen des FBI nahe. Laut Internet Crime Report 2025 erhielt die Behörde in den Jahren 2024 und 2025 gleich viele Beschwerden zu Phishing. Dennoch stiegen die den Betroffenen zugeschriebenen Verluste von 70 Millionen auf 215 Millionen US-Dollar. Im Jahr 2023, als das FBI 50 Prozent mehr Beschwerden als in den beiden Folgejahren registrierte, summierten sich die Verluste dagegen nur auf 18 Millionen US-Dollar.

Auch zwischen den Branchen gab es 2025 starke Ausschläge. Im Dienstleistungssektor nahm die Zahl der Phishing-Angriffe laut Zscaler um 66 Prozent zu, im Regierungsbereich um 50 Prozent. Im Bildungssektor hingegen ging sie um 66 Prozent zurück.

Regional zeigt der Bericht ebenfalls deutliche Unterschiede. Die Phishing-Aktivität brach in Kanada um 64 Prozent ein, in Spanien um 53 Prozent sowie in Australien, Deutschland, Indien und dem Vereinigten Königreich jeweils um rund 33 Prozent. In den USA fiel der Rückgang mit 13 Prozent deutlich geringer aus.

Verändert hat sich nach Zscalers Beobachtung auch die Infrastruktur der Täter. Das Hosting in Brasilien stieg um 2.522 Prozent, während Hongkong einen Rückgang von 90 Prozent verzeichnete. Global fällt vor allem der Wechsel zu Cloud-Diensten auf. Von allen Angreifer-IP-Adressen, die Zscaler-Ködersysteme registrierten, stammten 76 Prozent aus dem Adressraum von Amazon Web Services (AWS).

Stone-Gross nannte dafür mehrere mögliche Gründe. AWS-Instanzen seien vergleichsweise günstig. Zudem vermutet er, dass Amazons Abteilung für Missbrauchsmeldungen überlastet sein könnte. Er habe dies nicht nur bei Phishing, sondern auch bei anderen Bedrohungen beobachtet: Auf AWS werde viel schädlicher Inhalt gehostet.

Für Täter bietet die Nutzung etablierter Cloud-Dienste aus seiner Sicht mehrere praktische Vorteile. Die Qualität sei gut, die Konnektivität hoch, Ausfälle seien kein großes Problem, die Kosten niedrig und neue Instanzen schnell gestartet. Hinzu komme, dass kaum ein Unternehmen AWS pauschal blockiere, was beim Umgehen von Netzwerksicherheitsmaßnahmen helfen könne.

Zur Frage, ob das Sperren von IP-Adressen noch sinnvoll sei, sagte Stone-Gross, die Antwort laute sowohl ja als auch nein. Es gebe weiterhin Fälle, in denen kriminelle Aktivitäten von einer dedizierten IP-Adresse ausgingen. Bei gemeinsam genutztem Hosting könne das jedoch viele Probleme verursachen. Generell seien spezifischere Informationen hilfreicher als eine IP-Adresse allein.