Der zentrale Befund von Push Security lautet: Nicht erst KI habe Blocklisten geschwächt, doch sie habe die Entwicklung deutlich beschleunigt. Phishing-Infrastruktur werde seit Jahren kurzlebiger, Kampagnen verbrannten ihre Ressourcen schneller, und der Abstand zwischen Angriffen und dem Eintrag neuer Indikatoren in Blocklisten wachse weiter. Mit KI lasse sich diese Taktzahl nochmals erhöhen.
Nach Darstellung des Unternehmens erstellen Angreifer heute Phishing-Seiten in wenigen Minuten anhand von Screenshots legitimer Login-Seiten. Das Ergebnis sei eine überzeugende Oberfläche mit eigener Codebasis, die sich statischer Analyse entziehe. Gleichzeitig würden Angreifer Seiten proaktiv abschalten und neue starten, statt erst nach einer Entdeckung umzuschwenken. Damit werde Infrastruktur von Anfang an als Einwegwerkzeug betrieben.
Erschwert wird die Erkennung laut Push Security auch durch die Nutzung legitimer Dienste. Genannt werden unter anderem Cloudflare Workers, Railway, Vercel, Microsoft Dynamics, SharePoint, Adobe, Google Firebase, Google Sites, Jotform, Linode, Azure, Cloudflare und Atlassian. Dazu kämen Bot-Schutz, Referrer-Prüfungen, Browser-Fingerprinting und komplexe Umleitungsketten. Push Security erklärt, 95 Prozent der von ihm beobachteten browserbasierten Angriffe nutzten irgendeine Form von Bot-Schutz. Die Seite, die ein Crawler sehe, sei häufig nicht dieselbe wie die Seite für ein reales Opfer.
Besonders deutlich zeigt sich der Wandel laut dem Bericht beim Device-Code-Phishing. Push Security schreibt, die Methode habe sich von frühen Einsätzen in russlandbezogenen Kampagnen im Jahr 2024 bis 2026 stark verbreitet. Aus zunächst keinen kriminellen Kits im Umlauf seien mehr als 25 unterschiedliche Kits geworden. Als Beispiele nennt das Unternehmen EvilTokens, das in den ersten fünf Wochen mehr als 340 Organisationen betroffen habe, Kali365, zu dem das FBI eine Warnung veröffentlicht habe, sowie ARToken, DEBULL und Forg365. Etablierte AiTM-Anbieter wie Tycoon 2FA hätten Device-Code-Phishing zusätzlich zu bestehenden Funktionen zum Abgreifen von Zugangsdaten integriert.
Push Security beobachtete zudem Kits, die je nach Umgebung und Verhalten des Ziels dynamisch zwischen Nutzlasten wechseln. So könne zunächst Device-Code-Phishing versucht und bei Zeitüberschreitung auf AiTM zurückgefallen werden. Häufig würden diese Kits über Admin-Panels gesteuert, die festlegen, welche Nutzlast wann ausgeliefert wird. In Kombination mit sprachbasierter sozialer Manipulation werde eine schädliche Seite teils erst dann aktiviert, wenn ein Administrator dies auslöst.
Als Gegenmodell zu Blocklisten stellt Push Security die Erkennung auf Ebene der Angriffstechnik dar. Bei AiTM-Phishing bleibe etwa der grundlegende Ablauf gleich: Die Sitzung des Opfers werde über von Angreifern kontrollierte Infrastruktur geleitet, Zugangsdaten und MFA-Token würden in Echtzeit weitergereicht und die authentifizierte Sitzung abgegriffen. Bei ClickFix ändere sich zwar die Tarnung, etwa als gefälschtes CAPTCHA, Browser-Update oder Fehlermeldung, der Kern bleibe aber das Einfügen schädlicher Befehle in die Zwischenablage mit anschließender Aufforderung zur Ausführung. CrowdStrike verzeichnete bei gefälschten CAPTCHAs laut Bericht einen Anstieg um 563 Prozent.
Ein konkretes Beispiel liefert Push Security mit Forschung von Microsoft aus diesem Jahr zu einer neuartigen Phishing-Technik über OAuth-Fehlerbehandlungs-Umleitungen. Dabei werde standardkonformes Weiterleitungsverhalten ausgenutzt, um Nutzer von vertrauenswürdigen Identitätsanbieter-Domains auf von Angreifern kontrollierte Seiten umzuleiten. Aus Sicht einer URL-Filterung trage der erste Link dabei die Domain-Reputation von login.microsoftonline.com. Push Security erklärt, seine agentische Threat-Hunting-Pipeline habe aus der Microsoft-Forschung die Verhaltensmechanik der OAuth-Umleitung extrahiert statt veröffentlichte IOCs zu übernehmen. Monate später habe die Erkennung bei einer völlig anderen Kampagne ausgelöst, mit anderen Ködern, anderen Domains, anderer Infrastruktur und einem zuvor unbekannten Phishing-Kit.
Nach Angaben von Push Security führte dieselbe Pipeline auch zur Entdeckung und Erkennung von drei neuartigen browserbasierten Angriffstechniken: InstallFix, ConsentFix und LLMShare. In mehreren Fällen hätten Erkennungen bereits aktive Kampagnen blockiert, bevor die jeweilige Technik öffentlich dokumentiert worden sei. Insgesamt habe die Pipeline in den vergangenen drei Monaten mehr als 60 Kunden geschützt und rund 225 Bedrohungsinstanzen abgefangen, bevor Angreifer ein Konto kompromittieren oder Nutzer zur Interaktion mit einer Malware-Nutzlast verleiten konnten.