Nach Darstellung von Kaseya folgt jede KI-unterstützte Phishing-Kampagne demselben Grundmuster wie herkömmliche Angriffe, nur schneller und schwerer erkennbar. Angreifer sammeln demnach zunächst Informationen aus LinkedIn, Unternehmenswebseiten und anderen öffentlichen Quellen, um ein Profil eines bestimmten Mitarbeiters zu erstellen. Innerhalb weniger Minuten wüssten sie so, mit wem die Person zusammenarbeitet, an welchen Projekten sie beteiligt ist und wie sie kommuniziert.
Auf dieser Basis erzeugt die KI laut Kaseya E-Mails, die scheinbar von vertrauten Kollegen, Kunden oder Lieferanten stammen. Die Nachrichten seien personalisiert, thematisch passend und frei von den Rechtschreibfehlern oder ungeschickten Formulierungen, an denen sich Phishing früher oft erkennen ließ. Genau darin liege für MSPs das Problem: Nicht mehr offensichtlich betrügerische Mails seien die größte Herausforderung, sondern Nachrichten, die wie legitime Geschäftskommunikation wirken.
Hinzu kommt eine weitere Entwicklung, die Kaseya als polymorphes Phishing bezeichnet. Dabei werde jede E-Mail in einer eigenen Variante erzeugt. Betreffzeilen, Absenderdetails, Formatierung und Inhalte änderten sich fortlaufend. Zusätzlich kämen vertrauenswürdige Cloud-Dienste, QR-Codes und Umleitungsketten zum Einsatz, um herkömmliche Filter zu umgehen. Weil klassische E-Mail-Gateways stark auf Signaturen und bekannte Kompromittierungsindikatoren angewiesen seien, verliere dieser Ansatz an Wirksamkeit, wenn sich jede Nachricht ständig verändert.
Wird auf einen schädlichen Link geklickt oder werden Zugangsdaten eingegeben, eskaliert der Angriff nach Kaseyas Beschreibung schnell. Angreifer könnten Sitzungstoken stehlen, Mailbox-Regeln anlegen, um ihre Aktivitäten zu verbergen, und sich innerhalb weniger Minuten durch die Umgebung des Kunden bewegen. Kaseya verweist in diesem Zusammenhang auf den „Cost of a Data Breach Report 2024“ von IBM: Demnach ist Phishing die häufigste Ursache für Datenpannen, steht für 16 Prozent der Vorfälle und verursacht im Durchschnitt Kosten von 4,8 Millionen US-Dollar pro Vorfall.
Daraus leitet das Unternehmen ab, dass Prävention allein nicht ausreicht, sobald eine Phishing-Mail den Posteingang erreicht hat. Erforderlich sei Sichtbarkeit über die E-Mail hinaus, also das Zusammenspiel von Endpunkterkennung, Überwachung von Identitäten und schneller Reaktion. Kaseya betont, dass eine Phishing-Mail zwar getarnt werden könne, nicht aber die nachfolgenden Aktivitäten bei Identität, Endpunkt und Nutzerverhalten.
Statt ausschließlich die Nachricht zu analysieren, sollten MSPs deshalb ungewöhnliche Konto- und Nutzeraktivitäten beobachten. Verhaltensanalyse und Anomalieerkennung könnten solche Warnzeichen sichtbar machen, selbst wenn die Phishing-Mail selbst völlig legitim erscheine. Einzelne verdächtige Anmeldungen oder Warnmeldungen auf Endpunkten seien für sich genommen womöglich wenig aussagekräftig. Wenn jedoch Aktivitäten aus E-Mail, Identitäten und Endpunkten zusammengeführt würden, lasse sich ein aktiver Phishing-Angriff laut Kaseya schneller erkennen und die Zahl isolierter Warnmeldungen zugleich senken.
Kaseya stellt damit ein modernes Abwehrmodell dem traditionellen E-Mail-Gateway gegenüber: Während klassische Systeme bekannte bösartige Absender und Links blockieren und sich auf Bedrohungen vor der Zustellung konzentrieren, solle moderne Phishing-Abwehr auch nach der Zustellung weiter überwachen, Kontoübernahmen, Sitzungsübernahmen und laterale Bewegungen erkennen sowie laufende Angriffe eindämmen und darauf reagieren. Das Unternehmen fasst den Wandel so zusammen: KI habe Phishing von einem Filterproblem zu einem Erkennungsproblem gemacht.