Direkte Angriffe auf Konten und Sitzungen machten etwa 18 Prozent der bestätigten bösartigen Aktivitäten aus – darunter Session Hijacking, Token-Replay, MFA-Umgehung, Credential Stuffing sowie Persistenz über Postfachregeln und OAuth-Zustimmungen. Versuche mit korrekten Passwörtern scheiterten regelmäßig: Bedingter Zugriff blockierte Anmeldungen aus kommerziellen VPNs in neuen Ländern oder von unbekannten Hosting-Anbietern, phishing-resistente MFA stoppte Adversary-in-the-Middle-Proxys.
Anders bei bereits authentifizierten Sitzungen. Ein wiedergespieltes Sitzungscookie überspringt die Authentifizierung, sodass keine Richtlinie greift; ein Refresh-Token kehrt erst bei der Einlösung zum Identitätsanbieter zurück. In Einzelfällen verzeichneten Konten binnen drei Wochen dutzende bösartige Anmeldungen mit durchgehendem Zugriff auf E-Mails. Bei zwei Organisationen nutzten Angreifer ihren Zugang weiter, obwohl das Konto bereits deaktiviert war – in einem Fall änderten sie Authentifizierungsmethoden und erteilten OAuth-Zustimmungen, während das Sicherheitsteam den Vorfall für abgeschlossen hielt.
Bei abgefangenen Zugangsdaten verriet das Timing die Relay-Infrastruktur: Auf eine Anmeldung aus einem Land folgte 16 Sekunden später eine MFA-Bestätigung aus einem anderen, beim zweiten Versuch nach 118 Sekunden. Auch MFA-Fatigue-Angriffe gelangen: Ein Angreifer sendete aus einem Residential-Proxy so lange Push-Anfragen, bis der Nutzer zustimmte; ein anderer kombinierte Brute Force, Sperrung, automatische Entsperrung und Push-Bombing, um ein neues Gerät zu registrieren.
Schadcode und Angreifer-Werkzeuge standen für rund 23 Prozent. Infostealer betrafen etwa ein Viertel der untersuchten Organisationen und kamen überwiegend über den Browser, nicht per E-Mail: kompromittierte legitime Websites, bösartige Werbung, gesponserte Suchtreffer und gefälschte CAPTCHA-Hürden (ClickFix), die automatisiertes Sandboxing durch den nötigen menschlichen Klick umgehen. Trojanisierte Installer waren der häufigste Erstzugang, ebenfalls bei rund einem Viertel der Organisationen. Eine trojanisierte Version einer populären KI-Anwendung startete aus dem Download-Ordner, deaktivierte Windows Defender, richtete eine hoch privilegierte geplante Aufgabe ein und öffnete Command-and-Control-Kanäle. Identifiziert wurden unter anderem ClearFake und SocGholish als Verteilwerkzeuge sowie Lumma Stealer, Vidar, HijackLoader und AsyncRAT als Payloads. Die SocGholish-Infrastruktur wurde am 18. Juni 2026 im Rahmen der Operation Endgame gestört, das Modell gefälschter Update-Hinweise nutzen ClearFake und andere Gruppen jedoch weiter. In einem Fall entschlüsselte ein Skript den Cookie-Speicher des Browsers, extrahierte Microsoft-Authentifizierungscookies und stellte damit authentifizierte API-Anfragen.
Credential-Phishing war mit rund 28 Prozent die größte Einzelkategorie und zielte vor allem auf Zugangsdaten und Sitzungen statt auf Schadsoftware. Betroffen waren wiederholt dieselben Personen, etwa eine Finanzführungskraft mit dutzenden Kampagnen in drei Monaten, sowie ein automatisiertes Postfach zur Rechnungsverarbeitung ohne menschlichen Nutzer. Die Mails kamen häufig über vertrauenswürdige Infrastruktur wie legitime Kollaborationsplattformen und Cloud-Maildienste; eingesetzt wurden Unicode-Zeichen in Betreffzeilen, neu registrierte und typosquattierte Domains sowie Tracking-Pixel. Eine gefälschte Nachricht erreichte trotz gescheiterter SPF-, DKIM- und DMARC-Prüfung mehr als ein Dutzend Postfächer. Ohne automatisierte Bereinigung lag ein CEO-Betrugsköder fast einen ganzen Arbeitstag im Postfach einer Finanzdirektorin.
Vorbereitungshandlungen für Ransomware und manuelle Angreiferaktivität machten rund 9 Prozent aus – meist auf Geräten ohne Endpunkt-Agent. Ein mehrwöchiger Angriff auf Zugangsdaten traf einen produktiven Identitätsserver ohne Endpunktabdeckung, eine sechswöchige Lateral-Movement-Kampagne begann auf einem unverwalteten Host. Zum Auslesen von Anmeldedaten dienten legitime Windows-Werkzeuge wie Bedienungshilfen, Task-Manager und Fehlerberichterstattung für den Zugriff auf LSASS; andere lasen über Schattenkopien aus der Registry. Bei rund 15 Prozent der Organisationen hielten Angreifer den Zugang über kommerzielle Fernwartungssoftware aufrecht.
Als einzig wirklich neues Ereignis nennt Prophet Security einen KI-Agenten, der einen vollständigen Einbruch durchführte – begonnen während einer Modellevaluierung mit abgeschalteten Sicherheitseinstellungen und schließlich vom Sicherheitsteam eines anderen Unternehmens entdeckt. Drei der vier Befunde teilen ein Merkmal: Der Zugriff überlebt ein Zurücksetzen des Passworts – gestohlene Sitzungscookies, versteckte Postfachregeln und dauerhaft installierte Fernwartungswerkzeuge.