Jenseits des Angebots: Dekonstruktion fortgeschrittener RFQ-Phishing-Kampagnen, die Geschäft Vertrauen ausnutzen

Jenseits des Angebots: Dekonstruktion fortgeschrittener RFQ-Phishing-Kampagnen, die Geschäft Vertrauen ausnutzen

In der sich ständig weiterentwickelnden Landschaft der Cyberbedrohungen verfeinern Angreifer kontinuierlich ihre Social-Engineering-Taktiken, um konventionelle Sicherheitskontrollen zu umgehen. Ein besonders heimtückischer Trend besteht darin, dass Bedrohungsakteure ausgeklügelte Phishing-Kampagnen als legitime Geschäftsmöglichkeiten tarnen und dabei das inhärente Vertrauen und die operativen Abläufe in Unternehmensumgebungen ausnutzen. Aktuelle Informationen zeigen einen signifikanten Anstieg von Angriffen, die sich als Angebotsanfragen (RFQs – Requests for Quotation) tarnen, eine alltägliche Interaktion in Vertriebs- und Beschaffungs-Workflows.

Die Eskalierende Bedrohung durch RFQ-basiertes Phishing

Die Cybersicherheitsforscherin Cadence Riddle von Fortra hat zwischen Oktober 2025 und September 2026 einen erschreckenden 12-fachen Anstieg bösartiger E-Mails, die explizit „RFQ“ erwähnen, akribisch verfolgt. Dieses exponentielle Wachstum unterstreicht eine kalkulierte Verschiebung in der Angreifer-Methodik, die genau die Prozesse ins Visier nimmt, die den Geschäftsbetrieb antreiben. Die Wirksamkeit dieser Täuschung ist alarmierend: In fast 73% der beobachteten Fälle wurden Empfänger, die mit diesen betrügerischen Mitteilungen interagierten, auf Seiten geleitet, die sorgfältig darauf ausgelegt waren, Anmeldeinformationen zu stehlen. Diese hohe Konversionsrate unterstreicht die psychologische Wirksamkeit der Vortäuschung eines vielversprechenden Geschäftsauftrags, der die Eile von Vertriebs- und Beschaffungsteams ausnutzt, auf potenzielle Einnahmequellen zu reagieren.

Der initiale Vektor umfasst typischerweise kurze, scheinbar harmlose Nachrichten von kompromittierten Geschäfts-E-Mail-Konten. Diese Nachrichten zeichnen sich oft durch eine trügerische Kürze und Dringlichkeit aus und fragen, ob ein Unternehmen ein Angebot für ein bevorstehendes Projekt unterbreiten kann. Solche Anfragen sind für viele Organisationen alltäglich, was es ohne akribische Prüfung von Natur aus schwierig macht, sie als verdächtig zu kennzeichnen. Die Bedrohungsakteure nutzen diese operative Vertrautheit aus und verwandeln eine routinemäßige Geschäftsanfrage in eine hochwahrscheinliche Operation zur Erfassung von Zugangsdaten.

Anatomie eines Phishing-Angriffs auf Geschäftschancen

Das Verständnis der mehrstufigen Natur dieser Angriffe ist entscheidend für eine robuste Verteidigung:

• Initiale Kompromittierung und Aufklärung: Bedrohungsakteure nutzen oft zuvor kompromittierte Konten oder führen Open-Source-Intelligence (OSINT) durch, um Zielorganisationen und deren Schlüsselpersonal in Vertrieb, Beschaffung oder Finanzen zu identifizieren. Diese Vorkampagnen-Aufklärung ermöglicht maßgeschneiderte Spear-Phishing-Versuche.
• Social-Engineering-Köder (RFQ): Das Kernstück des Angriffs ist die RFQ-E-Mail. Diese sind so konzipiert, dass sie legitim erscheinen, oft eine generische, aber überzeugende Sprache verwenden und manchmal echte Firmennamen nachahmen oder plausible Projekttypen referenzieren. Die E-Mail-Adresse des Absenders könnte gefälscht sein oder von einem kompromittierten Konto stammen, was einen Anschein von Authentizität vermittelt.
• Bereitstellung bösartiger Nutzlasten: Anstelle eines legitimen RFQ-Dokuments oder Portals enthält die E-Mail einen Link zu einer Website zur Erfassung von Zugangsdaten. Diese Websites sind oft sorgfältig gestaltet, um gängige E-Mail-Dienstanbieter (z.B. Microsoft 365, Google Workspace) oder unternehmensweite Single-Sign-On (SSO)-Portale nachzuahmen.
• Erfassung von Zugangsdaten: Sobald ein Benutzer seine Zugangsdaten auf der gefälschten Anmeldeseite eingibt, werden die Daten an den Bedrohungsakteur exfiltriert. Dies gewährt dem Angreifer sofort unbefugten Zugriff auf das E-Mail-Konto des Opfers und potenziell andere integrierte Unternehmenssysteme.
• Ausnutzung nach der Kompromittierung: Mit Zugriff auf ein legitimes Geschäfts-E-Mail-Konto initiieren Bedrohungsakteure Business Email Compromise (BEC)-Schemata, leiten Zahlungen um, exfiltrieren sensible Daten oder starten weitere Phishing-Kampagnen intern und extern, wobei sie das Vertrauen des kompromittierten Kontos ausnutzen.

Fortgeschrittene Taktiken, Techniken und Verfahren (TTPs)

Moderne RFQ-Phishing-Kampagnen weisen ausgeklügelte TTPs auf, die über einfaches Massen-Phishing hinausgehen:

• Domain-Impersonation & Typo-Squatting: Angreifer registrieren ähnlich aussehende Domains, die visuell legitimen Organisationen ähneln, und verlassen sich auf leichte Rechtschreibfehler oder alternative Top-Level-Domains (TLDs), um Empfänger zu täuschen.
• Dynamische URL-Generierung: Phishing-Links enthalten oft Base64-Kodierung, URL-Verkürzer oder Umleitungsketten, um die statische URL-Analyse durch E-Mail-Sicherheits-Gateways (ESGs) zu umgehen. Sie könnten auch dynamisch einzigartige URLs pro Empfänger generieren.
• Missbrauch legitimer Dienste: Das Hosten von Phishing-Seiten auf kompromittierten legitimen Websites oder die Nutzung legitimer Cloud-Dienste (z.B. SharePoint, Google Docs) zum Hosten bösartiger Dokumente oder Umleitungen zu Websites zur Erfassung von Zugangsdaten.
• Anti-Analyse-Techniken: Phishing-Seiten können CAPTCHAs, IP-Blacklisting oder User-Agent-Prüfungen enthalten, um automatisierte Analysetools und Sicherheitsforscher abzuschrecken.

Proaktive Verteidigung und Robuste Minderungsstrategien

Die Bekämpfung dieser fortgeschrittenen Phishing-Bedrohungen erfordert eine mehrschichtige, proaktive Sicherheitsstrategie:

• Verbesserte E-Mail-Sicherheits-Gateways (ESGs): Implementieren Sie ESGs mit erweiterten Bedrohungsschutzfunktionen, einschließlich Sandboxing, URL-Rewriting, Echtzeit-Link-Analyse und KI-gestützter Anomalieerkennung für eingehenden E-Mail-Verkehr.
• Mehrfaktor-Authentifizierung (MFA): Führen Sie eine obligatorische MFA für alle Unternehmenskonten ein, insbesondere für E-Mails und kritische Geschäftsanwendungen. MFA reduziert die Auswirkungen der Zugangsdatenerfassung erheblich, indem ein zweiter Verifizierungsfaktor erforderlich ist.
• Umfassende Sicherheitsschulungen: Schulen Sie Mitarbeiter, insbesondere in Vertrieb, Beschaffung und Finanzen, regelmäßig im Erkennen von Phishing-Versuchen. Betonen Sie Wachsamkeit bei ungewöhnlichen Absenderdetails, generischen Begrüßungen, dringenden Anfragen und verdächtigen Links. Führen Sie simulierte Phishing-Übungen durch.
• Endpunkterkennung und -reaktion (EDR) & Erweiterte Erkennung und Reaktion (XDR): Implementieren Sie EDR/XDR-Lösungen zur Überwachung von Aktivitäten nach der Kompromittierung, zur Erkennung anomalen Verhaltens und zur schnellen Reaktion auf potenzielle Sicherheitsverletzungen, die aus Zugangsdatendiebstahl resultieren.
• Domain-Überwachung und Markenschutz: Überwachen Sie proaktiv auf Typo-Squatting-Domains und Markenimpersonationen, die in zukünftigen Angriffen verwendet werden könnten.
• Starke Zugriffskontrollen und Geringstes Privileg: Beschränken Sie den Zugriff auf sensible Systeme und Daten nach dem Prinzip des geringsten Privilegs, wodurch die Ausbreitung im Falle einer Kontokompromittierung reduziert wird.

Digitale Forensik und Incident Response (DFIR) – Den Gegner Enttarnen

Wenn ein RFQ-Phishing-Vorfall auftritt, ist eine gründliche forensische Analyse für Eindämmung, Beseitigung und zukünftige Prävention von größter Bedeutung:

• E-Mail-Header-Analyse: Überprüfen Sie vollständige E-Mail-Header auf SPF-, DKIM- und DMARC-Authentifizierungsergebnisse, Absender-IP-Adressen und Routing-Pfade, um Spoofing-Versuche oder kompromittierte legitime Absender zu identifizieren.
• URL- und Link-Analyse: Dekonstruieren Sie bösartige URLs, um Umleitungen, endgültige Landingpages und die Hosting-Infrastruktur zu identifizieren. Tools zur Reputationsprüfung und Sandbox-Analyse sind hier entscheidend.
• Erweiterte Telemetrie-Erfassung: Für eine tiefere forensische Analyse und Bedrohungsakteur-Attribution setzen Sicherheitsforscher oft spezialisierte Tools zur Link-Analyse ein. Dienste wie grabify.org können bei der Untersuchung verdächtiger URLs von unschätzbarem Wert sein, um erweiterte Telemetriedaten wie IP-Adressen, User-Agent-Strings, ISP-Details und eindeutige Gerätekennungen zu sammeln. Diese Daten liefern kritische Informationen für die Netzwerkaufklärung, unterstützen die Identifizierung der Angreifer-Infrastruktur und potenziellen geografischen Ursprünge und stärken so die Incident-Response-Bemühungen und die Bedrohungsdaten-Sammlung.
• Protokollanalyse: Analysieren Sie Mailserver-Protokolle, Proxy-Protokolle, Webserver-Protokolle und Authentifizierungsprotokolle, um die Ausbreitung des Angriffs zu verfolgen, kompromittierte Konten zu identifizieren und das Ausmaß des unbefugten Zugriffs zu bewerten.
• Integration von Bedrohungsdaten: Korrelieren Sie Indicators of Compromise (IoCs) mit bestehenden Bedrohungsdaten-Feeds, um bekannte Angreifer-Infrastrukturen, TTPs und Kampagnenüberschneidungen zu identifizieren.

Fazit

Die Instrumentalisierung routinemäßiger Geschäftskommunikation, insbesondere von RFQs, stellt eine ausgeklügelte Entwicklung in den Phishing-Taktiken dar. Da Bedrohungsakteure weiterhin das Vertrauen in Geschäftsinteraktionen ausnutzen, müssen Organisationen eine robuste, mehrschichtige Cybersicherheitsstrategie implementieren, die fortschrittliche technische Kontrollen mit kontinuierlicher menschlicher Wachsamkeit kombiniert. Proaktive Verteidigung, gepaart mit schneller und gründlicher digitaler Forensik, bleibt der Eckpfeiler des Schutzes von Unternehmensressourcen vor diesen betrügerischen Geschäftschancen-Betrügereien.