FTC warnt: Massive Betrugswelle mit gefälschten Event-Einladungen

Die Täter kapern E-Mail-Konten und verschicken scheinbar harmlose Party- oder Event-Einladungen – doch dahinter steckt raffinierte Schadsoftware.

So funktioniert die Masche

Die Angreifer nutzen gekaperte Accounts, um Einladungen zu verschicken, die von Freunden oder bekannten Dienstleistern zu stammen scheinen. Je nach Gerät unterscheidet sich die Methode: Wer die Einladung am Computer öffnet, wird oft aufgefordert, einen Link anzuklicken. Der lädt eine EXE-Datei herunter – und die installiert Schadsoftware auf dem Rechner.

Anzeige: Die FTC warnt vor einer massiven Betrugswelle mit gefälschten Event-Einladungen – Ihre E-Mail-Konten sind das Ziel. Dieser Report liefert eine konkrete Checkliste zur Erkennung, 2FA-Einrichtung und einen Notfallplan bei Kompromittierung. Jetzt kostenlosen Sicherheits-Report anfordern

Smartphone-Nutzer erwartet eine andere Falle. Hier führt der Link zu einer gefälschten Anmeldeseite. Die fordert zur Eingabe des E-Mail-Passworts auf – angeblich, um die Einladung anzuzeigen. In Wahrheit übergeben die Opfer den Angreifern damit die Schlüssel zu ihrem Konto. Besonders perfide: Die Betrüger nutzen die frisch gekaperten Accounts sofort, um weitere Einladungen an die Kontaktliste zu schicken.

Betroffen sind unter anderem Nachahmungen bekannter Dienste wie Punchbowl oder Evite. Sicherheitsexperten von VanishInbox betonen: Seriöse Einladungsdienste verlangen niemals ein E-Mail-Passwort, um eine Einladung anzusehen. Außerdem verschicken sie ihre Nachrichten stets von geprüften, offiziellen Domains.

Kalender-Fallen und Gruppen-Invasion

Eine besonders tückische Variante trägt den Namen „CalPhishing“. Hier missbrauchen Angreifer Microsoft 365-Gruppen und Outlook-Kalender-Einladungen. Sie übernehmen oder erstellen Gruppen mit vertrauenswürdig klingenden Namen wie „IT-Support“. Dann fügen sie ihre Opfer hinzu.

Der Clou: Selbst wenn die ursprüngliche Einladungs-E-Mail gelöscht wird, bleiben die Kalendereinträge und die darin versteckten Schadlinks oft sichtbar. Die Sicherheitsfirma Fortra empfiehlt Unternehmen daher, Benachrichtigungen von externen Gruppen grundsätzlich zu blockieren und die Sicherheitsüberwachung über alle Kanäle hinweg auszuweiten.

WhatsApp als Einfallstor

Die Angriffswelle beschränkt sich längst nicht mehr auf E-Mails. Zwischen dem 22. und 23. Juni 2026 wurde eine Kampagne beobachtet, die über gekaperte WhatsApp-Konten läuft. Die Täter verschicken VBScript-Dateien, getarnt als Geschäftsdokumente. Die Kampagne ist global – betroffen sind Länder wie Großbritannien, Indien, Brasilien, Mexiko, Singapur und Australien.

Wird die Datei auf einem Windows-System geöffnet, deaktiviert sie die Benutzerkontensteuerung (UAC) und installiert ManageEngine Endpoint Central. Das Tool gibt den Angreifern die volle Fernsteuerung über den Rechner. Kaspersky-Forscher berichten zudem von chinesischen Sprachhinweisen in einigen dieser Dateien.

Parallel dazu treiben sogenannte „Boss Scams“ ihr Unwesen. Kriminelle geben sich per E-Mail oder WhatsApp als Führungskräfte aus. Sie verschicken gefälschte Geschäftsdokumente, die beim Öffnen Schadsoftware installieren. Ziel ist meist die unrechtmäßige Überweisung von Firmengeldern. Die indische Sicherheitsbehörde I4C rät: Jede dringende Zahlungsaufforderung sollte grundsätzlich über einen separaten Kommunikationsweg verifiziert werden.

Anzeige: Kalender-Fallen und Gruppen-Invasion: Angreifer nutzen Microsoft 365-Gruppen und Outlook-Kalender, um Schadlinks zu platzieren – selbst nach Löschen der Einladung. Erfahren Sie, wie Sie Benachrichtigungen von externen Gruppen blockieren und Ihre Sicherheitsüberwachung ausweiten. Sicherheits-Report mit Kalender-Schutz jetzt sichern

So schützen Sie sich

Die FTC und Cybersicherheitsexperten empfehlen konkrete Schutzmaßnahmen:

• Kein Passwort preisgeben: Kein seriöser Dienst verlangt Ihr E-Mail-Passwort, um eine Einladung anzuzeigen.
• Konto sofort prüfen: Bei Verdacht auf Kompromittierung sofort das Passwort ändern und nach unbekannten Weiterleitungsregeln suchen.
• Zwei-Faktor-Authentifizierung aktivieren: 2FA bietet eine entscheidende zusätzliche Sicherheitsebene.
• Absender genau prüfen: Seien Sie misstrauisch bei unerwarteten Einladungen – selbst von bekannten Kontakten. Prüfen Sie die tatsächliche E-Mail-Domain, bevor Sie auf Links klicken oder Dateien herunterladen.

de | wissenschaft | 69614208 |