Text Salting: Wie Angreifer KI-Scanner mit verstecktem Text täuschen

Cyberkriminelle setzen zunehmend auf automatisierte Werkzeuge und raffinierte Methoden, um Sicherheitssysteme zu überlisten. Im Fokus stehen dabei vor allem Microsoft-365-Umgebungen.

ARToken-Plattform: Neue Funktionen für dauerhaften Zugriff

Die als EvilTokens bekannte Phishing-Plattform ARToken hat ihre Fähigkeiten erheblich erweitert. Neu hinzugekommen sind Funktionen zur Manipulation von Postfachregeln sowie zur Erstellung geteilter Zugriffslinks. Damit können Angreifer dauerhaften Zugriff auf Microsoft-365-Konten erlangen und eingehende E-Mails unbemerkt umleiten.

Die Erfolgsbilanz ist alarmierend: Allein in den fünf Wochen nach Februar 2026 gelang es EvilTokens, mehr als 340 Organisationen zu kompromittieren. Ein siebenstufiges Anti-Analyse-System macht die Erkennung besonders schwierig. Erst im Mai 2026 hatte das FBI vor der ähnlichen Plattform Kali365 gewarnt, die Gerätecode-Login-Prozesse missbraucht, um die Mehrfaktor-Authentifizierung zu umgehen.

Die wirtschaftlichen Schäden sind enorm. 53 Prozent der gehackten Gesundheitseinrichtungen nutzen Microsoft 365 – und die durchschnittlichen Kosten eines einzigen BEC-Vorfalls (Business Email Compromise) liegen inzwischen höher als bei einer Ransomware-Attacke. Neue Erkennungsmethoden, die am 17. Juli 2026 veröffentlicht wurden, setzen auf KQL-Abfragen, um verdächtige Klickaktivitäten mit anschließenden Regeländerungen innerhalb von sechs Stunden zu korrelieren.

Angesichts der rasanten Entwicklung von KI-gestützten Cyberangriffen und neuen gesetzlichen Anforderungen stehen viele Unternehmen vor großen Sicherheits-Herausforderungen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue Cyberrisiken und KI-Gesetze verstehen

Text-Salting: Wie KI-gestützte Scanner getäuscht werden

Ein besonders perfider Trick sorgt derzeit für Aufsehen. Seit April 2026 hat der Sicherheitsanbieter Barracuda über eine Million bösartige E-Mails identifiziert, die eine Methode namens „Text Salting“ nutzen. Dabei verstecken Angreifer harmlose Inhalte im HTML- oder CSS-Code der Nachricht – etwa durch Nullpunkt-Schriftarten oder außerhalb des sichtbaren Bereichs.

Das Ziel: KI- und Machine-Learning-Klassifikatoren in die Irre führen. Indem der unsichtbare, legitim wirkende Text den bösartigen Inhalt mengenmäßig überwiegt, stufen Sicherheitsfilter die Phishing-Mail fälschlicherweise als sicher ein. Besonders perfide: Die Angreifer nutzen zunehmend große Sprachmodelle (LLMs), um ständig neue Varianten des versteckten Texts zu generieren. Klassische Signatur-basierte Systeme kommen damit nicht mehr hinterher.

Die betrügerischen Mails locken meist mit Prämien oder Geschenkkarten und stammen von kompromittierten, eigentlich vertrauenswürdigen Domänen mit gültigen DKIM-Signaturen.

Staatliche Akteure im Visier

Auch staatlich gesteuerte Gruppen nutzen die neuen Methoden. Die mit China in Verbindung gebrachte Gruppe UNC6508 durchsuchte gezielt rund 150 Schlüsselbegriffe, um Forschungs- und Verteidigungskommunikation abzugreifen. Über kompromittierte REDCap-Server und manipulierte Google-Workspace-Regeln leiteten die Angreifer sensible E-Mails per BCC an externe Konten weiter.

Im akademischen Bereich verfolgen Forscher seit Mai 2026 die Kampagne UNK_MassTraction, die sich auf Physik- und Ingenieurfakultäten US-amerikanischer und kanadischer Universitäten konzentriert. Die Gruppe nutzt Sicherheitslücken in Roundcube-Mailservern, um Schadsoftware und Webshells zu installieren.

Psychologische Manipulationstaktiken und CEO-Fraud verursachen Rekord-Schäden, weshalb immer mehr Organisationen gezielt auf Awareness-Kampagnen zur Hacker-Abwehr setzen. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam gegen die neuesten Angriffsmethoden schützen kann. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen

Boss Scams: Deepfakes als neue Gefahr für Finanzabteilungen

Die indische Wertpapieraufsicht SEBI warnte am 17. und 18. Juli 2026 regulierte Unternehmen vor sogenannten „Boss Scams“. Bei dieser Form des CEO-Betrugs setzen Angreifer auf Deepfake-Audio und -Video, um Finanzteams zu unbemerkten Überweisungen zu bewegen. Zusätzlich nutzen die Kriminellen manipulierte ZIP-Dateien, um WhatsApp-Web-Sitzungen zu kapern und Sitzungstoken zu stehlen.

Auch kanadische Organisationen stehen unter Druck: Berichten zufolge waren 90 Prozent aller erfolgreichen Phishing-Versuche im Jahr 2025 an KI-gestützte Methoden gekoppelt. Sicherheitsexperten empfehlen daher, Gerätecode-Flüsse über Conditional-Access-Richtlinien zu blockieren und bei größeren Finanztransaktionen stets eine Bestätigung über einen zweiten Kommunikationsweg einzuholen.