Phishing in Echtzeit: : Versicherterten-Konten fallen noch beim Login : Neue Angriffskits schleusen Einmalcodes live durch und kapern Sitzungen binnen Sekunden
Phishing gegen Versicherer und Versicherte entwickelt sich vom nachgelagerten Datendiebstahl zur unmittelbaren Kontoübernahme: Angreifer begleiten den gesamten Log-in-Vorgang live, reichen Passwörter und Einmalcodes an echte Portale weiter und übernehmen die Sitzung, während das Opfer glaubt, sich regulär anzumelden, berichtet eine Analyse von CTM360 . Während Phishing-Angriffe zuvor meist einem vertrauten Muster folgten – Zugangsdaten wurden auf einer gefälschten Seite abgegriffen, gespeichert und erst später für Kontoübernahmen oder Betrug verwendet – schrumpft diese zeitliche Trennung nun auf wenige Sekunden. Wie bei jüngsten Untersuchungen in der Versicherungsbranche herausgefunden wurde, verbinden aktuelle Kampagnen Phishing-Seiten faktisch mit dem echten Kundenportal. Das Opfer liefert Benutzername und Passwort, während die Täter dieselben Angaben parallel beim legitimen Dienst eingeben.
Vom Köder zur Live-Vermittlungsstelle
Fordert ein Versicherer ein One-Time Password (OTP) oder eine andere Mehrfaktorprüfung an, erscheint unmittelbar auch auf der Phishing-Seite eine entsprechende Eingabemaske. Das Opfer hält dies für einen normalen Schritt der Identitätsprüfung. Tatsächlich wird der Code sofort an die Täter übertragen und noch vor seinem Ablauf beim Originalportal verwendet. Die gefälschte Website arbeitet damit nicht mehr als statischer Datensammler, sondern als interaktive Vermittlungsstelle zwischen Nutzer und echtem Dienst: Anmeldung, OTP-Abgriff und Kontoübernahme bilden einen durchgängigen Prozess innerhalb derselben Browsersitzung. Selbst ein nur kurz gültiger Einmalcode schützt nicht, wenn der Nutzer ihn direkt an die Angreifer übermittelt.
Mehrfaktor-Authentifizierung (MFA) wird dadurch zwar nicht technisch ausgehebelt – die Täter missbrauchen vielmehr den vorgesehenen Ablauf, indem sie das Opfer dazu bringen, den zweiten Faktor selbst freizugeben. Das verdeutlicht jedoch die Grenzen sogenannter phishbarer Verfahren wie SMS-Codes oder zeitbasierter OTPs.
Google-Anzeigen führen in die Falle
Als Einstieg dienen der Untersuchung zufolge häufig bezahlte Google-Anzeigen bei Suchanfragen nach Versicherungsvergleichen, Vertragsverlängerungen oder günstigen Tarifen. Wer aktiv nach einer Leistung sucht, misst prominent platzierten Treffern häufig mehr Vertrauen bei als unerwarteten Links aus E-Mails oder Kurznachrichten, die Kriminelle gerne an potenzielle Opfer verschicken. Die analysierten Anzeigen warben unter anderem mit günstigen Kfz-Versicherungen oder Tarifvergleichen. Anschließend führten sie zu täuschend echt nachgebauten Portalen mit kopiertem Markenauftritt, Angebotsstrecken und Kundenbereichen. Die Angreifer passten Sprache, Gestaltung und Inhalte an die jeweilige Region an. Als Schwerpunkte der Kampagne wurden Saudi-Arabien, Europa, die Vereinigten Staaten und Indien ausgemacht.
Die technische Infrastruktur war so aufgebaut, dass einzelne Bestandteile jederzeit ersetzt werden konnten. Statt eigene Server dauerhaft zu betreiben, nutzten die Angreifer etablierte Website-Baukästen und Hosting-Plattformen wie GitHub Pages, Netlify, Hostinger, Wix und Lovable. Dort ließen sich neue Phishing-Seiten mit geringem Aufwand erstellen, veröffentlichen und nach einer Sperrung schnell unter einer anderen Adresse erneut bereitstellen.
Auffällig sei zudem die Wahl der Domains gewesen: Diese ähnelten den Namen der imitierten Versicherungen oder Dienstleister häufig nicht. Damit umgingen die Betreiber klassische Erkennungsverfahren, die vor allem nach Tippfehlern, leicht veränderten Markennamen oder bekannten Domainmustern suchen. Eine zufällig wirkende Webadresse erscheint in solchen Prüfungen zunächst unverdächtig. Gleichzeitig konnten die Angreifer Domains, Hosting-Konten und Zielseiten laufend austauschen. Wurde ein Teil der Infrastruktur entdeckt oder blockiert, blieb die Kampagne deshalb funktionsfähig und ließ sich innerhalb kurzer Zeit an anderer Stelle fortsetzen.
Versichererkonten liefern mehr als Zahlungsdaten
Digitale Versicherungsportale bündeln inzwischen zahlreiche Funktionen: Kunden schließen Verträge ab, verlängern Policen, melden Schäden, ändern persönliche Angaben, laden Dokumente hoch oder hinterlegen Zahlungsmittel. Ein kompromittiertes Konto kann deshalb weit mehr preisgeben als eine Bankverbindung. Versicherungsakten enthalten schließlich häufig Anschriften, Geburtsdaten, Ausweiskopien, Fahrzeugdaten, Schadensberichte, Vertragsinformationen und Kommunikationsverläufe. Solche Datensätze eignen sich für Identitätsdiebstahl, fingierte Schadensmeldungen, Social Engineering oder weitere zielgerichtete Angriffe. Ein erfolgreicher Zugriff kann zudem glaubwürdige Informationen für spätere Betrugsversuche liefern.
InsureOTP Kit steuert den Angriff
CTM360 identifizierte ein zuvor nicht dokumentiertes Phishing-Kit und nannte es InsureOTP Kit. Es arbeitet nicht als einfache Sammelseite, sondern als Plattform für laufende Kontoübernahmen. Beobachtet wurden eine Echtzeitüberwachung der Opfer, administrative Backend-Dashboards, manuelle Freigabeprozesse, Sitzungsverfolgung, Telegram-Bot-Integrationen, direkte Kommunikation mit Backend-APIs sowie die Live-Verarbeitung von Einmalpasswörtern (OTPs).
Einige Varianten sendeten demnach strukturierte Opferdaten sofort über Telegram-Bot-APIs, andere direkt an von den Tätern kontrollierte Server. Die Bedienoberflächen zeigten offenbar, an welchem Punkt des Anmeldevorgangs sich ein Opfer befand – Betreiber konnten darauf reagieren, Eingabeschritte freigeben oder zusätzliche Informationen anfordern. Scheiterte ein Anmeldeversuch, ließ sich über das Backend ein weiteres OTP anfordern. Die Phishing-Seite zeigte dem Opfer dann erneut eine Eingabemaske, während die Täter den Zugriff im Hintergrund wiederholten. Der Angriff wird dadurch teilweise automatisiert, bleibt aber zugleich interaktiv steuerbar.
Das Backend verrät die Kampagne
Öffentlich erreichbare Backend-Ressourcen legten administrative Komponenten, Quellcode, SQLite-Datenbanken, Betriebsdaten und Teile der unterstützenden Infrastruktur offen. Dadurch ließ sich nicht nur eine einzelne Phishing-Seite, sondern die gesamte Kampagnenlogik nachvollziehen. Solche Funde unterstreichen den Wert von Cyber-Threat Intelligence (CTI): Einzelne Domains sind bei kurzlebiger Infrastruktur oft bereits verschwunden, sobald sie in Sperrlisten auftauchen. Wiederkehrende Codebestandteile, API-Endpunkte, Telegram-Konfigurationen, Datenbankstrukturen oder Hosting-Muster können dagegen Verbindungen zwischen scheinbar unabhängigen Angriffen sichtbar machen.
Hier erweitert sich der Blick von Digital-Risk-Protection (DRP) auf CTI: Statt nur zu fragen: „Wo befindet sich die Phishing-Seite?“, lautet die weiterführende Frage: „Wie arbeitet die Kampagne?“ Erst die Verbindung aus Domains, Hosting, Werkzeugen, Backend und Täterabläufen zeigt, an welchen Stellen sich die Operation nachhaltig stören lässt.
Schutz muss während der Anmeldung greifen
Websitebetreiber sollten neben Markenmissbrauch und Lookalike-Domains auch bezahlte Anzeigen, neu registrierte Domains, kurzlebige Cloud-Infrastruktur und auffällige Authentifizierungsmuster überwachen. Hinweise liefern sehr schnelle OTP-Folgen, parallele Login-Versuche, ungewöhnliche Standortwechsel, wechselnde Gerätekennungen und wiederholt ausgelöste Prüfungen. Hilfreich sind außerdem risikobasierte Authentifizierung, kurze Sitzungslaufzeiten, erneute Prüfungen bei sensiblen Kontoänderungen und die Bindung von Sitzungen an Geräte- oder Transaktionsmerkmale. Für besonders kritische Zugriffe bieten phishingresistente Verfahren wie FIDO2 und Passkeys mehr Schutz, weil die Anmeldung kryptografisch an die echte Domain gebunden ist.
Auch Suchmaschinenwerbung gehört in die externe Angriffsüberwachung! Unternehmen sollten missbräuchliche Anzeigen schnell melden, Suchergebnisse regelmäßig kontrollieren und Kunden deutlich darauf hinweisen, Portale über gespeicherte Adressen oder offizielle Apps aufzurufen.
Eine wirksame Abwehr muss den Missbrauch heute erkennen, während die Anmeldung läuft. Sobald das Opfer Verdacht schöpft, kann der Täter bereits authentifiziert sein, persönliche Daten auslesen oder Kontoeinstellungen verändern. Moderne Phishing-Abwehr endet deshalb nicht beim Blockieren einer Website. Sie muss Identitätsschutz, Sitzungsanalyse, Infrastrukturaufklärung und Markenüberwachung miteinander verbinden.
Der vollständigen Report zur Untersuchung “Real-Time Phishing & Account Hijacking Through Fake Insurance Portals” von CTM360 ist als 13-seitiges PDF in englischer Sprache kostenfrei verfügbar.