Angreifer nutzen CAPTCHA- und ClickFix-Taktiken aus, um die Glaubwürdigkeit von gestohlenen Zugangsdaten zu erhöhen

Sicherheitslage und Risiko

Dies eliminiert die Notwendigkeit traditioneller Malware-Downloads vollständig, da das Opfer unwissentlich den Code des Angreifers selbst ausführt.

Die Tycoon2FA-Phishing-as-a-Service (PhaaS)-Plattform, die 1747 verfolgt wird, blieb im ersten Quartal 2026 ein zentraler Akteur in diesem Bereich, obwohl ihr Einfluss auf die CAPTCHA-geschützte Phishing-Landschaft im Laufe des Quartals nachließ.

Während Tycoon2FA Ende 2025 über drei Viertel aller CAPTCHA-geschützten Phishing-Websites beherbergte, sank dieser Anteil bis März 2026 auf nur 41 %, was zeigt, dass immer mehr Bedrohungsakteure und Phishing-Kits dieselbe Technik übernehmen.

Sicherheitslage und Risiko

Wie die Angriffskette abläuft Ein besonders auffälliges Beispiel aus dem ersten Quartal 2026 war eine große dreitägige Kampagne vom 23. bis 25. Februar 2026, die über 1,2 Millionen Phishing-Nachrichten an Benutzer in mehr als 53.000 Organisationen in 23 Ländern lieferte.

Angreifer sendeten E-Mails mit SVG-Dateianhängen, deren Namen auf das Thema der E-Mail zugeschnitten waren, wie gefälschte Rechnungsbenachrichtigungen, Zahlungsbenachrichtigungen, Erinnerungen an die 401K-Aktualisierung und Benachrichtigungen über Sprachnachrichten.

Wenn ein Empfänger die angehängte SVG-Datei öffnete, lud sein Browser still und holte Inhalte und präsentierte einen gefälschten „Sicherheitsprüfung“-CAPTCHA-Bildschirm.

Nachdem der Benutzer die gefälschte Prüfung

Nachdem der Benutzer die gefälschte Prüfung abgeschlossen hatte, wurde er auf eine gefälschte Anmeldeseite weitergeleitet, die darauf ausgelegt war, seine Kontogangsdaten zu stehlen. Eine separate Kampagne am 17.

März 2026 verdeutlichte das Ausmaß dieser Operationen. Über 1,5 Millionen bösartige HTML-Nachrichten wurden an mehr als 179.000 Organisationen in 43 Ländern gesendet, wobei jede E-Mail einen HTML-Anhang enthielt, der lokal startete und die Opfer über eine Staging-Seite umleitete, bevor er auf eine CAPTCHA-geschützte Phishing-Seite landete.

Fake-Vertraulichkeitsnachricht (Quelle – Microsoft) Die endgültigen Phishing-Seiten wurden über mehrere PhaaS-Anbieter wie Tycoon2FA, Kratos und EvilTokens gehostet. Microsoft empfiehlt Organisationen, an mehreren Fronten zu handeln, um die Anfälligkeit für diese Bedrohungen zu verringern.

Sicherheitslage und Risiko

Benutzer sollten durch regelmäßige Phishing-Simulationen und Sensibilisierungsprogramme geschult werden, damit sie gefälschte CAPTCHA-Herausforderungen und verdächtige E-Mail-Anhänge erkennen, bevor sie darauf reagieren.

Organisationen sollten Safe Links und Safe Attachments in Microsoft Defender for Office 365 aktivieren, Zero-hour auto purge (ZAP) aktivieren, um bösartige Nachrichten rückwirkend zu quarantäne, und den Netzwerkschutz in Microsoft Defender for Endpoint einschalten.

Passwortlose Authentifizierungsmethoden wie FIDO-Schlüssel oder Microsoft Authenticator sollten, wo möglich, eingesetzt werden, während Richtlinien für bedingten Zugriff eine phishing-resistente Multi-Faktor-Authentifizierung für privilegierte Konten durchsetzen sollten.

Sicherheitslage und Risiko

Zuletzt kann die Ermöglichung automatischer Angriffsunterbrechung in Microsoft Defender XDR helfen, Angriffe einzudämmen und den Sicherheitsteams mehr Zeit zur Reaktion zu geben. Sie uns auf

Der Beitrag Attackers Abuse CAPTCHA and ClickFix Tactics to Boost Credential Theft Campaigns erschien zuerst bei