Ein gestohlenes Passwort ist offenbar nicht immer nötig, um ein Konto zu übernehmen. Golem berichtet über den KI-Phishingdienst Eviltokens: Innerhalb weniger Monate wurden darüber Microsoft-Konten von mehr als 10.000 Organisationen gekapert. Laut dem Bericht geschah das ohne Passwortdiebstahl.

Für die Einordnung ist genau dieser Punkt wichtig: Wer beim Schutz von Konten nur an gestohlene Passwörter denkt, betrachtet nicht das ganze Problem. Welche Rolle die KI bei den Angriffen spielte und wie die Übernahmen technisch funktionierten, geht aus dem vorliegenden Auszug allerdings nicht hervor.

Was bedeutet das für die eigene Website? Kontoschutz und Website-Sicherheit sind unterschiedliche Aufgaben. Ein Website-Check ist deshalb nicht mit einem Schutz vor dieser Phishing-Methode gleichzusetzen. Wer die Nachricht zum Anlass nehmen möchte, auch die eigene Website unter Sicherheitsgesichtspunkten zu prüfen, kann auf check.n9c.io starten.

Quelle: Golem: Bericht über den KI-Phishingdienst Eviltokens