Wie Angreifer reguläre Zugänge nutzen
Die irische Datenschutzaufsicht hat Google wegen der Verarbeitung von Standortdaten ein Bußgeld von 403 Millionen Euro auferlegt. Ihre Untersuchung betrifft den Zeitraum von Mai 2018 bis Februar 2020 und mehrere Funktionen, darunter den Standortverlauf und „Web & App Activity“. Google verweist auf Änderungen, die es seit 2019 vorgenommen habe, etwa zusätzliche Löschmöglichkeiten und eine veränderte Speicherung von Standortdaten. Die Aufsicht verlangt dennoch, die Verarbeitung binnen sechs Monaten mit der DSGVO in Einklang zu bringen. Sie beanstandet unter anderem, dass Informationen zu lange gespeichert wurden und Nutzer nicht ausreichend erkennen konnten, wofür ihre Aufenthaltsorte ausgewertet wurden. Gerade aus solchen Angaben lassen sich nach Auffassung der Behörde persönliche Interessen und private Lebensumstände erschließen.
Forescout hat in einer Untersuchung von 47.700 Netzsegmenten festgestellt, dass Geräte der Betriebs- und Gebäudetechnik häufig mit Büro-IT und anderen Geräteklassen im selben Segment liegen. Das allein sagt noch nicht, ob sie uneingeschränkt miteinander kommunizieren können, denn dafür sind die tatsächlichen Zugriffsregeln maßgeblich. Die Befunde geben aber Anlass, etwa die Reichweite von Fernwartungszugängen genauer zu prüfen. Bei einem Energieversorger wäre dabei besonders relevant, ob ein kompromittierter Zugang bis zur Anlagensteuerung führen könnte. Auch ENISA beschreibt in ihrem neuen Lagebild die Folgen solcher Abhängigkeiten. Der Bericht wertet Ereignisse aus dem Jahr 2025 aus und zeigt, wie sich ein Angriff über Dienstleister und gemeinsam genutzte Infrastruktur auf weitere Organisationen auswirken kann.
CheckPoint warnt unterdessen vor zwei bereits ausgenutzten Sicherheitslücken, für die unterschiedliche Korrekturen erforderlich sind. Der Fehler in der VPN-Zertifikatsverarbeitung lässt sich seit dem 9. September beheben; für die neu veröffentlichte Managementlücke CVE-2026-93616 steht jetzt ebenfalls ein Patch bereit. Die zuvor ausgelieferten LivePatch-Versionen Take 28 und 29 schließen diese Lücke ausdrücklich nicht. Hinzu kommt, dass Check Point einzelne Angriffe auf das Managementsystem bereits auf den 23. Juli zurück datiert. DiePrüfung des aktuellen Softwarestands muss deshalb mit einer Untersuchung der zurückliegenden Aktivitäten verbunden werden, damit ein bereits erfolgter Einbruch nicht unbemerkt bleibt.
PaloAlto Networks bietet für die Suche nach solchen Angriffsmöglichkeiten inzwischen fortlaufende Tests an, bei denen mehrere KI-Modelle mit dem Fachwissen von Unit 42 kombiniert werden. Der Dienst ist als Jahresabonnement erhältlich; die veröffentlichten Angaben zu seiner Leistungsfähigkeit beruhen auf Untersuchungen des Anbieters. Ob sich ein solches Angebot lohnt, dürfte wesentlich davon abhängen, wie viele bestätigte Schwachstellen anschließend behoben werden und wie viel Arbeit dafür im Unternehmen anfällt. Auf der Angreiferseite untersucht Cisco Talos unterdessen die Schadsoftware ClosedQuorum, in der Sprachmodelle über die nächsten Aktionen nach einer Infektion entscheiden sollen. Die Forschenden konnten diesen Ablauf im Code nachvollziehen, haben aber weder einen Einsatz bei realen Angriffen noch einen vollständigen Programmlauf bestätigt.
Beim Onlinehändler Master of Malt konnten Angreifer über einen gestohlenen Schlüssel der Zusatzanwendung Ribon Kundendaten aus der BigCommerce-Umgebung abrufen. Nach Angaben des Unternehmens waren Namen und Kontaktdaten zugänglich, während Passwörter und Zahlungsinformationen in einem getrennten, nicht kompromittierten System lagen. BigCommerce entfernte die betroffene Anwendung und sperrte den Schlüssel. Der Händler warnt seine Kunden vor gezielten Betrugsversuchen mit den entwendeten Angaben und will mit BigCommerce erreichen, dass sich die Rechte angebundener Anwendungen künftig genauer begrenzen lassen.
Bei den EvilToken-Angriffen meldeten sich die Betroffenen auf Microsofts regulärer Website an, ohne zu erkennen, dass sie damit einem Fremden Zugriff auf ihr Postfach gewährten. Die Täter hatten den Anmeldevorgang selbst gestartet und den dazugehörigen Gerätecode unter einem Vorwand an ihre Opfer weitergegeben. Wer diesen Code eingab und die Anmeldung einschließlich Mehrfaktor-Authentifizierung abschloss, autorisierte damit die Sitzung des Angreifers. Microsoft hat inzwischen gemeinsam mit Partnern Teile der Infrastruktur des Dienstes ausgeschaltet. In bereits betroffenen Unternehmen bleibt jedoch zu klären, welche Sitzungen noch offen sind und welche Zugriffstokens weiterhin gelten. Solange diese nicht widerrufen werden, kann der unbefugte Zugriff auch nach einem Passwortwechsel fortbestehen.
Quellen
- BleepingComputer: BigCommerce alerts merchants of data breach linked to Ribon apps, 21.09.2026.
https://www.bleepingcomputer.com/news/security/bigcommerce-alerts-merchants-of-data-breach-linked-to-ribon-apps/ - BleepingComputer: EvilTokens PhaaS disrupted after compromising 12,000 Microsoft accounts, 22.09.2026.
https://www.bleepingcomputer.com/news/security/eviltokens-phaas-disrupted-after-compromising-12-000-microsoft-accounts/ - Check Point Blog: Security Advisory – Action Required – Active Exploitation of CVE-2026-85102 and a Management Pre-Authentication Vulnerability CVE-2026-93616, 22.09.2026.
https://blog.checkpoint.com/security/security-advisory-action-required-active-exploitation-of-cve-2026-85102-and-a-management-pre-authentication-vulnerability-cve-2026-93616/ - Cisco Talos: The Closed Quorum: Inside the first reported autonomous AI C2 implant, 22.09.2026.
https://blog.talosintelligence.com/the-closed-quorum-inside-the-first-reported-autonomous-ai-c2-implant/ - Data Protection Commission Ireland: Data Protection Commission fines Google €403 million following Inquiry into Google’s processing of location data, 21.09.2026.
https://dataprotection.ie/en/news-media/latest-news/data-protection-commission-fines-google-eu403-million-following-inquiry-googles-processing-location - ENISA: Exploring the evolution of the cyber threat landscape: How dependencies weaken our digital resilience, 22.09.2026.
https://www.enisa.europa.eu/news/exploring-the-evolution-of-the-cyber-threat-landscape-how-dependencies-weaken-our-digital-resilience - Forescout: What 47,700 Segments Reveal About Network Segmentation, 22.09.2026.
https://www.forescout.com/blog/what-47700-segments-reveal-about-network-segmentation/ - Huntress: How EvilTokens Turbocharges Old School Phishing with AI, 11.05.2026; Hintergrund zur Meldung vom 22.09.2026.
https://www.huntress.com/blog/device-code-phishing-ai-mfa-bypass - Master of Malt: Sorry, ab 18.09.2026; neue Berichterstattung am 21.09.2026.
https://www.masterofmalt.com/sorry/ - Microsoft: Disrupting EvilTokens: The AI Chatbot Built for Cybercrime, 22.09.2026.
https://blogs.microsoft.com/on-the-issues/2026/09/22/disrupting-eviltokens-the-ai-chatbot-built-for-cybercrime/ - Microsoft Security Blog: Inside an AI-enabled device code phishing campaign, 06.04.2026 – technische Hintergrundanalyse.
https://www.microsoft.com/en-us/security/blog/2026/04/06/ai-enabled-device-code-phishing-campaign-april-2026/ - PR Newswire/ Palo Alto Networks: Palo Alto Networks Delivers Anthropic’s Mythos and OpenAI’s GPT-5.6 to Customers with Unit 42 Continuous Frontier AI Defense, 22.09.2026.
https://www.prnewswire.com/news-releases/palo-alto-networks-delivers-anthropics-mythos-and-openais-gpt-5-6-to-customers-with-unit-42-continuous-frontier-ai-defense-302885013.html - Reuters: Irish privacy regulator fines Google €403 million over location data processing, 21.09.2026.
https://www.reuters.com/business/media-telecom/irish-regulator-fines-google-403-million-over-location-data-processing-2026-09-21/
