In russischen Cybercrime-Foren wird derzeit eine neue Version des Phishing-Toolkits iAuthFlow zum Verkauf angeboten. Die als iAuthFlow v2 bezeichnete Software wird f\u00fcr einen Preis von 10.000 US-Dollar gehandelt und stellt eine erhebliche Bedrohung f\u00fcr die Sicherheit von Nutzerkonten bei gro\u00dfen Dienstanbietern dar. Im Fokus der Angreifer stehen dabei insbesondere Konten von Google, Microsoft, LinkedIn sowie iCloud-Nutzer.<\/p>\n
Das Toolkit zeichnet sich durch eine technische Neuerung aus, die herk\u00f6mmliche Sicherheitsma\u00dfnahmen weitgehend wirkungslos macht. Anstatt lediglich Zugangsdaten abzugreifen, nutzt iAuthFlow v2 eine erfolgreich phishierte Sitzung, um unmittelbar einen vom Angreifer kontrollierten Passkey zu registrieren. Dieser Vorgang erfolgt automatisiert und mit hoher Geschwindigkeit.<\/p>\n
Eine Analyse von Sicherheitsexperten des Unternehmens Abnormal Security zeigt auf Basis einer Demonstration, dass zwischen dem erfolgreichen Login des Opfers und der Erstellung des b\u00f6sartigen Passkeys nur etwa 6 Sekunden vergehen. In einem dokumentierten Fall erfolgte die Anmeldung um 21:37:18 Uhr, w\u00e4hrend die Registrierung des neuen Sicherheitsschl\u00fcssels bereits um 21:37:24 Uhr abgeschlossen war.<\/p>\n
Anzeige<\/p>\n
Der Missbrauch von Login-Verfahren zeigt, wie anf\u00e4llig klassische Passw\u00f6rter gegen\u00fcber modernen Angriffsszenarien geworden sind. Dieser kostenlose Report erkl\u00e4rt die Technologie hinter Passkeys und wie Sie diese bei Amazon, Microsoft oder WhatsApp sicher einrichten. Was steckt hinter Passkeys \u2013 der Technologie, die Passw\u00f6rter f\u00fcr immer abl\u00f6sen soll?<\/a><\/p>\n Umgehung konventioneller Sicherheitsvorkehrungen<\/p>\n Die Gefahr dieser Methode liegt in ihrer Persistenz. Da der Passkey direkt im Konto des Nutzers hinterlegt wird, behalten die Angreifer den Zugriff auch dann, wenn das Passwort nachtr\u00e4glich ge\u00e4ndert oder zur\u00fcckgesetzt wird.<\/p>\n Selbst das Beenden aktiver Sitzungen (Revoke Sessions) f\u00fchrt in vielen F\u00e4llen nicht dazu, dass der unbefugt hinzugef\u00fcgte Passkey entfernt wird. Damit umgeht das Toolkit effektiv Schutzmechanismen, die bisher als phishing-resistent galten, insbesondere im Kontext von Google-Konten.<\/p>\n Die Funktionsweise basiert darauf, dass Opfer zun\u00e4chst auf eine gef\u00e4lschte Anmeldeseite gelockt werden. W\u00e4hrend die Nutzer glauben, sich bei ihrem regul\u00e4ren Dienst anzumelden, greift das Toolkit die Sitzung ab und f\u00fchrt im Hintergrund die Registrierung des Angreifer-Passkeys durch.<\/p>\n Anzeige<\/p>\n Allein in Deutschland werden pro Quartal rund 4,7 Millionen Online-Konten gehackt \u2013 oft durch raffinierte Phishing-Methoden. Erfahren Sie in diesem kostenlosen Ratgeber, wie Sie die sichere Alternative nutzen, die Hackern keine Chance mehr l\u00e4sst. Warum immer mehr Deutsche ihre Passw\u00f6rter komplett abschaffen \u2013 und was dahintersteckt<\/a><\/p>\n Eine wissenschaftliche Untersuchung der Cornell University, die Mitte August ver\u00f6ffentlicht wurde, best\u00e4tigte bereits die grunds\u00e4tzliche Sicherheitsl\u00fccke, die durch den Missbrauch von Passkeys in dieser Form entstehen kann. Die Analyse von Abnormal Security vom 21.08.2026 untermauert diese Befunde nun durch die Beobachtung des aktiv vermarkteten Toolkits in der Unterwelt.<\/p>\n