So funktioniert es
Eine Harvesting-Seite kopiert den Login-Bildschirm einer Brand und greift alles ab, was das Opfer eingibt, und leitet es manchmal in Echtzeit an die echte Seite weiter, um Multi-Faktor-Authentifizierung auszuhebeln. Die gestohlenen Zugangsdaten werden dann direkt genutzt, verkauft oder in Credential-Stuffing-Tools gegen andere Dienste eingespeist.
Diese Seiten werden mit Phishing-Kits massenhaft erstellt und auf Lookalike- oder kompromittierten Domains gehostet.
Bezug zur Brand-Impersonation
Credential Harvesting ist der Ertrag der meisten Brand-Impersonation-Phishing-Angriffe: Ihre Login-Seite, gefälscht, um den Zugang Ihrer Kunden zu stehlen. Die Seite zu entfernen stoppt das Sammeln.
So hilft nebty
nebty erkennt Harvesting-Seiten, die Ihren Login imitieren, und entfernt sie auf Abruf, mit parallelem Blacklisting, damit Nutzer während des Takedowns gewarnt werden.
Warum MFA keine vollständige Antwort ist
Harvesting war früher einfach: Ein gefälschter Login griff Benutzername und Passwort ab, und Multi-Faktor-Authentifizierung machte die Wiederverwendung des Gestohlenen weitgehend zunichte. Angreifer passten sich an. Moderne Harvesting-Kits leiten den Login in Echtzeit an die echte Seite weiter, sodass das Opfer den echten MFA-Schritt abschließt und das Kit das resultierende Sitzungs-Token abgreift, das den Angreifer mit bereits erfüllter MFA anmeldet. Deshalb zählen phishing-resistente Verfahren wie Passkeys und Hardware-Schlüssel, denn sie binden den Login an die echte Domain und authentifizieren nicht gegen einen Lookalike. Für alle anderen ist die Seite selbst der Schwachpunkt: Sie liegt auf einer Lookalike- oder kompromittierten Domain, die das Monitoring erkennen kann, und sie zu entfernen, mit parallelem Blacklisting, stoppt das Sammeln unabhängig davon, welche MFA die Opfer nutzten.
Ein konkretes Beispiel
Auf solara-finance-login.com geht eine Harvesting-Seite live, ein Klon der Solara-Finance-Anmeldung, gespeist von einer SMS-Kampagne. Über ein Wochenende sammelt sie mehrere hundert Zugangsdaten-Paare, jedes in Echtzeit an die echte Seite weitergereicht, sodass die Opfer ihren echten MFA-Schritt durchlaufen, ohne etwas zu merken. Am Montag werden mit den gestohlenen Sessions Auszahlungsdaten geändert. Die Antwort hat drei Teile: die URL auf Blacklists setzen, damit Browser sofort warnen, die Domain entfernen lassen und Resets für jedes Konto erzwingen, das im fraglichen Zeitraum eingeloggt war.
Erkennen & Abwehren
-
Stellen Sie Mitarbeiter und, wo möglich, Kunden auf phishing-resistente Authentifizierung wie Passkeys um. Sie verweigern die Anmeldung gegenüber einer Lookalike-Domain.
-
Überwachen Sie geklonte Login-Seiten auf Lookalike-Domains. Die Seite muss existieren, bevor die Kampagne startet, und genau das ist Ihr Erkennungsfenster.
-
Bei einem bestätigten Abgriff: Seite auf Blacklists setzen und entfernen lassen, dann Zugangsdaten und Sessions für das Expositionsfenster zurücksetzen, statt auf Betrugsmeldungen zu warten.
Häufige Fragen
Was passiert mit abgegriffenen Zugangsdaten?
Sie werden direkt für Kontoübernahmen genutzt, in Paketen auf Untergrundmärkten verkauft oder für Credential Stuffing gegen andere Dienste eingesetzt. Weil viele Menschen Passwörter wiederverwenden, öffnet ein abgegriffener Login oft Konten weit über die geklonte Seite hinaus.
Schützt Multi-Faktor-Authentifizierung vor Credential Harvesting?
Gegen den klassischen Fake-Login ja. Moderne Kits reichen die Anmeldung aber in Echtzeit weiter und stehlen die Session, nachdem das Opfer MFA abgeschlossen hat. Code-basierte Faktoren garantieren daher keine Sicherheit mehr. Passkeys und Hardware-Keys widerstehen dem, weil sie an die echte Domain gebunden sind.
