Internationale Sicherheitsbehörden haben unter Mitwirkung des Landeskriminalamtes Baden-Württemberg eine ausführliche Informationssammlung erstellt und Angriffstaktiken sowie Indikatoren (IoC) zur Abwehr und Detektion der von AKIRA durchgeführten Angriffe zusammengefasst. Die US-amerikanische Cybersicherheitsbehörde CISA stellt das Dokument sowie aktuelle IoC-Listen online zur Verfügung: https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-109a

Anmerkung:

Die Gruppe nutzt insbesondere fehlkonfigurierte Firewall- und SSL-VPN-Dienste des Herstellers SonicWall aus. Sollten Sie in Ihrem Unternehmen Produkte des Herstellers SonicWall verwenden empfiehlt die Polizei dringend die Beachtung der Herstellerempfehlungen zur sicheren Konfiguration und wie allgemein üblich die zeitnahe Installation der zur Verfügung stehenden Updates. Weitere Informationen für SonicWall-Anwender stellt die deutsche Behörde Bundesamt für Sicherheit in der Informationstechnik (BSI) bereit: https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2025/2025-271036-1032_bits.html

Für Rückfragen steht Ihnen die Zentrale Ansprechstelle Cybercrime des Landeskriminalamts Thüringen zur Verfügung:

Zentrale Ansprechstelle Cybercrime
Landeskriminalamt Thüringen
Kranichfelder Straße 1
99097 Erfurt
Email: cybercrime.lka@polizei.thueringen.de
Tel.: +49 361 57 431 4545

Sachverhalt

Derzeit werden E-Mails an Unternehmen versendet, in denen diese aufgefordert werden, ihre Daten im Transparenzregister zu aktualisieren.
Die in den E-Mails enthaltenen Links führen jedoch nicht auf die offizielle Seite des Transparenzregisters, sondern auf täuschend echt nachgebildete Fake-Webseiten.

Auf diesen Seiten sind die Login-Felder bereits mit der Mail-Adresse des angeschriebenen Unternehmens vorausgefüllt. Die Opfer sollen nur noch ihr Passwort eingeben, um sich vermeintlich einzuloggen.
Tatsächlich werden die eingegebenen Zugangsdaten direkt von den Tätern abgefangen und können anschließend missbräuchlich verwendet werden.

Das echte Transparenzregister weist auf seiner Webseite bereits mit einem Warnhinweis auf diese Betrugsversuche hin.

Handlungsempfehlung

• Prüfen Sie E-Mails mit Bezug zum Transparenzregister besonders sorgfältig.
• Klicken Sie keine Links in derartigen E-Mails an.
• Rufen Sie das Transparenzregister ausschließlich über die offizielle Adresse auf:
  www.transparenzregister.de
• Geben Sie Ihre Zugangsdaten nur dort ein.
• Sollten Sie bereits Daten auf einer gefälschten Seite eingegeben haben, ändern Sie unverzüglich Ihr Passwort und prüfen Sie, ob die Zugangsdaten noch an anderer Stelle (z. B. bei E-Mail- oder Firmenkonten) verwendet werden.

Hinweis

Die Täter entwickeln ihre Betrugsmaschen ständig weiter. Bleiben Sie daher besonders aufmerksam im Umgang mit eingehenden Mails und prüfen Sie die Echtheit von Absenderadressen und Links, bevor Sie reagieren.

• .phobos
• .8base
• .elbie
• .faust
• .LIZARD

So gehen die Täter vor:

Kriminelle spähen öffentliche Vergabeportale und Bekanntmachungen aus, um Informationen über kürzlich vergebene Aufträge und die beteiligten Vertragspartner zu sammeln. Anschließend gehen sie wie folgt vor:

• Kontaktaufnahme: Unter dem Vorwand, die ausschreibende Stelle zu sein, kontaktieren die Betrüger das Unternehmen, das den Zuschlag erhalten hat. Dies geschieht meist per E-Mail.
• Anforderung von Rechnungen: In einer kurz gehaltenen Nachricht fordern sie das Unternehmen auf, offene Rechnungen für das Projekt zu übermitteln.
• Manipulation: Die Täter fangen diese legitimen Rechnungen ab und ersetzen die darauf angegebene Bankverbindung durch die eines von ihnen kontrollierten Kontos.
• Versand der gefälschten Rechnung: Die manipulierte Rechnung wird anschließend im Namen des beauftragten Unternehmens an die tatsächliche ausschreibende Stelle (den Rechnungsempfänger) gesendet. Die Zahlung wird somit auf das Konto der Betrüger umgeleitet.

Empfohlene Schutzmaßnahmen:

• Sorgfältige Prüfung des E-Mail-Absenders: Seien Sie misstrauisch bei E-Mails, deren Absenderadressen nur geringfügig von bekannten Adressen abweichen (z. B. durch Buchstabendreher, andere Domain-Endungen wie „.com“ statt „.de“). Verifizieren Sie den Absender im Zweifel immer über einen zweiten, bereits bekannten Kommunikationskanal (z. B. per Telefon).
• Verifizierung von Zahlungsaufforderungen: Gleichen Sie Bankverbindungen vor jeder Zahlung sorgfältig ab. Insbesondere bei einer erstmaligen Zahlung oder einer mitgeteilten Änderung der Kontodaten ist ein telefonischer Rückruf beim bekannten Ansprechpartner des Zahlungsempfängers zwingend erforderlich. Führen Sie ein Vier-Augen-Prinzip für die Freigabe von Zahlungen ein.
• Sensibilisierung Ihrer Mitarbeitenden: Schulen Sie regelmäßig alle Mitarbeitenden, die in den Rechnungs- und Zahlungsprozess involviert sind. Etablieren Sie klare und verbindliche interne Prüfverfahren für den Umgang mit Zahlungsaufforderungen.
• Sofortige Meldung bei Verdacht: Weisen Sie Ihre Mitarbeitenden an, jeden Verdachtsfall unverzüglich intern an die zuständigen Stellen (z. B. Finanzabteilung, IT-Sicherheit) zu melden.

Handlungsempfehlungen bei bereits erfolgtem Betrug:

Sollten Sie bereits eine Zahlung auf eine mutmaßlich manipulierte Rechnung geleistet haben, handeln Sie sofort:

1. Kontaktieren Sie umgehend Ihre Bank: Veranlassen Sie einen sofortigen Zahlungsstopp oder eine Rückholung der Überweisung.
2. Erstatten Sie Anzeige bei der Polizei: Wenden Sie sich an Ihre örtliche Polizeidienststelle oder die Onlinewache Ihres Bundeslandes.
3. Sichern Sie alle Beweismittel: Speichern Sie die betrügerischen E-Mails (inklusive der vollständigen Kopfzeilen/Header), die Rechnungen und jegliche weitere Kommunikation.

Ihre Wachsamkeit und die konsequente Einhaltung von Sicherheitsprozessen sind der wirksamste Schutz. Für Rückfragen oder zur Meldung von Vorfällen stehen wir Ihnen zur Verfügung.

Derzeit sind mindestens 400 Fälle bekannt, in welchen die Gruppierung versuchte, auf diesem Wege Daten zu erlangen. In mindestens 40% der Fälle waren die Angriffe erfolgreich. Die Betroffenen der Angriffe sind international verteilt, der Schwerpunkt liegt in den USA.

Den bekannt gewordenen Betroffenen wird dringend empfohlen, die in der CVE-2025-31161 beschriebenen Mitigationsmaßnahmen zu ergreifen.

Ihre Ansprechpartner in Thüringen:

Zentrale Ansprechstelle Cybercrime (ZAC)
Landeskriminalamt Thüringen
Telefon: 0361 57431 4545
E-Mail: cybercrime.lka@polizei.thueringen.de

Freuen Sie sich auf wegweisende Vorträge, praxisnahe Einblicke und wertvolle Vernetzung mit Expertinnen und Experten aus Wirtschaft, Wissenschaft und Behörden.

>>> Weitere Informationen gibt es hier <<<

So gehen die Täter vor:

Die Täter verschaffen sich Zugriff auf geschäftliche E-Mail-Konten – beispielsweise durch Phishing oder durch bereits kompromittierte Systeme. Anschließend fangen sie Rechnungen oder E-Mails mit Zahlungsinformationen ab und ändern die darin enthaltene Kontoverbindung. Diese gefälschten Rechnungen oder E-Mails werden dann im Namen des bekannten Geschäftspartners an das Zielunternehmen geschickt.

Zahlungen, die auf die vom Täter angegebene Bankverbindung erfolgen, führen in der Regel zu hohen finanziellen Verlusten. Der tatsächliche Geschäftspartner hat die Zahlung hingegen nie erhalten.

Handlungsempfehlungen für Unternehmen:

Präventive Maßnahmen:

• Schulen Sie Ihre Mitarbeitenden in Buchhaltung, Einkauf und Geschäftsleitung für diese Betrugsmasche.
• Verifizieren Sie jede Änderung von Bankverbindungen – telefonisch über eine bereits bekannte, vertrauenswürdige Nummer.
• Vermeiden Sie unverschlüsselte Kommunikation bei sensiblen Daten wie Zahlungsinformationen.
• Setzen Sie das Vier-Augen-Prinzip bei der Zahlungsfreigabe konsequent um.
• Stellen Sie sicher, dass Ihre IT-Sicherheitsmaßnahmen aktuell sind, insbesondere E-Mail-Schutzmechanismen und Zugriffskontrollen.

Im Schadensfall:

• Informieren Sie umgehend Ihre Hausbank – eventuell ist eine Rückholung der Zahlung noch möglich.
• Erstatten Sie umgehend Anzeige bei Ihrer örtlichen Polizeidienststelle.
• Sichern Sie alle relevanten Unterlagen, insbesondere E-Mails mit vollständigen Header-Daten und Logdateien.
• Informieren Sie Ihren tatsächlichen Geschäftspartner, um weiteren Schaden zu verhindern.

Ihre Ansprechpartner in Thüringen:

Zentrale Ansprechstelle Cybercrime (ZAC)
Landeskriminalamt Thüringen
Telefon: 0361 57431 4545
E-Mail: cybercrime.lka@polizei.thueringen.de