Google warnt vor Angreifern britischer Einzelhändler mit Blick auf die USA

Was passiert ist

Im Mai 2025 wies Google darauf hin, dass Akteure mit Verbindungen zu den Angriffen auf große britische Einzelhandelsketten, wie Marks & Spencer und Co-op, zunehmend Unternehmen in den Vereinigten Staaten ins Visier nahmen, und hob Social Engineering als primäre Methode zur Erlangung des Erstzugriffs hervor.

Laut Google bestand das typische Vorgehen darin, sich gegenüber dem Helpdesk oder Support als berechtigte Mitarbeiter auszugeben, um Passwörter zurücksetzen oder neue Authentifizierungsfaktoren registrieren zu lassen.

Was das für ein mittelständisches Unternehmen bedeutet

Die Warnung bestätigt, dass sich diese Gruppen weder auf eine Branche noch auf ein Land beschränken: Sie wechseln ihre Ziele, wenn sie auf Widerstand stoßen. Ihre Methode erfordert keine technische Schwachstelle, sondern die Überzeugung einer Person, die Zugänge zurücksetzen kann.

Damit wird ein erheblicher Teil der Sicherheitsverantwortung auf interne oder externe Supportprozesse verlagert, bei denen die Identität der anrufenden Person ebenso streng geprüft werden muss wie bei der erstmaligen Vergabe eines Zugangs.

Was Sie überprüfen sollten

Maßnahmen, die Social Engineering gegen den Support weniger wirksam machen:

• Verstärkte Identitätsprüfung vor dem Zurücksetzen von Passwörtern oder Authentifizierungsfaktoren.
• Gezielte Schulung des Supportpersonals zu bekannten Techniken der Identitätstäuschung.
• Phishingresistente Zwei-Faktor-Authentifizierung für administrative Zugänge und Supportzugänge.
• Protokollierung und regelmäßige Überprüfung von Anfragen zur Wiederherstellung des Zugangs.

Häufig gestellte Fragen

Welche Gruppen stecken hinter diesen Angriffen?

Google hat die Angriffe öffentlich keiner einzelnen Gruppe so eindeutig zugeordnet, dass sie hier genannt werden könnte; die Warnung konzentrierte sich auf die Verlagerung der Aktivitäten auf US-amerikanische Unternehmen und das Social-Engineering-Muster.

Warum ist von Social Engineering und nicht von einer technischen Schwachstelle die Rede?

Weil der Zugang dadurch erlangt wurde, dass Supportmitarbeitende zum Zurücksetzen von Zugangsdaten überredet wurden, und nicht durch das Ausnutzen einer Softwareschwachstelle.

Was kann ein Unternehmen tun, das kein großer Einzelhändler ist?

Bei der Identitätsprüfung im eigenen Support ebenso strenge Maßstäbe anlegen, unabhängig davon, ob dieser intern oder extern erbracht wird, und phishingresistente Zwei-Faktor-Authentifizierung durchsetzen.