Verhindern Sie die Übernahme von Kundenkonten, bevor sie überhaupt beginnt

Standarddienste zur Überwachung von Datenlecks und zum Scannen des Dark Webs warnen Unternehmen, wenn die Zugangsdaten eines Verbrauchers in einem bekannten öffentlichen Datensatz zu Datenlecks auftauchen. Dies deckt eine Art der Datenoffenlegung ab – Benutzername-Passwort-Kombinationen aus Datenlecks – und liefert diese Warnung in der Regel erst Tage oder Wochen, nachdem die Daten bereits auf kriminellen Märkten im Umlauf sind. Der Schutz vor Identitätsbedrohungen für Verbraucher deckt ein breiteres Spektrum an Angriffsvektoren ab und liefert frühzeitigere Warnsignale. SpyCloud gewinnt Daten direkt aus kriminellen Quellen zurück – aus den Protokollen aktiver Infostealer-Malware, den Ergebnissen von Phishing-Kampagnen und aus Kombolisten – und beschränkt sich nicht nur auf indexierte Datensätze aus Datenlecks. Das bedeutet, dass nicht nur Anmelde- und Passwortpaare aus Datenlecks aufgedeckt werden, sondern auch die Gefährdung von Verbrauchern durch Malware-Infektionen und erfolgreiche Phishing-Angriffe. Zu den von SpyCloud wiedergewonnenen Daten gehören Sitzungs-Cookies, mit denen sich die mehrstufige Authentifizierung (MFA) umgehen und authentifizierte Sitzungen vollständig kapern lassen, gestohlene personenbezogene Daten (PII), die synthetischen Identitätsbetrug ermöglichen, sowie Passwörter im Klartext, die eine direkte Überprüfung der Anmeldedaten anstelle eines Hash-Abgleichs ermöglichen. Diese Kombination liefert Betrugs- und Sicherheitsteams vorgelagerte Informationen – Signale, die eintreffen, bevor Angreifer aktiv werden, und die den vollen Umfang dessen widerspiegeln, was Kriminelle tatsächlich in ihrem Besitz haben –, anstatt erst nachträglich eine Benachrichtigung darüber zu erhalten, dass ein Datenleck aufgetreten ist.

MFA fordert Benutzer beim Login heraus – sie überprüft die Identität, bevor die Authentifizierung abgeschlossen ist. Bei der Übernahme von Verbraucherkonten wird diese Ebene zunehmend vollständig umgangen, indem man sich auf das Ergebnis der Authentifizierung konzentriert: Sitzungscookies und Aktualisierungstoken. Wenn ein Infostealer das Gerät eines Verbrauchers infiziert, entwendet er alle im Browser gespeicherten aktiven Sitzungscookies – für jede Anwendung, bei der der Benutzer angemeldet war – zusammen mit den gespeicherten Passwörtern. Ein Angreifer, der ein gestohlenes Sitzungscookie in einem Anti-Detect-Browser wiedergibt, präsentiert dem Anwendungsserver eine gültige, authentifizierte Sitzung – ohne Anmeldeaufforderung, ohne MFA-Abfrage und ohne Verhaltensabweichungen. Die gleiche Umgehung gilt, wenn Sitzungscookies durch „Adversary-in-the-Middle“-Phishing gestohlen werden, bei dem die MFA erfolgreich abgeschlossen wird und der Angreifer das resultierende Sitzungsartefakt abfängt. Im Jahr 2025 hat SpyCloud 8,6 Milliarden gestohlene Sitzungs-Cookies von kriminellen Marktplätzen zurückgewonnen. SpyCloud Session Identity Protection bietet einen kontinuierlich aktualisierten Feed mit kompromittierten Sitzungs-Cookies, die mit den Anwendungsdomänen eines Unternehmens verknüpft sind. So können Sicherheits- und Betrugsbekämpfungsteams aktive Sitzungen ungültig machen, bevor Angreifer sie nutzen können – und damit die Angriffsfläche nach der Authentifizierung schließen, die die MFA nicht schützen kann.

Ransomware-Angriffe beginnen selten mit einer Verschlüsselung – sie beginnen mit gestohlenen Identitätsdaten. Die häufigste Ransomware-Kill-Chain durchläuft drei Phasen: Eine Infektion mit Infostealer-Malware entwendet Anmeldedaten und Sitzungsartefakte von einem Gerät eines Mitarbeiters oder Auftragnehmers; Angreifer nutzen diese Artefakte für den ersten Zugriff auf Unternehmensanwendungen; darauf folgt die laterale Bewegung, ermöglicht durch die bei derselben Infektion erfassten Geräte-Fingerabdrücke, Cookie-Daten und Anwendungsanmeldedaten. Fast jedes dritte Unternehmen, das Opfer eines Ransomware-Angriffs wurde, hatte zuvor bereits eine Infostealer-Infektion in seinen Aufzeichnungen verzeichnet. Im Jahr 2025 gaben 85 % der Unternehmen an, im vergangenen Jahr von Ransomware betroffen gewesen zu sein, wobei 35 % der Angriffspunkte auf Phishing zurückgeführt wurden – ein Anstieg gegenüber 25 % im Vorjahr. SpyCloud Enterprise Protection überwacht alle drei Phasen dieser Kill-Chain gleichzeitig: Die Offenlegung von Anmeldedaten bei Datenlecks, Phishing und Malware-Protokollen wird für eine frühzeitige Behebung aufgedeckt; Infektionsdaten auf Geräteebene identifizieren das gesamte Ausmaß der Kompromittierung nach der Infektion, bevor diese eine laterale Bewegung ermöglicht; und die Überwachung der Anbieteridentitäten erkennt kompromittierte Partner-Anmeldedaten, bevor sie zu Hintertür-Einstiegspunkten werden. Die Unterbrechung einer dieser Phasen verringert das Ransomware-Risiko; SpyCloud überwacht alle drei von einer einzigen Plattform aus.

Die SpyCloud-APIs zum Verbraucherschutz sind so konzipiert, dass sie an drei verschiedenen Punkten im Lebenszyklus der Kundenauthentifizierung eingesetzt werden können, und diese Kombination deckt die gesamte Angriffsfläche ab. Bei der Kontoerstellung und beim Zurücksetzen des Passworts gleicht die „Password Exposure API“ die übermittelten Passwort-Hashes unter Verwendung von k-Anonymität mit dem von SpyCloud wiederhergestellten Datensatz ab – so wird verhindert, dass Verbraucher Anmeldedaten festlegen, die Kriminellen bereits vorliegen, ohne dass Passwörter im Klartext an die Server von SpyCloud übertragen werden. Bei der Anmeldung führt die „User Exposure API“ eine Echtzeitprüfung der E-Mail-Adresse oder des Benutzernamens eines Verbrauchers anhand von Datendiebstahl-, Malware- und Phishing-Einträgen durch – und gibt ein Risikosignal zurück, das bei Nutzern mit hohem Risiko eine verstärkte Authentifizierung auslösen kann, ohne dabei den Ablauf für Nutzer mit geringem Risiko zu erschweren. Im Ruhezustand – auf Basis geplanter Batch-Verarbeitungen – vergleichen Unternehmen ihre gesamte Kundendatenbank mit den kontinuierlich aktualisierten, wiedererlangten Daten von SpyCloud, um neu kompromittierte Konten aufzudecken, deren Zugangsdaten möglicherweise noch kein Anmeldeereignis ausgelöst haben. Die Consumer IDLink-API steht als Eskalationsoption über allen drei Funktionen: Wenn ein erstes Signal eine eingehendere Untersuchung rechtfertigt, korreliert IDLink mehrere Identitätsmerkmale, um synthetische Identitätsmuster und eine umfassendere Kompromittierungshistorie aufzudecken, die bei Prüfungen einzelner Elemente übersehen werden.

Zahlungskartenbetrug und Betrug bei Treueprogrammen stellen im Vergleich zu ATO-Angriffen auf Basis von Anmeldedaten ganz eigene Angriffsflächen dar und erfordern unterschiedliche Informationen. SpyCloud Financial Threat Protection erfasst kompromittierte Zahlungskartendaten direkt aus kriminellen Quellen – darunter Infostealer-Infektionen auf Desktops, mobile Malware auf kompromittierten Smartphones und Datenlecks – und bietet so frühzeitig Einblick in offengelegte Kredit-, Geschenkkarten und Treuekarten, bevor diese zu Geld gemacht werden können. Gestohlene Kartendaten enthalten häufig mehr als nur die Kartennummer: Sie umfassen vollständige Kontodaten und zugehörige personenbezogene Daten wie E-Mail-Adressen, Telefonnummern und Bankleitzahlen, was das nachgelagerte Betrugsrisiko erheblich erhöht und gezielte Folgeangriffe ermöglicht. SpyCloud Financial Threat Protection ermöglicht es Kartenausstellern, Zahlungsabwicklern und Einzelhändlern, kompromittierte Zahlungskarten in ihren gesamten Kundenportfolios zu identifizieren und zu handeln, bevor Betrug stattfindet – indem kompromittierte Karten gesperrt, Karteninhaber proaktiv benachrichtigt und das Risiko von Rückbuchungen verringert werden. Für Unternehmen mit Treueprogrammen deckt dieselbe Analyseebene auch Risiken im Zusammenhang mit Treuekarten und Prämienkonten ab und verknüpft den Diebstahl von Zahlungsdaten mit der Gewinn- und Verlustrechnung im Bereich des Treuebetrugs, ohne dass eine separate Datenquelle erforderlich ist.