Phishing-Kampagne zur Mitarbeiterprämienplattform „Awardco“

Kampagnenübersicht

Hiwot Mendahun, Ankit Gupta und das Mimecast Threat Research-Team haben eine umfangreiche, über mehrere Monate andauernde Kampagne aufgedeckt, die sich gegen Unternehmen richtet, indem sie sich als „Awardco“ ausgibt – eine weit verbreitete Plattform für Mitarbeiterprämien und -anerkennung. Diese Kampagne wird einer Bedrohungsaktion zugeschrieben, die intern unter der Kennung MCT03028 erfasst wurde, und stellt eine erhebliche Herausforderung im Hinblick auf das Personalrisiko dar, da sie die allgemeine Erwartung ausnutzt, dass Mitarbeiter Mitteilungen über Belohnungen, Sozialleistungen und Anerkennungsprogramme am Arbeitsplatz erhalten.

Im Gegensatz zu gezielten Angriffen, die sich auf bestimmte Funktionen oder Abteilungen konzentrieren, können Angreifer, die sich als Awardco ausgeben, effektiv ganze Unternehmen ins Visier nehmen, da in der Regel alle Mitarbeiter mit Prämienplattformen interagieren und damit rechnen, entsprechende Benachrichtigungen zu erhalten. Seit Mai 2025 haben die Angreifer bemerkenswerte Beharrlichkeit und Raffinesse an den Tag gelegt, indem sie verschiedene kompromittierte Konten, mehrere Weiterleitungsdienste und vielfältige Verbreitungsmethoden nutzten, um die Wirksamkeit ihrer Kampagnen aufrechtzuerhalten. Die Angriffe nutzen das Vertrauen aus, das Mitarbeiter von Natur aus in legitime Mitteilungen zu betrieblichen Sozialleistungen setzen, was dies aus Sicht des human risk management besonders gefährlich macht. Mitarbeiter erwarten selbstverständlich Informationen zu Prämienprogrammen, Leistungsanerkennungen und Änderungen bei den Sozialleistungen, was für Angreifer eine ideale Gelegenheit für Social-Engineering-Angriffe darstellt.

Die Kampagnen haben sich im Laufe der vier Monate weiterentwickelt, was die Anpassungsfähigkeit der Angreifer und die ihnen zur Verfügung stehenden Ressourcen verdeutlicht. Die Aktion, die ursprünglich auf einfache Weiterleitungen über kompromittierte Domains zurückgriff, hat sich weiterentwickelt und umfasst nun ausgeklügelte mehrstufige Weiterleitungsketten, Mechanismen zur Verbreitung von QR-Codes, die Verbreitung per SMS sowie den Missbrauch legitimer Sicherheitsdienste.

Diese Entwicklung deutet auf eine gut ausgestattete Cyberbedrohungsgruppe hin, die über kontinuierliche Entwicklungsfähigkeiten verfügt. Die psychologische Wirksamkeit dieser Kampagne beruht darauf, dass sie legitime Abläufe am Arbeitsplatz nutzt. Im Gegensatz zu verdächtigen externen Mitteilungen scheinen die Benachrichtigungen von Awardco aus erwarteten Geschäftsprozessen zu stammen, was das Misstrauen der Mitarbeiter deutlich verringert und die Interaktionsraten erhöht.