KI-automatisiertes Spear-Phishing Vom LinkedIn-Profil zum gezielten Cyberangriff in nur 30 Minuten

Anbieter zum Thema

TREND MICRO Deutschland GmbH

FTAPI Software GmbH

Spear-Phishing galt bisher als aufwändig, weil jede Kampagne individuelle Recherche erforderte. TrendAI-Sicherheitsforscher zeigen in einem Proof of Concept, dass frei verfügbare KI-Tools diese Hürde auflösen: Aus öf­fent­lich­en LinkedIn-Daten entstehen in nur 30 Minuten detaillierte Ziel-Profile und passgenaue Phishing-Köder.

LinkedIn ist zur digitalen Visitenkarte der Wirtschaft geworden. Mitarbeitende präsentieren sich dort nicht nur mit ihrem Profil, sondern posten auch Beiträge, Kommentare und Bilder. Diese öffentliche Selbstdarstellung ist von Unternehmen durchaus erwünscht und wird häufig unterstützt. Doch die Daten sind auch für Cyberkriminelle interessant – etwa um Zielpersonen zu identifizieren und passgenaue Spear-Phishing-Kampagnen aufzusetzen. Ein harmlos wirkender Post wie „Start ins neue ERP-Projekt – danke an alle!“ liefert beispielsweise genug Kontext für eine glaubwürdige Mail an die Buchhaltung. Darin könnte ein auf LinkedIn namentlich genannter Mitarbeiter das Projekt referenzieren und dazu auffordern, Zahlungs­daten zu prüfen. Die Täuschung wirkt, weil sie reale Details und die Tonalität der Organisation aufgreift. Während es früher aufwändig war, solche Spear-Phishing-Kampagnen zu erstellen, gelingt dies heute dank KI-Unterstützung hochautomatisiert. In einem Proof of Concept (POC) zeigen Sicherheitsforscher von TrendAI: Unternehmen müssen sich in der Verteidigung auf eine Industrialisierung gezielter, personalisierter Angriffe einstellen.

Micro-Trainings und klare Prozesse erhöhen die Melderate

Phishing-Abwehr gelingt nur vernetzt mit Technik und Verhalten

So gingen die Sicherheitsforscher vor

Für den POC setzten die Sicherheitsforscher ausschließlich frei verfügbare Tools ein und griffen auf öffentlich zugängliche LinkedIn-Profile zu. Ziel war es, Daten aus LinkedIn zu extrahieren, zu analysieren, kontextuell anzureichern und daraus hochgradig personalisiertes Köder-Material zu erzeugen. Das Forschungsteam wollte nicht beweisen, dass solche Angriffe funktionieren, sondern aufzeigen, wie schnell und einfach sie sich automatisieren lassen. Mit Claude Code und der Backend-as-a-Service-Plattform Supabase, die lokal in Docker-Containern lief, bauten sie per Vibe Coding ein KI-Analyse-Tool. Um die Daten aus den LinkedIn-Profilen zu sammeln, verwendeten sie die Cloud-Plattform Apify in Kombination mit zwei Tools von Harvest API: Der „LinkedIn Profile Search Scraper No Cookies“ durchsucht Profile nach Organisation, Jobtitel, Standort und Berufserfahrung. Dabei kann er nach Führungsrollen wie Director, Vice President und C-Level-Funktionen filtern. Das zweite Tool, der „LinkedIn Profile Posts Scraper No Cookies“, extrahiert anschließend die aktuellen Beiträge der Personen, darunter Inhalte, Interaktions­kenn­zahlen und die URLs der in den Beiträgen geteilten Bilder. Apify bietet Anti-Blocking-Mechanismen und Proxy-Services, um die Scraping-Schutzfunktionen von Plattformen wie LinkedIn zu umgehen.

Mutmaßlicher Entwickler festgenommen

BKA legt PhaaS-Infrastruktur lahm

Bildanalyse liefert erweiterte Erkenntnisse

Nach dem Download überführten die Sicherheitsforscher die Daten in ein strukturiertes Format und erzeugten eine hierarchy.txt-Datei, die die vermutete Organisationsstruktur des Ziel­unter­nehmens abbildet. Jede Person erhält einen eigenen Ordner, jeder Post eine Unterstruktur mit Text und zugehörigen Bildern. Anschließend wird das Paket als ZIP-Datei ins Analyse-Tool geladen. Eine zentrale Rolle spielt die Bildanalyse, die zusätzliche Erkenntnisse liefert. Das Tool untersucht jedes Bild im Kontext des zugehörigen Posts: Es ermittelt nicht nur, was zu sehen ist, sondern auch, warum jemand ein Motiv geteilt hat und welche Botschaft dahintersteht. Aus Badges, Whiteboards, Präsentationsfolien, Screenshots und Teamfotos leitet das Modell Hinweise auf eingesetzte Technologien, laufende Projekte, Partnerstrukturen und Ent­schei­dungs­wege ab. Sobald die Analyse abgeschlossen ist, generiert die KI detaillierte Profile der einzelnen Personen. Die Berichte enthalten umfassende Informationen, darunter Rolle, beruflicher Hintergrund, Fachgebiete, zentrale Themen aus den Inhalten sowie Erkenntnisse aus den geteilten Beiträgen und Bildern.

Unzerstörbare Phishing-as-a-Service-Plattformen

Warum Phishing-Kits wie Tycoon 2FA Zerschlagungen einfach überleben

Phishing-Mails und -Websites auf Knopfdruck

Die Mitarbeiter-Profile werden nun durch eine Web-OSINT-Suche angereichert. Anschließend identifiziert das Analyse-Tool die drei erfolgsversprechendsten Themenbereiche für die Ziel­person und generiert auf Knopfdruck hochgradig personalisierte Phishing-Mails. Die passende E-Mail-Adresse ermittelt das System anhand von Web-Recherche und Muster­erken­nung. Aus öffentlich zugänglichen Adressen des Unternehmens leitet es ab, wie die Adresse der Zielperson lauten könnte, etwa Vorname_Nachname@Unternehmensname.de. Die Website für die Phishing-Kampagne erstellten die Sicherheitsforscher ebenfalls mit Claude Code: Sie übergaben dem KI-Assistenten die identifizierten Themenfelder sowie einen Mustertext der Mail. In einem Prompt forderten sie Claude Code auf, eine „detaillierte Website zu erstellen, mit der Kunden interagieren können“. Außerdem sollte die KI aus dem Internet gesammelte Bilder und Statistiken einbinden, um die Seite möglichst realistisch aussehen zu lassen.

Analyse von Palo Alto Networks

Hacker erstellen Phishing-Seiten mit LLMs in Echtzeit

Das Ergebnis: Spear-Phishing in KI-Geschwindigkeit

Mit Vibe-Coding und frei verfügbaren Tools gelang es den Sicherheitsforschern, in nur 24 Stunden einen kompletten Angriffsbaukasten für automatisierte Spear-Phishing-Kampagnen aufzubauen. Im POC-Beispiel sammelten sie die Daten aus den öffentlichen LinkedIn-Beiträgen des TrendAI-Führungsteams und erstellten in nur drei Minuten eine Phishing-Website zu einer fiktiven Lösung für KI-Sicherheit. Die Seite adressierte genau die Anliegen, über die sich die Zielpersonen in ihren LinkedIn-Beiträgen austauschten, und referenzierte etablierte Frame­works wie MITRE ATLAS und OWASP, die dem Auftritt Glaubwürdigkeit verliehen. Das gesamte Profiling vom Scrapen der öffentlichen LinkedIn-Beiträge bis zur Erzeugung der per­so­na­li­sier­ten Phishing-Seite dauerte weniger als 30 Minuten. Mit etwas zusätzlichem Aufwand und einem Tool wie der Open Source-Plattform n8n ließe sich ein vollständig automatisierter Workflow aufbauen. Das Ergebnis wäre eine KI-gestützte Phishing-Fabrik, die maß­ge­schnei­der­te Angriffe in einem bisher nicht dagewesenen Tempo und Umfang realisieren kann.

Umgehung der Sandbox

Ausführung beliebiger Befehle in n8n Python Code Node möglich

Fazit

Dieser Proof of Concept soll keine Anleitung zum Missbrauch sein, sondern Awareness schaffen. Was dem Forschungsteam gelang, ist auch für Cyberkriminelle kein Problem – zumal der wirt­schaft­liche Nutzen für Letztere große Anreize setzt. Daher ist es wichtig, sich in der Verteidigung auf industrialisierte Angriffswellen einzustellen und den digitalen Fußabdruck von Mitarbeitenden als elementaren Teil der Angriffsfläche zu betrachten. Klassische Awareness-Trainings reichen nicht mehr aus. Stattdessen brauchen Unternehmen eine erweiterte Exposure-Management-Strategie: mit klaren Policies für die Veröffentlichung von Inhalten, Schulungen zu Digital-Footprint-Risiken und technischen Kontrollen, die davon ausgehen, dass Angreifer öffentlich zugängliche Informationen in KI-Geschwindigkeit ausnutzen können.

Über den Autor: Richard Werner ist Cybersecurity Platform Lead Europe, bei TrendAI.

(ID:50918329)