Auf den Punkt: Huntress registriert einen 155-fachen Anstieg von Password-Spraying-Angriffen in H1 2026, die gezielt Legacy-Authentifizierung und Lücken in MFA-Richtlinien ausnutzen.
Der Sicherheitsanbieter Huntress registrierte in der ersten Jahreshälfte 2026 einen 155-fachen Anstieg von Password-Spraying-Angriffen. Eine einzelne Kampagne erzeugte innerhalb von zwei Wochen mehr als 81 Millionen Login-Versuche.
Laut Huntress nutzten die beobachteten Angriffe gezielt veraltete Authentifizierungsmethoden (Legacy Authentication) sowie Lücken in Multi-Faktor-Authentifizierungs-Richtlinien (MFA). Bestimmte Login-Flows blieben dabei ungeschützt, da sie nicht vollständig in die MFA-Durchsetzung eingebunden waren. Die genannte Kampagne mit über 81 Millionen Login-Versuchen innerhalb von zwei Wochen zeigt das Ausmaß automatisierter, verteilter Angriffsversuche gegen Anmeldesysteme.
Für CISOs ist der Befund relevant, weil er einen bekannten, aber häufig unterschätzten Schwachpunkt adressiert: Legacy-Protokolle wie POP, IMAP oder ältere SMTP-Auth-Implementierungen unterstützen oft keine moderne Authentifizierung und werden dadurch zu einem Umweg um MFA-Vorgaben. Wenn solche Protokolle in Identity- und Access-Management-Richtlinien nicht explizit blockiert oder eingeschränkt werden, bleibt ein Einfallstor bestehen, unabhängig davon, wie konsequent MFA für die primären Login-Oberflächen durchgesetzt wird.
Aus praktischer Sicht ergibt sich daraus die Notwendigkeit, sämtliche Authentifizierungspfade eines Verzeichnisdienstes oder Identity-Providers zu inventarisieren und zu prüfen, ob Legacy-Protokolle deaktiviert werden können. Wo eine vollständige Deaktivierung nicht möglich ist, sollten Conditional-Access-Richtlinien, IP-Einschränkungen und Anomalieerkennung für ungewöhnliche Anmeldemuster – etwa hohe Fehlversuchsraten über viele Konten hinweg – ergänzend eingesetzt werden. Die berichtete Größenordnung der Angriffe unterstreicht zudem den Bedarf an Monitoring-Kapazitäten, die auch massenhafte, niedrigschwellige Anmeldeversuche über einen längeren Zeitraum zuverlässig erkennen.
Quelle: www.bleepingcomputer.com · Erschienen 19. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.