Work Panel: Die Vishing-SaaS-Plattform, die Helpdesks zu Einfallstoren macht

Drei Rollen, eine Konsole und ein Selbstzerstörungsknopf, der Phishing-Seiten und DNS-Einträge mit einem einzigen Klick löscht. Das ist Work Panel – die Vishing-Plattform, die Okta dem Eindringlings-Cluster zugeschrieben hat, den das Unternehmen als O-UNC-045 verfolgt, auch bekannt als CORDIALSPIDER. Die interessante Zahl hier ist keine Geldsumme, sondern die Rollenanzahl: Die Operation trennt formal Anrufer von Managern und Administratoren – das ähnelt eher dem Organigramm eines Call-Centers als einem herkömmlichen Phishing-Kit.

Was geschah

Am 30. Juli 2026 veröffentlichte Okta, wie CyberSecurityNews berichtete, eine Analyse, in der Work Panel als vollständige webbasierte Anwendung zum Betrieb eines vishing-gesteuerten Account-Takeover-Geschäfts beschrieben wird. Die Formulierung ist wichtig: Okta bezeichnete es ausdrücklich nicht als Phishing-Kit, sondern als Betreiberkonsole – und verknüpfte das Werkzeug mit CORDIALSPIDER-Aktivitäten, die auf Kunden mehrerer Identitätsanbieter abzielten.

Die Plattform wird mit Anmeldevorlagen für Okta, Microsoft 365 und Salesforce geliefert – das deckt einen großen Teil der unternehmensweiten Identitätsfläche für mittelgroße und große Unternehmen ab. Ein Administrator in Work Panel kann eine Domain registrieren, DNS konfigurieren, eine isolierte Phishing-Seite mit eigener Subdomain und eigenem Webserver-Block einrichten, eine dieser Vorlagen auswählen und das visuelle Branding einer Zielorganisation klonen. Die Plattform kann dann gebrandete Phishing-E-Mails versenden, die Mitarbeiter auf die erstellte Seite leiten.

Gleichzeitig rufen Anrufer Mitarbeiterdaten (Namen, geschäftliche E-Mail-Adressen, Direkttelefonnummern, Berufsbezeichnungen, LinkedIn-Profile) aus kommerziellen Geschäftskontaktquellen ab, die innerhalb des Panels abgefragt werden, rufen zugewiesene VoIP-Zugangsdaten ab und wählen. Manager beobachten eine Live-Warteschlange, die zeigt, welche Phishing-Seite jedes Opfer gerade betrachtet, und senden den nächsten Prompt: Push-Genehmigung, Nummernabgleich, Authentifizierungscode oder einen Abschlussschritt für ein Support-Ticket. Der Anrufer hält das Ziel am Telefon. Der Manager erfasst die Zugangsdaten. Der Administrator kann jederzeit die Selbstzerstörung auslösen und die Phishing-Seite samt DNS-Einträgen mit einer Aktion offline nehmen.

Im Vergleich dazu war ein Phishing-Kit aus dem Jahr 2023 typischerweise ein von einem einzelnen Operator verwaltetes PHP-Archiv, das auf einem kompromittierten Host abgelegt wurde. Work Panel gehört in eine völlig andere Kategorie.

Technische Analyse

Die technischen Entscheidungen innerhalb von Work Panel lesen sich so, als hätten sie von jemandem getroffen worden, der einen Incident-Response-Prozess bereits von der anderen Seite erlebt hat. Drei Designentscheidungen stechen hervor.

Erstens: Rollentrennung als Sicherheitskontrolle für den Angreifer. Anrufer erhalten nicht die Zugangsdaten, bei deren Erfassung sie helfen. Das ist kein UX-Detail, sondern operative Sicherheit. Wenn ein Anrufer verhaftet, umgedreht oder einfach unvorsichtig ist, verbleibt der Zugangsdaten-Schatz bei Managern auf separater Infrastruktur. Außerdem sind Anrufer dadurch günstig zu rekrutieren und zu ersetzen, da sie keine technischen Kenntnisse benötigen und nichts Sensibles besitzen. Die wirtschaftliche Konsequenz: Vishing-Arbeitskräfte werden austauschbar, und die Kosten des Angreifers pro versuchter Übernahme sinken.

Zweitens: Isolation der Phishing-Panels. Jedes Phishing-Panel arbeitet mit eigener Subdomain, Konfiguration, eigenem Prozess und eigenem Webserver-Block. Das entspricht direkt dem Schmerzpunkt der Verteidiger bei Takedowns. Wenn die einzige Reaktion auf eine Phishing-Seite eine Domain-Takedown-Anforderung ist, hat Work Panel das bereits einkalkuliert und seine Architektur darauf ausgerichtet. Kombiniert mit geheimer Rotation, Aktivitätsprotokollierung und Live-Überwachung der Anrufer verhält sich die Plattform weniger wie ein Kit und mehr wie eine kleine SaaS-Bereitstellung. Im Vokabular von MITRE ATT&CK gruppieren sich die relevanten Techniken um T1566 (Phishing), T1656 (Impersonation) und T1621 (Multi-Factor Authentication Request Generation), aber die interessante Schicht ist die Orchestrierung rund um sie.

Drittens: die Echtzeit-MFA-Pipeline. Die Manager-Ansicht, die zeigt, welche Phishing-Seite ein Opfer gerade betrachtet, mit der Möglichkeit, einen spezifischen nächsten Schritt zu senden, ermöglicht es der Operation, Push-Genehmigungen, Nummernabgleich und TOTP-Authentifizierungscodes zu umgehen. Das ist kein Bypass der MFA-Kryptografie, sondern ein Bypass der MFA-Workflow-Annahmen. Der Nutzer ist am Telefon mit einem „Helpdesk-Agenten", der volle Situationskenntnis über das gefälschte Portal hat, das er gerade betrachtet.

Die Quelle gibt das Hosting-Modell, die Preisgestaltung oder die Abonnentenzahl von Work Panel nicht preis – dabei wären diese Zahlen aufschlussreich, um zu beurteilen, ob es sich um ein Nischenwerkzeug handelt, das von einem einzigen Cluster genutzt wird, oder um einen mietbaren Dienst, der sich bereits in den Händen Dutzender befindet. Meine Einschätzung: Wenn Okta es als „vollständige Anwendung" mit Rollenverwaltung und Selbstzerstörung beschreibt, impliziert der Entwicklungsaufwand mehr als eine Handvoll Nutzer – das lässt sich anhand der vorliegenden Berichte jedoch nicht bestätigen.

Wer ist betroffen

Jede Organisation, deren Mitarbeiter von einem Fremden angerufen werden können, der vorgibt, aus der IT-Abteilung zu sein, gehört zur Zielgruppe. In der Praxis ist das jeder, aber einige Kategorien sind stärker exponiert.

Zunächst Kunden von Identitätsanbietern. Die Vorlagenunterstützung für Okta, Microsoft 365 und Salesforce ist eine direkte Aussage darüber, wer im Visier ist. Unternehmen, die alles über einen dieser drei Dienste föderieren, haben nun eine einzige, gut gebrandete Angriffsvorwand-Oberfläche. iGaming-Betreiber, Fintech-Plattformen und Kryptobörsen tendieren dazu, hochwertigen Administratorzugang hinter Okta oder Entra ID zu konzentrieren, und ihre Helpdesks bearbeiten genug MFA-Reset-Anfragen, dass ein gut recherchierter Vishing-Anruf nicht auffällt. Ein Salesforce-Admin-Account-Takeover bei einem Zahlungsunternehmen ist in Bezug auf den Schaden kaum zu vergleichen mit der Kompromittierung eines normalen Mitarbeiters: Ersteres kann Produktionsdatenpipelines, Kunden-PII und ausgehende Kundenkommunikation umfassen.

Zweitens: mittelständische Unternehmen ohne gerätegebundene Authentifizierung. Wenn die MFA-Absicherung aus Push-Benachrichtigungen oder TOTP-Codes auf privaten Mobiltelefonen besteht, ist Work Panels Echtzeit-Prompt-Pipeline darauf ausgelegt, diese zu überwinden. Passkeys und Smartcards sind die Ausnahme, und Okta empfiehlt sie ausdrücklich.

Drittens: jede Organisation mit einem Support-Workflow, der es Helpdesk-Agenten erlaubt, Authentifikatoren telefonisch zurückzusetzen. Das ist genau der Hebel, den Work Panel nutzt. Die nächsten neunzig Tage werden zeigen, welche Unternehmen bereits ein Rückruf-Verifizierungsprotokoll haben und welche sich noch auf das Auftreten und das interne Wissen des Anrufers verlassen.

Die bestätigte Opferzahl aus der CORDIALSPIDER-Aktivität, die Work Panel zugeschrieben wird, ist noch nicht bekannt – das ist wichtig, weil es bestimmt, wie dringend diese Kampagne im Vergleich zu anderen identitätsbezogenen Kampagnen des Jahres 2026 zu behandeln ist. Prognose: Wenn diese Berichte repräsentativ sind, sollten öffentlich bekannte, helpdesk-getriebene Account-Takeovers bei Kunden von Identitätsanbietern bis Q4 2026 zunehmen – mit mindestens einem namentlich genannten hochrangigen Sicherheitsvorfall, der Vishing als initialen Angriffsvektor benennt.

Maßnahmen für Sicherheitsteams

Diese Schritte sollten diese Woche umgesetzt werden.

Phishing-resistente Authentifikatoren von der Roadmap auf einen konkreten Rollout-Zeitplan verschieben. Oktas Empfehlung zeigt auf Passkeys und Smartcards – zu Recht. Ein Passkey kann nicht telefonisch vorgelesen werden, und eine Push-Genehmigung, die während eines Vishing-Anrufs erteilt wird, kann nicht von einem nicht registrierten Gerät stammen, wenn der Authentifikator an Hardware gebunden ist. Wenn ein vollständiger Rollout ein mehrquartalslanges Projekt ist, sollten die Konten priorisiert werden, die den schlimmsten Szenarien entsprechen: Identitätsadministratoren, Finanzen, DevOps mit Produktionszugang und Kundensupport-Agenten selbst.

Den Zugriff auf sensible Anwendungen auf verwaltete Geräte beschränken, die durch Endpoint-Security-Tools abgesichert sind, und standortbasierte Zugriffsbeschränkungen hinzufügen, die Anmeldeversuche aus Ländern, Netzwerken oder IP-Bereichen ablehnen, in denen das Unternehmen nicht tätig ist. Das sind Grundvoraussetzungen, die dennoch nicht überall umgesetzt sind.

Lebenszyklusereignisse von Authentifikatoren als erstklassige Sicherheitstelemetrie erfassen. Jede Registrierung, jedes Zurücksetzen und jede Entfernung sollte eine Benutzerbenachrichtigung und einen Log-Eintrag erzeugen, den ein Detection Engineer sieht. Work Panels gesamtes Wertversprechen bricht zusammen, wenn ein kompromittierter Nutzer eine Push-Benachrichtigung erhält, die besagt: „Ein neuer Authentifikator wurde hinzugefügt", und weiß, dass er die Sicherheitsabteilung anrufen soll.

Das Helpdesk-Verifizierungsprotokoll überarbeiten. Eingehende Support-Anrufe – und ausgehende Anrufe, die vorgeben, Support zu sein – sollten als Verifizierungsproblem mit einem definierten, Out-of-Band-Schritt behandelt werden. Kein Zugangsdatenwechsel, kein MFA-Prompt und keine Änderung des Authentifikators sollte allein auf Basis eines Telefongesprächs vorgenommen werden.

Prognose: Organisationen, die Passkeys für ihre Identitätsadministratoren einführen und einen Rückruf-Verifizierungsschritt für Authentifikatoränderungen hinzufügen, sollten innerhalb von zwei Quartalen einen messbaren Rückgang bei MFA-bezogenen Account-Takeover-Vorfällen verzeichnen. Falls nicht, sind die Ausgleichskontrollen nicht dort, wo man sie vermutet.

Wichtigste Erkenntnisse

• Work Panel ist eine Betreiberkonsole, kein Kit: drei Rollen (Anrufer, Manager, Administrator), Live-Opfer-Warteschlangen und eine Ein-Klick-Selbstzerstörung, die Phishing-Seiten und DNS-Einträge gemeinsam entfernt.
• Anmeldevorlagen decken Okta, Microsoft 365 und Salesforce ab, was die meisten unternehmensweiten Identitätsstacks standardmäßig ins Visier nimmt.
• Rollentrennung bedeutet, dass Anrufer die erfassten Zugangsdaten nie berühren – das senkt die Arbeitskosten des Angreifers und erhöht die Attributionsschwierigkeit für Verteidiger.
• Push-Genehmigungen, Nummernabgleich und TOTP-Codes werden alle durch die Echtzeit-Manager-Prompt-Pipeline überwunden. Passkeys und Smartcards sind die wirksamen Gegenmaßnahmen.
• Unbekannt und beobachtenswert: die Nutzerbasis, Preisgestaltung und das Hosting-Modell der Plattform. Okta hat diese Zahlen nicht veröffentlicht, und sie bestimmen, ob es sich um ein Nischenwerkzeug oder den Beginn von Vishing-as-a-Service handelt.