SonicWall Credential-Stuffing: 30 Firmen betroffen

Sicherheitsforscher von Huntress schlagen Alarm: Eine breite SonicWall Credential-Stuffing-Kampagne hat sich zwischen dem 25. und 27. Juli 2026 erfolgreich an VPN- und Firewall-Konten angemeldet. Innerhalb von rund 41 Stunden waren etwa 30 Organisationen und 92 Nutzerkonten betroffen. Wer SonicWall-Appliances für den Fernzugriff einsetzt, sollte seine Anmeldedaten jetzt prüfen.

SonicWall Credential-Stuffing: Was Huntress beobachtet hat

Das Security-Team von Huntress registrierte am 25. Juli einen auffälligen Anstieg erfolgreicher Logins an SonicWall-VPNs und -Firewalls. Die Angreifer gehen breit und opportunistisch vor: Sie testen automatisiert gestohlene Zugangsdaten gegen möglichst viele Fernzugriffs-Portale. Die Zahlen der drei Tage sprechen für sich:

• 25. Juli: 26 Konten bei 6 Organisationen kompromittiert
• 26. Juli: 34 Konten bei 16 Organisationen
• 27. Juli: 32 Konten bei 8 Organisationen

Zum Zeitpunkt der Veröffentlichung zählte Huntress rund 30 betroffene Firmen mit 92 kompromittierten Konten. Danach stoppte die Welle nach etwa 41 Stunden abrupt. Die Zugriffe stammen von fünf IP-Adressen, die alle beim Hosting-Anbieter DigitalOcean registriert sind. Wichtig: Die Zahlen umfassen nur Huntress-Kunden – die tatsächliche Dunkelziffer dürfte höher liegen, und ein erneutes Aufflammen ist möglich.

Kein Zero-Day – sondern wiederverwendete Passwörter

Wichtig für die Einordnung: Diese Kampagne beruht nicht auf einer neuen Schwachstelle. Credential Stuffing setzt darauf, dass Nutzer dasselbe Passwort mehrfach verwenden. Aus früheren Datenlecks bekannte Kombinationen aus Nutzername und Passwort werden dabei massenhaft durchprobiert. SonicWall hatte zum Redaktionsschluss noch keine eigene Warnung veröffentlicht und untersuchte den Vorfall; Huntress stuft die Welle als automatisierte Zugangsdaten-Validierung ein, nicht als Zero-Day. Davon zu trennen sind separate, real ausgenutzte SonicWall-Zero-Days aus dem Jahr 2026 – die sollte man nicht mit dieser Passwort-basierten Kampagne verwechseln. Auffällig: Huntress beobachtete bislang keine Aktivität nach dem Login – die Angreifer scheinen noch in der Phase der Zugangsdaten-Validierung zu stecken.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

So schützt ihr eure SonicWall-Zugänge

Die wirksamste Einzelmaßnahme gegen Credential Stuffing ist eine starke Zwei-Faktor-Authentifizierung. Denn selbst ein korrektes Passwort reicht dann nicht mehr aus. Huntress und wir empfehlen konkret:

• Mehr-Faktor-Authentifizierung (MFA) für alle Admin- und Fernzugriffskonten erzwingen.
• Fernwartung und WAN-Management einschränken, wo es möglich ist.
• Betroffene Konten sperren, alle Passwörter und Schlüssel auf den Geräten zurücksetzen.
• Anmeldeprotokolle prüfen und die Protokollierung erhöhen.

Besonders robust wird der zweite Faktor mit einem Hardware-Sicherheitsschlüssel nach dem FIDO2-Standard, der sich nicht abphishen lässt. Welche Modelle sich lohnen, zeigt unser Ratgeber zu den besten Hardware-Security-Keys (FIDO2). Wie Angreifer selbst klassische 2FA aushebeln, haben wir am Beispiel des Kratos-Phishing-Kits beschrieben.

Quellen

• Huntress Threat Advisory: Widespread SonicWall Credential Stuffing Campaign
• IT Security Guru: Huntress Flags Widespread Credential Stuffing Campaign
• The Record: SonicWall zu jüngster SSL-VPN-Aktivität