Sicherheitsforscher von Huntress schlagen Alarm: Eine breite SonicWall Credential-Stuffing-Kampagne hat sich zwischen dem 25. und 27. Juli 2026 erfolgreich an VPN- und Firewall-Konten angemeldet. Innerhalb von rund 41 Stunden waren etwa 30 Organisationen und 92 Nutzerkonten betroffen. Wer SonicWall-Appliances für den Fernzugriff einsetzt, sollte seine Anmeldedaten jetzt prüfen.
SonicWall Credential-Stuffing: Was Huntress beobachtet hat
Das Security-Team von Huntress registrierte am 25. Juli einen auffälligen Anstieg erfolgreicher Logins an SonicWall-VPNs und -Firewalls. Die Angreifer gehen breit und opportunistisch vor: Sie testen automatisiert gestohlene Zugangsdaten gegen möglichst viele Fernzugriffs-Portale. Die Zahlen der drei Tage sprechen für sich:
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
- 25. Juli: 26 Konten bei 6 Organisationen kompromittiert
- 26. Juli: 34 Konten bei 16 Organisationen
- 27. Juli: 32 Konten bei 8 Organisationen
Zum Zeitpunkt der Veröffentlichung zählte Huntress rund 30 betroffene Firmen mit 92 kompromittierten Konten. Danach stoppte die Welle nach etwa 41 Stunden abrupt. Die Zugriffe stammen von fünf IP-Adressen, die alle beim Hosting-Anbieter DigitalOcean registriert sind. Wichtig: Die Zahlen umfassen nur Huntress-Kunden – die tatsächliche Dunkelziffer dürfte höher liegen, und ein erneutes Aufflammen ist möglich.
Kein Zero-Day – sondern wiederverwendete Passwörter
Wichtig für die Einordnung: Diese Kampagne beruht nicht auf einer neuen Schwachstelle. Credential Stuffing setzt darauf, dass Nutzer dasselbe Passwort mehrfach verwenden. Aus früheren Datenlecks bekannte Kombinationen aus Nutzername und Passwort werden dabei massenhaft durchprobiert. SonicWall hatte zum Redaktionsschluss noch keine eigene Warnung veröffentlicht und untersuchte den Vorfall; Huntress stuft die Welle als automatisierte Zugangsdaten-Validierung ein, nicht als Zero-Day. Davon zu trennen sind separate, real ausgenutzte SonicWall-Zero-Days aus dem Jahr 2026 – die sollte man nicht mit dieser Passwort-basierten Kampagne verwechseln. Auffällig: Huntress beobachtete bislang keine Aktivität nach dem Login – die Angreifer scheinen noch in der Phase der Zugangsdaten-Validierung zu stecken.
So schützt ihr eure SonicWall-Zugänge
Die wirksamste Einzelmaßnahme gegen Credential Stuffing ist eine starke Zwei-Faktor-Authentifizierung. Denn selbst ein korrektes Passwort reicht dann nicht mehr aus. Huntress und wir empfehlen konkret:
- Mehr-Faktor-Authentifizierung (MFA) für alle Admin- und Fernzugriffskonten erzwingen.
- Fernwartung und WAN-Management einschränken, wo es möglich ist.
- Betroffene Konten sperren, alle Passwörter und Schlüssel auf den Geräten zurücksetzen.
- Anmeldeprotokolle prüfen und die Protokollierung erhöhen.
Besonders robust wird der zweite Faktor mit einem Hardware-Sicherheitsschlüssel nach dem FIDO2-Standard, der sich nicht abphishen lässt. Welche Modelle sich lohnen, zeigt unser Ratgeber zu den besten Hardware-Security-Keys (FIDO2). Wie Angreifer selbst klassische 2FA aushebeln, haben wir am Beispiel des Kratos-Phishing-Kits beschrieben.
Quellen
- Huntress Threat Advisory: Widespread SonicWall Credential Stuffing Campaign
- IT Security Guru: Huntress Flags Widespread Credential Stuffing Campaign
- The Record: SonicWall zu jüngster SSL-VPN-Aktivität
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden