Zwischen April und Juli 2026 registrierten die KnowBe4 Threat Labs einen Anstieg bösartiger .vu-Phishing-Seiten um 159,6 Prozent. Insgesamt wurden 1.660 eindeutig schädliche Domains und mehr als 28 Millionen betrügerische E-Mails erfasst. Der Grund für die Wahl von .vu liegt offenbar darin, dass die Endung bei vielen Sicherheitsdiensten bislang kaum als Risiko eingestuft wird.
Sicherheitssysteme bewerten Domains häufig anhand ihrer bisherigen Aktivitäten. Da .vu bislang nur wenig von Cyberkriminellen genutzt wurde, fehlen entsprechende Warnsignale. Neue Domains können dadurch zunächst Sicherheitsfilter passieren. Begünstigt wird dies durch offene Registrierungsmöglichkeiten und die Möglichkeit, WHOIS-Daten zu anonymisieren. Zusätzlich verstecken sich laut Untersuchung 99,9 Prozent der schädlichen .vu-Domains ausschließlich in Links innerhalb der E-Mail. Die eigentlichen Versanddomains wirken dagegen unauffällig.
Die Angreifer gehen dabei gezielt vor. Lange Unternehmensbezeichnungen und komplexe Subdomains sollen Markenschutz- und URL-Filter umgehen. Zwar werden die verwendeten Domains durchschnittlich bereits nach rund 20 Tagen erkannt, doch dieses kurze Zeitfenster reicht aus, um Millionen gefälschter Nachrichten zu verbreiten – etwa als vermeintliche Rechnungen, Dokumentenbenachrichtigungen oder Kontowarnungen.
Für Unternehmen bedeutet das: Reine Blocklisten reichen nicht mehr aus. Sicherheitsverantwortliche sollten .vu-Domains auf E-Mail-Gateways und DNS-Ebene blockieren und prüfen, ob eine generelle Sperrung sinnvoll ist. Außerdem empfiehlt sich eine rückwirkende Analyse von SIEM- und E-Mail-Protokollen ab April 2026. Eingebettete URLs sollten genauer überprüft und SPF, DKIM sowie DMARC konsequent abgesichert werden. Ebenso wichtig bleibt die Sensibilisierung der Mitarbeiter für verdächtige Links.
Langfristig kann eine Kombination aus kontinuierlichem Phishing-Training, automatisierter Erkennung und modernen E-Mail-Schutzsystemen helfen, die Angriffsfläche zu reduzieren. Denn der aktuelle .vu-Trend zeigt einmal mehr: Sobald eine Domain als Sicherheitsrisiko erkannt und blockiert wird, suchen sich Angreifer den nächsten bislang weniger beachteten Weg.
