Doubloon Dredger: 603 Angriffs-Skripte stehlen Microsoft 365-Tokens
Veröffentlicht am: 24.08.2026 um 17:44 Uhr | Redaktion boerse-global.de
Sicherheitsexperten warnen vor einer neuen, koordinierten Angriffswelle, die unter dem Namen „Doubloon Dredger“ bekannt geworden ist. Die Kampagne zielt darauf ab, Authentifizierungstokens von Microsoft 365-Nutzerkonten zu entwenden. Dabei setzen die Akteure auf eine raffinierte Kombination aus legitimen Cloud-Diensten, präparierten Dokumenten und der Ausnutzung spezifischer Authentifizierungsverfahren.
Methodik und technische Infrastruktur
Die Angreifer hinter Doubloon Dredger nutzen für ihre Operationen unter anderem legitime Konten der Kollaborationsplattform Notion sowie PDF-Dokumente. Ein zentrales Element der Strategie ist der Missbrauch der Microsoft Device-Code-Authentifizierung.
Dieses Verfahren, das ursprünglich für Geräte ohne einfache Tastatureingabe konzipiert wurde, wird hier zweckentfremdet, um Nutzer zur Preisgabe ihrer Zugangsdaten zu bewegen und so die Sicherheitsvorkehrungen von Microsoft 365 zu umgehen.
Technisches Rückgrat der Kampagne ist das Phishing-as-a-Service-Kit (PhaaS) mit der Bezeichnung „EvilTokens“. Branchenberichten zufolge ist dieses Toolkit bereits seit Februar 2026 aktiv.
Die Schlagkraft der Operation wird durch eine beachtliche Anzahl an bereitgestellten Skripten untermauert. Insgesamt identifizierten Sicherheitsanalysten 603 im Einsatz befindliche Skripte, wovon 416 dem EvilTokens-Baukasten und 187 der Infrastruktur von Tycoon2FA zugeordnet werden.
Betroffene Branchen und Marktentwicklung
Rekordschäden durch Phishing zeigen, wie wichtig eine fundierte Prävention für Unternehmen heute ist. Experten erklären in diesem kostenlosen Anti-Phishing-Paket, wie Sie Ihre Organisation wirksam vor Cyberkriminalität schützen können. Anti-Phishing-Paket für Unternehmen jetzt gratis anfordern
Die Kampagne zeigt eine breite Streuung über verschiedene Wirtschaftszweige hinweg. Zu den primären Zielen gehören Unternehmen aus der Fertigungsindustrie, der Telekommunikation sowie dem Einzelhandel. Ebenso gerieten Organisationen aus dem Gesundheitswesen und der Logistikbranche in den Fokus der Angreifer.
Analysen des Sicherheitsunternehmens Proofpoint verdeutlichen, dass die Technik des Device-Code-Phishings grundsätzlich nicht neu ist und bereits seit dem Jahr 2020 beobachtet wird. Der aktuelle Anstieg und die Professionalisierung solcher Angriffe seien jedoch maßgeblich durch die Verfügbarkeit von Phishing-as-a-Service-Kits wie EvilTokens getrieben.
Diese Dienste ermöglichen es sogenannten Affiliates, gegen Zahlung einer Gebühr auf hochentwickelte Werkzeuge zuzugreifen, was die Eintrittshürden für Cyberkriminelle deutlich senkt.
Warnungen staatlicher Stellen und Schutzmaßnahmen
Wer sich mit der Absicherung geschäftlicher IT-Infrastrukturen befasst, muss die psychologischen Tricks der Angreifer kennen. Dieser kostenlose Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt auf, wie Sie Manipulationen rechtzeitig entlarven. Gratis-Report zur Hacker-Abwehr jetzt herunterladen
Angesichts der Bedrohungslage hat das Australian Signals Directorate (ASD) eine offizielle Warnung herausgegeben. Die Behörde weist explizit auf die Risiken hin, die mit dem Device-Code-Phishing in Microsoft 365-Umgebungen und der zunehmenden Verbreitung von PhaaS-Angeboten verbunden sind.
Zur Absicherung der IT-Infrastruktur empfiehlt das ASD konkrete Gegenmaßnahmen. Ein wesentlicher Hebel sei die Implementierung von Conditional Access (bedingter Zugriff), um Device-Code-Flows gezielt zu blockieren oder einzuschränken. Darüber hinaus sollten Unternehmen auf sogenannte Allow-Listen setzen, um nur autorisierte Prozesse zuzulassen.
Neben diesen technischen Hürden betonen Experten die anhaltende Bedeutung von User-Awareness-Trainings. Mitarbeiter müssten gezielt darauf geschult werden, unübliche Authentifizierungsaufforderungen zu erkennen und korrekt zu behandeln, um die Erfolgsaussichten solcher Phishing-Kampagnen zu minimieren.
