Microsoft 365: Angreifer geben sich als IT-Support aus

Microsoft Security Research hat aufgedeckt, dass Angreifer sich als IT-Helpdesk-Mitarbeiter ausgeben, um Zugang zu Microsoft-365-Identitäten von Unternehmen zu erlangen. Laut einem Bericht des Unternehmens vom 9. September 2026 nutzen die Täter dafür gefälschte Warnungen zu Passkey-, MFA- und SSO-Aktualisierungen. Die Cloud-Intrusionen werden demnach bereits seit Mai 2026 beobachtet.

Täuschung über mehrere Kanäle

Die Angreifer kontaktieren Mitarbeiter über verschiedene Wege – per Telefonanruf, SMS und Microsoft Teams, teilweise sogar auf privaten Mobiltelefonen –, um sich als IT-Support auszugeben, wie helpnetsecurity.com berichtete. Ziel dieser Täuschung sind sogenannte Adversary-in-the-Middle-Phishing-Angriffe (AiTM) oder Device-Code-Flows, mit denen Zugangsdaten und Sitzungstoken gestohlen werden, wie cyberpress.org berichtete.

Ist der Zugriff einmal erfolgt, sichern sich die Angreifer laut all-about-security.de dauerhaften Zugang, indem sie eigene MFA-Geräte für die kompromittierten Konten registrieren. Laut Microsoft Security Research hielten die Sitzungen der Angreifer dabei etwa eine Stunde.

Angesichts der Zunahme von Phishing-Angriffen über gefälschte IT-Support-Anrufe ist es für Unternehmen entscheidend, die psychologischen Tricks der Hacker zu durchschauen. Dieser kostenlose Report zeigt, wie Sie Manipulationstaktiken entlarven und Ihre Organisation in vier Schritten wirksam schützen. Anti-Phishing-Paket für Unternehmen jetzt gratis anfordern

Systematische Datenerkundung und -abfluss

Nach der Kontoübernahme folgt laut Microsoft eine gezielte Erkundung des betroffenen Mandanten über Microsoft Graph sowie der Abfluss von Daten aus SharePoint, OneDrive und Exchange. Die Mandantenerkundung erfolge dabei mit Node.js und dem User-Agent python-httpx, wie all-about-security.de berichtete.

Der eigentliche Datenabfluss ziehe sich über Wochen hin und bleibe mit unter 1.000 Dateien beziehungsweise E-Mails pro Stunde vergleichsweise unauffällig, wie helpnetsecurity.com berichtete.

Als verantwortliche Akteure nennt Microsoft Threat Intelligence die Gruppen Storm-3121, die mit ShinyHunters und Falcon in Verbindung stehen soll, sowie Storm-3032, die aus der früheren Gruppe BlackFile hervorgegangen ist und inzwischen unter dem Namen Helix agiert, wie all-about-security.de berichtete.

Als Indikatoren für eine Kompromittierung nannte Microsoft laut cyberpress.org unter anderem die Domains passkeyhelpdesk[.]com und secure-passkey[.]com.

Parallele Beobachtungen bei Arctic Wolf

Auch der Sicherheitsdienstleister Arctic Wolf berichtete von einer ähnlichen Angriffskampagne. Die dort als Cordial Spider, PREY-0058 oder UNC667 bezeichnete Gruppe setze ebenfalls auf Vishing-Anrufe im Namen von IT-Helpdesks, AiTM-Token-Diebstahl und Anmeldungen über Residential-Proxys, um Microsoft-365- und weitere SaaS-Umgebungen anzugreifen, wie rhisac.org berichtete. Die Kampagne nutze demnach hunderte Lure-Subdomains und ziele vorrangig auf Organisationen in den USA.

Wer sich mit der Absicherung von Cloud-Identitäten und digitalen Zugängen befasst, sollte moderne Alternativen zu klassischen Passwörtern genau prüfen. Dieser kostenlose Report erklärt die Funktionsweise von Passkeys und wie Sie diese neue Technologie sicher für Ihre Konten einrichten. Gratis-Report: Passwortlose Anmeldung mit Passkeys entdecken

Die Exfiltration durch diese Gruppe betreffe neben SharePoint, OneDrive und Exchange auch Box, wobei als Proxy-Dienst NodeMaven zum Einsatz komme, wie rhisac.org berichtete. Als zugehörige Indikatoren wurden die Domains assignpasskey[.]com, mfaregister[.]com und nowsso[.]com genannt.

Die Häufung ähnlicher Vorgehensweisen bei unterschiedlichen Bedrohungsakteuren deutet darauf hin, dass sich Social-Engineering-Angriffe über gefälschte IT-Support-Kontakte als wirksame Methode etabliert haben, um klassische Multi-Faktor-Authentifizierung zu umgehen.

de | wissenschaft | 70082416 |