Microsoft-Phishing: Hacker umgehen MFA über Consent-Angriffe

Sicherheitsanalysten von Check Point Research haben eine hochentwickelte Phishing-Kampagne identifiziert, die gezielt die offizielle Infrastruktur von Microsoft ausnutzt, um Sicherheitsvorkehrungen in Unternehmen zu umgehen. In einem Zeitraum von Ende Juni bis Mitte Juli 2026 registrierten die Experten über 200 gezielte E-Mails, die an rund 120 Organisationen weltweit versendet wurden. Im Gegensatz zu herkömmlichen Methoden setzten die Angreifer dabei nicht auf gefälschte Anmeldeseiten, sondern missbrauchten den regulären Authentifizierungsprozess des Software-Konzerns.

Umgehung der Multi-Faktor-Authentisierung durch Consent-Angriffe

Der Kern der Strategie bestand laut den Sicherheitsforschern darin, die Opfer auf die tatsächliche Login-Seite von Microsoft zu leiten. Um die Glaubwürdigkeit zu erhöhen, erhielten die Zielpersonen gefälschte Benachrichtigungen des Kommunikationsdienstes Teams, die den Anschein erweckten, von Absendern aus der eigenen Organisation zu stammen. Sobald sich die Nutzer auf der legitimen Plattform anmeldeten, wurden sie dazu aufgefordert, einer bösartigen App weitreichende Berechtigungen zu erteilen.

Durch diesen sogenannten Consent-Angriff war es den Angreifern möglich, die Multi-Faktor-Authentisierung (MFA) vollständig zu umgehen. Einmal autorisiert, erlangten die Täter Zugriff auf eine Vielzahl von Unternehmensressourcen, darunter E-Mails, Dateien, SharePoint-Inhalte, OneDrive-Speicher sowie Kalenderdaten und Teams-Verläufe. Obwohl die spezifische Kampagne inzwischen nicht mehr aktiv ist, beobachten die Experten eine zunehmende Kommerzialisierung dieser Technik. Das Verfahren werde mittlerweile als Dienstleistung vermietet, wobei ähnliche Angriffsmuster bereits im Zusammenhang mit Plattformen wie Barracuda oder Kratos sowie in öffentlichen WLAN-Netzwerken von Hotels festgestellt wurden.

Rekord-Schäden durch Phishing zeigen, warum immer mehr Unternehmen jetzt auf gezielte Awareness-Kampagnen setzen. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam gegen psychologische Manipulation schützen kann. Kostenloses Anti-Phishing-Paket herunterladen

Kommerzialisierung durch Phishing-as-a-Service-Modelle

Ein weiteres Beispiel für die Professionalisierung der Szene stellt das Kit „Greatness PhaaS“ dar, das bereits seit dem Jahr 2022 am Markt existiert. Für eine Gebühr von 289 US-dollar pro Monat können Kriminelle ein Paket erwerben, das unter anderem das Spoofing von RingCentral-Adressen nutzt, um E-Mail-Filter zu täuschen. Trotz des Fehlens gängiger Sicherheitsvalidierungen wie SPF, DMARC oder DKIM wurden gefälschte Voicemail-Benachrichtigungen oder Leistungsüberprüfungen oft mit einem Spam-Vertrauenswert (SCL) von -1 eingestuft und somit als sicher zugestellt.

Als potenzielle Quelle für die Zieladressen der Greatness-Kampagne wird ein Datenleck bei RingCentral angeführt, das am 28. Juli 2026 bekannt wurde. Die Opfer dieser Angriffe werden auf Phishing-Seiten geleitet, die Adversary-in-the-Middle-Techniken oder den Device-Code-Flow nutzen, um dauerhaften Zugriff auf Mailkonten und Cloud-Dienste zu erhalten. Diese Persistenz bleibt den Berichten zufolge oft über einen Zeitraum von bis zu zwei Wochen bestehen.

Diversifizierung der Angriffsmethoden

Zusätzlich zu den Microsoft-zentrierten Angriffen berichtet das Sicherheitsunternehmen Arctic Wolf von einer weiteren PhaaS-Kampagne, die über 126 Hosts betreibt. Dabei werden Oberflächen zahlreicher Dienste imitiert, darunter Outlook, AWS, Xerox DocuShare sowie internationale Provider wie GMX, Mail.ru und Yandex Disk. Diese Kampagne ziele unter anderem auf die Übernahme von Accounts beim staatlich unterstützten MAX Messenger ab.

Wer sich mit der Abwehr moderner Cyberangriffe befasst, sollte auch die neuesten technologischen Lösungen zur Identitätssicherung kennen. Ein kostenloser Report zeigt, wie Sie Passkeys bei Diensten wie Amazon, Microsoft und WhatsApp sofort einrichten und Passwörter sicher ablösen. Gratis-Report zu passwortloser Sicherheit anfordern

Ergänzend dazu nutzen Akteure wie Kali365 den OAuth Device Authorization Flow, um herkömmliche MFA-Hürden zu überwinden. Der Abfluss entwendeter Daten erfolge in diesen Fällen häufig automatisiert über Telegram-Bots.

Angesichts dieser Entwicklungen raten IT-Sicherheitsexperten dazu, die Berechtigungen für App-Zustimmungen innerhalb der Unternehmensinfrastruktur strikt einzuschränken. Unternehmen sollten zudem verstärkt auf phishing-resistente MFA-Lösungen setzen und regelmäßig die Liste der erteilten Drittanbieter-Berechtigungen kontrollieren, um unbefugte Zugriffe frühzeitig zu erkennen.