Payroll Pirates: Hacker knacken Microsoft-365-MFA mit AiTM-Proxy
Veröffentlicht am: 11.08.2026 um 06:42 Uhr | Redaktion boerse-global.de
Der IT-Sicherheitsdienstleister Arctic Wolf warnt vor einer großangelegten Cyber-Kampagne der Gruppierung Storm-2755, die unter dem Namen „Payroll Pirates“ bekannt geworden ist. Die Angreifer nutzen spezialisierte Phishing-Methoden, um Microsoft 365-Sitzungen zu übernehmen und die Multi-Faktor-Authentifizierung (MFA) auszuhebeln. Ziel der Aktivitäten ist der systematische Diebstahl von Gehalts- und Finanzdaten in Unternehmen.
Die Kampagne zeichnet sich durch eine hohe geografische und sektorale Breite aus. Laut den Dokumentationen von Arctic Wolf richtet sich der Angriff gegen Organisationen in Europa und Nordamerika. Dabei sind verschiedene Branchen betroffen, darunter das Gesundheitswesen, der Bildungssektor, die Fertigungsindustrie sowie Regierungsbehörden und Dienstleistungsunternehmen. Allein im Juli 2026 waren hunderte Organisationen von diesen Übergriffen betroffen.
Komplexer Angriffsvektor über AiTM-Technik
Der Einbruch in die Unternehmensnetzwerke beginnt den Analysen zufolge meist mit einer als Voicemail getarnten Phishing-Nachricht. Sobald ein Mitarbeiter mit dieser Nachricht interagiert, wird eine Kette von Weiterleitungen ausgelöst. Die Angreifer nutzen hierbei legitime Infrastrukturen von Google Meet, Google Ads und Amazon S3, um die Opfer auf eine gefälschte Login-Seite zu führen.
Rekord-Schäden durch Phishing zeigen, wie verwundbar Unternehmen trotz moderner Technik sind. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Sie Ihre Organisation proaktiv schützen und die Belegschaft sensibilisieren können. Wirksame Awareness-Kampagnen jetzt kostenfrei starten
Das technische Herzstück des Angriffs ist ein sogenannter Adversary-in-the-Middle-Proxy (AiTM). Dieser fungiert als Zwischenstation zwischen dem Nutzer und dem tatsächlichen Microsoft-Dienst. Durch dieses Verfahren gelingt es den „Payroll Pirates“, Sitzungstokens in Echtzeit abzugreifen. Da diese Tokens bereits den Status einer erfolgreichen Anmeldung enthalten, wird die Multi-Faktor-Authentifizierung (MFA) wirkungslos. Die Angreifer übernehmen so die Kontrolle über die authentifizierte Sitzung, ohne das Passwort oder den zweiten Faktor des Nutzers dauerhaft besitzen zu müssen.
Gezielte Suche nach Finanz- und Personaldaten
Nach der erfolgreichen Kompromittierung eines Kontos gehen die Akteure methodisch vor. Arctic Wolf stellte fest, dass die Angreifer die Programmierschnittstelle Microsoft Graph verwenden, um die interne Organisationsstruktur zu sondieren. Dabei suchen sie gezielt nach Mitarbeitern, die in Finanz- oder Personalabteilungen tätig sind.
Wer sich mit der Abwehr komplexer Cyberrisiken befasst, muss die psychologischen Manipulationstaktiken der Angreifer kennen. Ein kostenloser Report enthüllt die aktuellen Methoden der Cyberkriminellen und wie Firmen aus Produktion, Handel und Verwaltung Angriffe frühzeitig entlarven. 7 psychologische Schwachstellen im Gratis-Report entdecken
Das primäre Interesse der Angreifer liegt auf dem Zugriff zu Gehaltsabrechnungen und Bankverbindungen der betroffenen Angestellten. Durch die Manipulation dieser Daten oder den direkten Zugriff auf Finanzportale innerhalb der Microsoft 365-Umgebung versuchen die Täter, Zahlungsströme umzuleiten oder sensible Informationen für weitere betrügerische Aktivitäten zu entwenden.
Die Aktivitäten von Storm-2755 verdeutlichen eine qualitative Weiterentwicklung der Phishing-Gefahren. Während herkömmliche MFA-Verfahren lange Zeit als sicherer Schutz gegen Identitätsdiebstahl galten, zeigen die „Payroll Pirates“, dass moderne Proxy-Technologien diese Hürden effizient umgehen können. Experten von Arctic Wolf betonen daher die Notwendigkeit, über die reine Authentifizierung hinausgehende Sicherheitsüberwachungen zu etablieren, um den Missbrauch gestohlener Sitzungstokens frühzeitig zu erkennen.
