Phishing mit Event-Einladungen: Hacker stehlen Microsoft- und Google-Zugänge

Cyberkriminelle haben manipulierte Registrierungsseiten für angebliche Veranstaltungen namhafter Technologieunternehmen wie OpenAI, SpaceX und Anthropic aufgesetzt, um Zugangsdaten von Mitarbeitern zu entwenden.

Das Sicherheitsunternehmen Push Security entdeckte die Angriffswelle und konnte die Kampagne Ende Oktober 2026 bei Unternehmenskunden abwehren, wie foxnews.com in einem Bericht vom 15. November 2026 bekannt machte. Im Fokus des Angriffs standen die Kontodaten von Beschäftigten für die Dienste von Microsoft und Google.

Um Vertrauen bei den Zielpersonen aufzubauen, nutzten die Angreifer das hohe Interesse an Zukunftstechnologien und künstlicher Intelligenz gezielt aus. Eine gefälschte Registrierungsseite imitierte ein Event von OpenAI und bewarb einen Livestream für den 4. November 2026 unter dem Titel „ChatGPT for Social & Digital Marketing Teams“.

Als Anreiz versprachen die Initiatoren drei Gratismonate für ChatGPT Pro. Eine weitere Phishing-Seite gab sich als Briefing von SpaceX vom 12. November 2026 aus und stellte Interessierten die Wahl zwischen drei Monaten des Dienstes Grok Heavy oder einem Anteil an SpaceX in Aussicht.

Zudem existierte eine auf Anthropic abzielende Seite, die als Veranstaltung im Umfeld von AWS re:2026 aufgemacht war. Bei der späteren Analyse durch Push Security war diese Webseite allerdings bereits nicht mehr abrufbar.

Ausgefeilte Angriffspfade über Microsoft und Google

Rekord-Schäden durch Phishing zeigen, warum immer mehr Unternehmen auf gezielte Awareness-Kampagnen setzen müssen, um ihre Mitarbeiter zu sensibilisieren. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam gegen psychologische Manipulationstaktiken schützen kann. Anti-Phishing-Leitfaden jetzt gratis herunterladen

Die Anmeldung zu den vorgetäuschten Veranstaltungen erfolgte über Eingabemasken für Microsoft- oder Google-Konten. Je nach gewähltem Login setzten die Kriminellen unterschiedliche technische Abläufe in Gang. Bei der Anmeldung über Microsoft erzeugte das Werkzeug Kali365 einen Geräte-Code.

Die betroffenen Nutzer gaben diesen Code anschließend auf der echten Website von Microsoft ein, wodurch der resultierende Zugriffstoken direkt an die Angreifer weitergeleitet wurde. Anschließend nutzten die Täter das Werkzeug VoidProxy, um auch Passwörter und Session-Cookies abzugreifen.

Wählten Beschäftigte stattdessen den Anmeldepfad über Google, kam VoidProxy direkt zum Einsatz, um Login-Daten, Antworten zur Mehr-Faktor-Authentifizierung und Session-Cookies abzufangen.

Zur Umsetzung der Angriffe dienten laut Push Security unter anderem die Phishing-Baukästen ZoomMock und MSDRoot. Die Weiterleitung der Zielpersonen erfolgte über Kurzlinks von Google und Zapier, kombiniert mit Sicherheitsprüfungen von Cloudflare, um Analysen durch Schutzsysteme zu erschweren.

Sicherheitsmaßnahmen und unklare Schadenshöhe

Wer sich gegen professionelle Hacker-Methoden und den Diebstahl von Zugangsdaten absichern möchte, findet in diesem kostenlosen Report eine zukunftssichere Alternative. Erfahren Sie, wie Sie Passkeys bei Diensten wie Microsoft oder Google einrichten und Phishing damit technisch unmöglich machen. Kostenlosen Report zu passwortloser Sicherheit anfordern

Über die Gesamtzahl der tatsächlich betroffenen Unternehmenskonten gibt es bislang keine gesicherten Informationen; Push Security betonte, dass keine bestätigte Zahl kompromittierter Accounts vorliege. Auf die Bedrohungslage hat auch Microsoft reagiert: Der Technologiekonzern teilte mit, dass für die Erkennung der Phishing-Kampagne entsprechende Schutzmechanismen im Sicherheitsprogramm Defender bereitgestellt wurden.