IT-Sicherheitsexperten beobachten derzeit eine verstärkte Ausnutzung legitimer Microsoft-E-Mail-Infrastrukturen und Kalenderfunktionen durch Cyberkriminelle. Die Angreifer setzen dabei auf sogenannte Callback-Phishing-Kampagnen, um Unternehmen und deren Mitarbeiter zu kompromittieren. Wie aktuelle Berichte zeigen, werden hierbei gezielt Funktionen missbraucht, die im geschäftlichen Alltag als vertrauenswürdig gelten.
Manipulation von Kalendereinladungen und QR-Codes
Ein zentraler Aspekt dieser neuen Angriffswelle ist der Missbrauch von Kalendereinladungen in Form von .ics-Dateien. Der Sicherheitsdienstleister Barracuda warnt davor, dass Angreifer Phishing-Links, QR-Codes und geschäftliche Köder direkt in Ereignisbeschreibungen, Ortsfeldern oder Anhängen platzieren. Besonders problematisch erweisen sich dabei QR-Codes, da diese herkömmliche Sicherheitstools oft ungehindert umgehen können.
Um diesen Gefahren zu begegnen, empfehlen Experten, .ics-Dateien grundsätzlich als aktiven Inhalt zu behandeln und Metadaten vorab zu prüfen. Zudem wird der Einsatz von phishing-resistenter Multi-Faktor-Authentifizierung (MFA), wie etwa FIDO2 oder WebAuthn, sowie die Implementierung von Conditional-Access-Richtlinien angeraten.
Massiver Anstieg von Credential-Spraying und Token-Diebstahl
Die Intensität der Angriffe auf Cloud-Infrastrukturen hat in den vergangenen Monaten deutlich zuggenommen. Das Sicherheitsunternehmen Huntress verzeichnete im ersten Halbjahr 2026 einen 155-fachen Anstieg von Credential-Spraying-Angriffen.
Ein prominentes Beispiel ist die sogenannte LSHIY-Kampagne gegen die Azure CLI, bei der Mitte Juni innerhalb von zwei Wochen rund 81 Millionen Login-Versuche registriert wurden. Dabei gelang es den Angreifern, 78 Konten zu kompromittieren. Durch den Missbrauch des OAuth-ROPC-Grants konnten Sicherheitsmechanismen wie MFA und Conditional Access teilweise umgangen werden.
Wer angesichts professioneller Täuschungsmanöver wie CEO-Fraud die Sicherheit seines Unternehmens stärken möchte, findet in diesem Report die nötige Aufklärung über psychologische Tricks. 7 psychologische Schwachstellen Ihrer Mitarbeiter jetzt entlarven
Parallel dazu nutzt die finanziell motivierte Gruppe Doubloon Dredger bösartige PDFs und kostenlose Notion-Konten, um Authentifizierungstokens zu stehlen. Im Juli 2026 wurden dabei E-Mails versendet, die technische Validierungen wie SPF, DKIM und DMARC bestanden.
Die Opfer wurden über Schaltflächen auf Seiten umgeleitet, die als Adobe Acrobat getarnt waren, tatsächlich aber auf dem Phishing-as-a-Service-Angebot EvilTokens basierten. Insgesamt wurden 603 Skripte identifiziert, die sich gegen Branchen wie die Fertigung, Telekommunikation und das Gesundheitswesen richteten.
Bedrohungen für Geschäftsreisende und Teams-Nutzer
Auch mobile Mitarbeiter und Nutzer von Microsoft Teams stehen im Visier. Microsoft schreibt Angriffe über kompromittierte Hotel-WLANs der Gruppe APT29 (Cozy Bear) zu. Dabei werden Nutzer auf gefälschte Login-Seiten umgeleitet oder mit Malware infiziert, die als System-Update getarnt ist.
Die Malware „Cornflake“ nutzt gefälschte Fortschrittsanzeigen, um Geschäftsreisende zu täuschen. In diesem Zusammenhang wird zur Nutzung von Mobilfunkdaten, VPNs und erhöhter Vorsicht bei unerwarteten Eingabeaufforderungen geraten.
Im Bereich von Microsoft Teams wurde die neue Malware SynkLoader identifiziert, die über gefälschte IT-Helpdesk-Profile verbreitet wird. Ein Modul namens PhishLocker stiehlt Windows-Anmeldedaten über einen manipulierten Sperrbildschirm.
Da immer mehr Angriffe auf mobile Mitarbeiter abzielen, ist ein rechtssicheres und geschütztes Setup für unterwegs unerlässlich. Dieser kostenlose Leitfaden liefert Ihnen die passenden Vorlagen und Strategien für sicheres mobiles Arbeiten. Sicherheits-Strategien für mobiles Arbeiten jetzt kostenlos sichern
Die Relevanz solcher Bedrohungen zeigt ein Vorfall bei einem indischen Ingenieurbüro in Pune: Dort verlor das Unternehmen Rs 30 Lakh durch einen „Boss Scam“ über Teams, nachdem ein Mitarbeiter auf ein gefälschtes Profil des Direktors hereingefallen war.
Betrug durch gefälschte Sicherheitsscans
Zusätzlich warnt SysScan vor gefälschten Microsoft-Sicherheitsscans. Diese verleiten Nutzer dazu, ihre Antiviren-Software zu deinstallieren, was in der Folge zu Rückerstattungsbetrug führt.
Die gefälschten Scans zeigen manipulierte Sicherheitswerte an und senden erbeutete Daten an Telegram-Kanäle. Microsoft betonte in diesem Kontext, weiterhin die Antiviren-Lösungen von Drittanbietern vollumfänglich zu unterstützen, um die allgemeine Sicherheitslage zu stärken.
Das Australian Signals Directorate warnt zudem vor „vibe coded“ KI-generierten Angriffen, die speziell auf Microsoft 365 und Google-Dienste abzielen. Um Device-Code-Phishing zu verhindern, wird empfohlen, diese Flows über Conditional Access zu blockieren und verstärkt auf Nutzerschulungen zu setzen.
