Microsoft sieht sich mit einer Welle von Cyberangriffen konfrontiert, bei denen Unbefugte Passkey-Phishing-Kampagnen nutzen, um Cloud-Konten zu übernehmen. Ziel dieser Aktivitäten ist der Abfluss sensibler Unternehmensdaten aus verschiedenen Diensten des Softwarekonzerns.
Die Vorgehensweise der Akteure folgt laut Berichten von Mitte September einem spezifischen Muster des Social Engineering: Die Angreifer geben sich am Telefon als Mitarbeiter eines IT-Helpdesks aus und fordern die Nutzer dazu auf, ein Update ihrer Passkeys oder der Multi-Faktor-Authentisierung (MFA) durchzuführen.
Im Anschluss erhalten die Betroffenen eine SMS, die sie auf präparierte Webseiten leitet. Dabei handelt es sich um sogenannte Adversary-in-the-Middle-Infrastrukturen (AiTM), mit denen Zugangsdaten und Authentifizierungssitzungen abgefangen werden können.
Betroffene Dienste und Umfang der Kampagne
Von den Angriffen sind zentrale Identitätsdienste und Cloud-Anwendungen betroffen, darunter Microsoft 365, Entra ID (ehemals Azure AD), SharePoint Online, OneDrive for Business sowie Exchange Online. Nach der erfolgreichen Übernahme der Identitäten konzentriert sich der Datenabfluss primär auf Inhalte aus SharePoint, OneDrive und Exchange Online.
Angriffe auf Cloud-Identitäten und sensible Unternehmensdaten zeigen, wie wichtig eine fundierte Sicherheitsstrategie für Firmen ist. In diesem kostenlosen E-Book erfahren Unternehmer, wie sie Sicherheitslücken schließen und ihr Unternehmen proaktiv vor Cyberangriffen schützen können. IT-Sicherheit stärken und Bedrohungen abwenden
Sicherheitsforscher von Microsoft verfolgen diese Aktivitäten bereits seit mindestens Anfang Mai 2026. Ein regionaler Schwerpunkt der Angriffe liege in den USA; eine genaue Opferzahl wurde bislang nicht beziffert.
Laut Analysen von Microsoft Security Research zeichnen sich die Vorfälle durch ungewöhnliche Anmeldevorgänge und die Registrierung neuer, unbefugter Authentifizierungsmethoden durch die Angreifer aus. Zudem werde eine ungewöhnlich hohe Aktivität über die Microsoft-Graph-Schnittstelle beobachtet, die mit massenhaften Downloads aus den Cloud-Speichern einhergehe.
Taktik und technische Details der Angreifer
Die Akteure nutzen Microsoft Graph zur Bestandsaufnahme der Zielumgebungen und setzen für die automatisierte Datensammlung eine Proxy-Infrastruktur ein.
Die Einbrüche dauern Berichten zufolge zwischen wenigen Stunden und mehreren Tagen an. Dabei gehen die Täter teils gezielt vor, um Entdeckungsmechanismen zu umgehen, indem sie weniger als 1.000 Dateien oder E-Mails pro Stunde herunterladen. In den Cloud-Protokollen der betroffenen Konten wurde in diesem Zusammenhang der User-Agent „python-httpx“ beobachtet.
Die Professionalität der Angreifer verdeutlicht, dass herkömmliche Sicherheitsmaßnahmen oft nicht mehr ausreichen, um komplexe Phishing-Methoden zu stoppen. Dieses kostenlose Anti-Phishing-Paket bietet eine detaillierte Analyse aktueller Hacker-Taktiken und zeigt Ihnen in vier Schritten den Weg zur erfolgreichen Abwehr. Anti-Phishing-Leitfaden für Unternehmen kostenlos anfordern
Im Fokus der Kampagne steht der Zugriff auf Cloud-Identitäten. Eine dauerhafte Persistenz auf den Endgeräten der Nutzer werde laut Sicherheitsanalysen nicht angestrebt; das Ziel sei der direkte Datendiebstahl nach dem Konten-Hijack. Die Ermittlungen deuten auf verschiedene Akteure hin, die für diese Kampagnen verantwortlich zeichnen.
Genannt werden unter anderem die Gruppen Storm-3121, die auch unter den Namen ShinyHunters oder Falcon bekannt ist, sowie Storm-3032 (Helix, ehemals BlackFile). Es gebe zudem Überschneidungen zur Gruppierung UNC6671. Eine eindeutige Zuordnung zu einem einzelnen Täter könne derzeit jedoch nicht vorgenommen werden.
Empfehlungen zur Absicherung
Für das Phishing kommen zahlreiche Domains zum Einsatz, darunter Adressen wie passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com, add-passkey[.]com, integratedsso[.]com, oktasession[.]com, keysyncos[.]com und syncmykey[.]com.
Angesichts der Professionalität der Angriffe wird Unternehmen dringend der Einsatz von phishing-resistenten MFA-Lösungen empfohlen. Im Falle einer vermuteten Kompromittierung sollten Administratoren sämtliche bestehenden Sitzungen widerrufen und die Konten auf unbefugt registrierte MFA-Methoden prüfen und diese umgehend entfernen.
