Sicherheitsforscher haben ein neues Phishing-Werkzeug namens N0va identifiziert, das gezielt die Device-Code-Authentifizierung von Microsoft missbraucht und dadurch gültige Zugangs- und Refresh-Token erbeutet – selbst wenn die Opfer die Multi-Faktor-Authentifizierung (MFA) bereits abgeschlossen haben.
Betroffen sind laut einem Bericht von esecurityplanet.com vom 11. September 2026 vor allem Organisationen in Nordamerika und Europa, darunter Behörden, Technologieunternehmen, Beratungsfirmen und Einrichtungen des Gesundheitswesens.
Sicherheitsforscher entdecken das Kit
Die Plattform ANY.RUN habe N0va im September 2026 aufgespürt. Die Angreifer nutzen dabei einen legitimen Authentifizierungsmechanismus von Microsoft: Statt Anmeldedaten und Einmalcodes klassisch abzugreifen, wird das Opfer dazu gebracht, einen Device-Code auf einer echten Microsoft-Anmeldeseite einzugeben.
Da der Vorgang formal korrekt abläuft, entstehen dabei gültige Access- und Refresh-Token, mit denen Angreifer anschließend ohne erneute Authentifizierung auf Konten zugreifen können.
Microsoft reagiert seit dem 1. Juli 2026 mit einer technischen Gegenmaßnahme: Neue Entra-Tenants blockieren den Device-Code-Flow inzwischen standardmäßig über die Microsoft Security Defaults.
Wer sich mit der Absicherung von Unternehmenszugängen befasst, muss heute auch neue gesetzliche Anforderungen und KI-basierte Risiken im Blick behalten. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Cyber Security Awareness Report kostenlos anfordern
Einordnung in eine breitere Angriffswelle
N0va reiht sich in eine Serie ähnlicher Kampagnen ein, die Microsoft in den vergangenen Monaten beobachtet hat. Bereits seit dem Frühjahr 2026 nutzen die Gruppen Storm-3121 und Storm-3032 – bei Google als UNC6671 geführt und den Erpressernetzwerken ShinyHunters und Helix nahestehend – Social-Engineering-Methoden, um Mitarbeitende zur Preisgabe von Zugangsdaten zu bewegen. Dabei geben sich die Täter per Anruf oder SMS als IT-Helpdesk aus und täuschen ein anstehendes Passkey-, MFA- oder SSO-Update vor, bevor sie die Opfer auf Adversary-in-the-Middle- (AiTM) oder Device-Code-Phishing-Seiten leiten.
Nach Angaben von deafnews.it vom 10. September 2026 kontaktieren Storm-3121 und Storm-3032 Mitarbeitende häufig auf privaten Mobiltelefonen, um Unternehmens-Logging zu umgehen. Microsoft hat bislang keine Zahl der betroffenen Organisationen genannt.
Ist der Zugriff einmal erfolgt, registrieren die Angreifer laut einem Bericht von csoonline.com eigene MFA-Methoden, um dauerhaften Zugang zu sichern, und führen anschließend Aufklärung über die Microsoft-Graph-Schnittstelle durch.
Professionelle Phishing-Angriffe nutzen oft psychologische Tricks, um selbst erfahrene Mitarbeiter zu täuschen und Sicherheitsbarrieren zu umgehen. Ein kostenloser Report enthüllt die aktuellen Methoden der Cyberkriminellen und wie man sie effektiv entlarvt. Anti-Phishing-Paket für Unternehmen gratis herunterladen
Der Datenabzug aus SharePoint, OneDrive und Exchange erfolgt demnach gedrosselt mit unter 1.000 Dateien oder E-Mails pro Stunde, um Erkennungssysteme zu unterlaufen. Ergänzend berichtete cisoclub.ru, dass der Zugriff auf Exchange Online teils über die REST-API mit dem User-Agent python-httpx erfolgt, begleitet von zahlreichen FileAccessed- und FileDownloaded-Ereignissen.
Microsoft veröffentlicht Indikatoren für Kompromittierung
Microsoft hat in einem Bericht vom 9. September 2026 mehrere Indikatoren für Kompromittierung (IoCs) veröffentlicht, die im Zusammenhang mit den gefälschten Passkey- und Helpdesk-Kampagnen stehen.
Dazu zählen Domains wie passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com, add-passkey[.]com, oktasession[.]com, keysyncos[.]com, oskeysync[.]com, oskeysetup[.]com, oskeyregister[.]com, syncmykey[.]com, myconnectkey[.]com, oskeyconnect[.]com, validationsetupac[.]com und portalsetuphub[.]com.
Microsoft Threat Intelligence ordnet die beobachteten Aktivitäten den Gruppen Storm-3121 und Storm-3032 zu, die Überschneidungen mit den von Google identifizierten Akteuren UNC6671 sowie mit den Erpressernetzwerken ShinyHunters, Falcon und Helix aufweisen sollen.
