Sicherheitsforscher von Check Point haben eine neuartige Phishing-Kampagne identifiziert, die legitime Anmeldeseiten von Microsoft missbraucht, um die Anmeldedaten von Benutzern zu kompromittieren. Bei diesem Vorgehen machten sich die Angreifer das Vertrauen in offizielle Infrastrukturen zunutze, um herkömmliche Sicherheitsfilter zu umgehen und tiefgreifenden Zugriff auf Unternehmensdaten zu erlangen.
Tarnung als offizielle Benachrichtigungsdienste
Die im Zeitraum zwischen dem 25. Juni 2026 und dem 30. Juli 2026 beobachtete Kampagne zeichnete sich durch eine gezielte Vorgehensweise aus. Nach Angaben der Experten von Check Point wurden in diesem Zeitfenster über 200 Phishing-E-Mails an etwa 120 verschiedene Organisationen versandt. Die Angreifer nutzten dabei eine bewährte Täuschungstaktik: Die versendeten Nachrichten gaben sich als offizielle Benachrichtigungen von Kollaborationsplattformen wie Microsoft Teams oder Microsoft Planner aus.
Diese E-Mails enthielten Aufforderungen an die Benutzer, die sie direkt auf die legitime OAuth-Seite von Microsoft (login.microsoftonline.com) weiterleiteten. Da es sich hierbei um eine offizielle und zertifizierte Domain handelt, schlugen automatisierte Sicherheitssysteme, die lediglich auf die Reputation von Webadressen prüfen, in vielen Fällen nicht an.
Rekord-Schäden durch Phishing zeigen, wie verwundbar Unternehmen sind, wenn Angreifer auf psychologische Täuschung setzen. Erfahren Sie in diesem kostenlosen Paket, wie Sie Ihre Firma mit einer 4-Schritte-Strategie effektiv vor Cyberkriminalität schützen. Anti-Phishing-Paket für Unternehmen jetzt gratis sichern
Die technische Infrastruktur hinter dem Datendiebstahl
Sobald die potenziellen Opfer auf der echten Microsoft-Seite landeten, wurden sie aufgefordert, Berechtigungen für eine scheinbar harmlose Anwendung zu erteilen. Sobald der Benutzer diese Genehmigung erteilte, griffen die Mechanismen der Angreifer im Hintergrund. Die Sicherheitsanalysten stellten fest, dass die erzeugten Autorisierungstoken über eine AWS API Gateway direkt an die Hintermänner der Kampagne übermittelt wurden.
Durch diesen Diebstahl der Token konnten die Angreifer die Multi-Faktor-Authentifizierung effektiv umgehen, ohne das tatsächliche Passwort des Nutzers kennen zu müssen. Mit dem so erlangten Zugriff sicherten sie sich weitgehende Befugnisse innerhalb der Microsoft 365-Umgebung der betroffenen Unternehmen. Dies umfasste den Zugriff auf Outlook-E-Mails, SharePoint-Dokumente sowie in OneDrive gespeicherte Daten. Damit war die gesamte digitale Infrastruktur des betroffenen Arbeitsplatzes kompromittiert.
Geografische Schwerpunkte und betroffene Sektoren
Die statistische Auswertung der Kampagne zeigt eine deutliche geografische Konzentration. Laut Check Point befanden sich 98,3 % der ins Visier genommenen Ziele in Nordamerika. Die Angreifer gingen dabei branchenspezifisch vor, wobei bestimmte Sektoren besonders im Fokus standen.
Am stärksten betroffen war die Fertigungsindustrie, auf die 19,3 % der Angriffsversuche entfielen. Das Rechtswesen folgte mit einem Anteil von 13,9 %. Ebenfalls signifikant waren die Aktivitäten gegen gemeinnützige Organisationen (10,9 %) sowie staatliche Stellen und Behörden (8,9 %). Auch das Gesundheitswesen wurde mit einem Anteil von 6,9 % als primäres Ziel identifiziert.
CEO-Fraud und manipulierte E-Mails nutzen gezielt psychologische Schwachstellen Ihrer Mitarbeiter aus, um Sicherheitsbarrieren zu umgehen. Dieser kostenlose Report enthüllt die aktuellen Methoden der Hacker und liefert praktische Hilfsmittel zur Entlarvung dieser Angriffe. Kostenlosen Leitfaden zur Hacker-Abwehr herunterladen
Abschließend gaben die Sicherheitsforscher an, dass die betreffende Kampagne zum jetzigen Zeitpunkt nicht mehr aktiv ist. Dennoch verdeutlicht der Fall die zunehmende Professionalität von Bedrohungsakteuren, die legitime Cloud-Dienste und OAuth-Prozesse für ihre Zwecke instrumentalisieren. Unternehmen wird geraten, die Berechtigungsvergabe für Drittanbieter-Anwendungen innerhalb ihrer Microsoft 365-Umgebungen streng zu überwachen.
