Das Cybersicherheitsunternehmen Arctic Wolf hat am 26. Oktober 2026 über 400 Vorfälle dokumentiert, bei denen Angreifer Postfächer gezielt mit Spam überfluteten und anschließend binnen Minuten über Microsoft Teams als vermeintlicher IT-Support Kontakt aufnahmen.
Wie Berichte vom 29. Oktober 2026 zeigen, dauerte es bei erfolgreichen Attacken nach der ersten Rückmeldung der Opfer weniger als 15 Minuten, bis sich die Täter weitreichenden Fernzugriff verschaffen konnten.
Gezieltes E-Mail-Bombing bereitet Kontaktaufnahme vor
Die Angriffsmethode basierte auf einer schnellen Abfolge aufeinander abgestimmter Schritte. Zunächst setzten die Kriminellen auf sogenanntes E-Mail-Bombing und fluteten die Postfächer ausgewählter Mitarbeiter mit hunderten automatischen Benachrichtigungen, etwa Anmeldebestätigungen für Newsletter.
Unmittelbar darauf schalteten sie sich über Microsoft Teams ein: Mit Profilen wie „IT Service Desk“ gaben sie sich als interne IT-Hilfe aus und boten an, das akute Spam-Problem zu beheben.
Reagierten die Betroffenen auf die Anfrage, wechselten die Angreifer zu einem Teams-Sprachanruf. Im weiteren Verlauf leiteten sie die Mitarbeiter dazu an, Fernwartungssoftware wie Quick Assist oder kommerzielle Tools wie AnyDesk und ScreenConnect zu starten.
Rekord-Schäden durch Phishing und Social Engineering zeigen, warum Unternehmen heute auf gezielte Awareness-Kampagnen angewiesen sind. In diesem kostenlosen Anti-Phishing-Paket erfahren Sie, wie Sie Ihr Unternehmen wirksam gegen moderne Angriffsmethoden absichern können. Kostenloses Anti-Phishing-Paket jetzt herunterladen
In unter 15 Minuten gelangten die Angreifer so in interne Unternehmensnetze, führten Schadcode aus, installierten Fernzugriffsprogramme oder bereiteten Datendiebstähle und Erpressungsversuche mittels Ransomware vor.
Missbrauch legitimer Funktionen und Wegwerf-Tenants
Für die Angriffe nutzten die Täter wiederholt identische Anzeigenamen, Fernzugriffswerkzeuge und Payload-Domains sowie temporäre Microsoft-Tenants. In 30 bis 40 Prozent der von Arctic Wolf untersuchten Fälle endeten die genutzten Domains auf onmicrosoft.com.
Der Zugriff über Tools wie Quick Assist, AnyDesk oder TeamViewer diente den Kriminellen dazu, die Netzwerke auszukundschaften, eine Backdoor namens GoGRPC einzuschleusen und zu Domänencontrollern vorzudringen.
Laut einem Bericht vom 29. Oktober 2026 brachte das Sicherheitsunternehmen Sophos die beobachteten Aktivitäten zudem mit einer Gruppe namens STAC4749 in Verbindung, zu deren Umfeld .top-IT-Domains und Chaos-Ransomware gezählt werden. Dabei kamen unter anderem PowerShell-Befehle für Downloads aus dem Azure Blob Storage sowie Python-Implantate für Abfragen im Active Directory zum Einsatz.
Dem Branchendienst Cybersecurity-News zufolge lag den Attacken kein technischer Softwarefehler in Microsoft Teams zugrunde. Die Angreifer nutzten vielmehr legitime Funktionen der Kommunikationsplattform über Wegwerf-Tenants aus. Betroffen waren vor allem Organisationen mit aktivierter externer Kommunikation, große verteilte Unternehmen sowie interne Service-Desks mit einem hohen täglichen Anfragevolumen.
Wer sich gegen raffinierte Täuschungsversuche schützen will, muss die psychologischen Manipulationstaktiken der Hacker verstehen. Dieser kostenlose Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt, wie man betrügerische Anfragen sicher entlarvt. Gratis-Report zur Hacker-Abwehr sichern
Empfohlene Schutzmaßnahmen für Unternehmen
Zur Abwehr solcher Angriffe empfahl Arctic Wolf, externe Chats in Teams strikt auf zuvor definierte Partnerdomänen zu beschränken, unmanaged Konten sowie Test-Tenants zu blockieren und Fernwartungssoftware ausschließlich autorisiertem IT-Personal zur Verfügung zu stellen.
Zudem sollten Beschäftigte bei Spam-Wellen oder unaufgeforderten Teams-Anfragen nicht reagieren, sondern den betriebsinternen Support eigenständig über bekannte Rufnummern kontaktieren.
Auch Microsoft empfahl eine Freigabeliste für vertrauenswürdige Partnerdomänen, die Blockade nicht verwalteter Konten und eine restriktive Handhabung von Fernzugriffswerkzeugen. Laut Cybersecurity-News sollten Organisationen zudem auf standardisierte Rückrufe oder Ticketabgleiche setzen, Alarmsysteme für Interaktionen mit unbekannten externen Tenants aktivieren und Helpdesk-Mitarbeiter gezielt auf derartige Täuschungsmuster schulen.