Unbekannte Angreifer haben am Donnerstag den offiziellen Microsoft-Account auf X mit über 13 Millionen Followern gekapert und für ein betrügerisches Pump-and-Dump-Schema mit einem Krypto-Token namens $Clippy missbraucht. Der Account folgte einem gefälschten Clippy-Profil und retweetete dessen Beitrag, um den Token zu bewerben. Microsoft hat die nicht autorisierten Posts inzwischen entfernt, den Account gesichert und eine interne Untersuchung eingeleitet.
Die Methode hinter dem Microsoft-Clippy-Betrug
Der Angriff begann damit, dass der offizielle Microsoft-Account (@Microsoft) einem inzwischen suspendierten Account namens @clippymsftcto folgte und dessen Tweet retweetete. Dieser Account gab sich als Microsofts virtueller Assistent Clippy aus. Ein weiterer Account (@ClippyMSFT) ist weiterhin aktiv und bewirbt den $Clippy-Token, mit der Behauptung, dass er über einen Liquiditätspool direkt mit der Microsoft-Aktie ($MSFT) verbunden sei. Damit sollten potenzielle Opfer angelockt werden, die auf eine offizielle Bestätigung durch Microsoft hofften. Die Taktik folgt dem klassischen Pump-and-Dump-Muster: Durch die scheinbare Autorität des gehackten Accounts wird künstlich Nachfrage für einen wertlosen Token erzeugt, den die Angreifer zuvor selbst gekauft hatten.
Reaktion von Microsoft und rechtliche Konsequenzen
Microsoft hat den Vorfall bestätigt und den Account gesichert. In einem inzwischen gelöschten Tweet entschuldigte sich das Unternehmen und stellte klar: „Wir unterstützen keinerlei Kryptowährung oder kryptobezogenen Token und werden rechtliche Schritte einleiten.“ In einer offiziellen Stellungnahme erklärte Microsoft, dass die Nutzung der Clippy-Marke und des Microsoft-Intellectual-Property ohne Genehmigung erfolgt sei. Weder ein $Clippy-Token noch ein Projekt mit $MSFT-Bezug sei von Microsoft autorisiert, gesponsert oder gebilligt worden. Das Unternehmen kündigte an, gegen den nicht autorisierten Token und dessen Macher juristisch vorzugehen. Ein Sprecher war für BleepingComputer am Donnerstag zunächst nicht erreichbar.
Rückblick: Ähnliche Hacks bei Microsoft India und der SEC
Es ist nicht das erste Mal, dass ein offizieller Microsoft-X-Account gehackt wurde. Bereits im Juni 2024 übernahmen Krypto-Betrüger den Account @MicrosoftIndia mit über 211.000 Followern. Sie gaben sich als Roaring Kitty aus – den legendären Meme-Aktienhändler Keith Gill – und lockten Opfer auf eine Website, die vorgeblich den Verkauf von GameStop (GME)-Krypto anbot. Stattdessen installierten die Angreifer Wallet-Drainer-Malware, um die Krypto-Bestände der Nutzer zu stehlen.
Auch die US-Börsenaufsicht SEC wurde im Januar 2024 Opfer eines Account-Hijacks. In einer SIM-Swapping-Attacke übernahmen Angreifer den @SECGov-Account und veröffentlichten eine Falschmeldung über die lang erwartete Zulassung von Bitcoin-ETFs. Der Bitcoin-Kurs schoss daraufhin kurzzeitig in die Höhe. Der Täter Eric Council Jr. bekannte sich im Februar 2025 schuldig und wurde zu 14 Monaten Haft verurteilt.
Die Bedrohungslage auf X: Milliardenverluste durch Drainer-Campaigns
Die Angriffe reihen sich in eine massive Welle von Account-Übernahmen und betrügerischen Anzeigen auf X ein. Im Dezember 2023 veröffentlichte die Blockchain-Analysefirma ScamSniffer Daten, wonach Kriminelle allein zwischen März und November 2023 rund 59 Millionen US-Dollar von rund 63.000 Menschen erbeuteten. Genutzt wurde dabei der Wallet-Drainer „MS Drainer“, der über eine einzige Twitter-Ad-Kampagne verbreitet wurde. Die Täter schalten gezielt Anzeigen oder kapern verifizierte Accounts, um die Reichweite zu maximieren und die Vertrauenswürdigkeit der Plattform auszunutzen. Für viele Nutzer ist es schwer zu unterscheiden, ob ein Beitrag von einem offiziellen Account stammt oder von einem kompromittierten.
Was Unternehmen aus den Vorfällen lernen müssen
Die wiederholten Hacks – selbst bei Tech-Giganten wie Microsoft und der SEC – zeigen, dass selbst verifizierte X-Accounts mit Millionen Followern nicht immun gegen SIM-Swapping, Social Engineering oder Phishing sind. Unternehmen müssen zwingend mehrstufige Authentifizierungsmechanismen implementieren, Zugriffsrechte regelmäßig überprüfen und verdächtige Aktivitäten wie ungewöhnliche Follower-Änderungen oder Retweets proaktiv überwachen. Die zunehmende Professionalität der Angreifer, die sogar echte Marken wie Clippy imitieren, erfordert eine ständige Anpassung der Sicherheitsprotokolle. Ohne konsequente Maßnahmen werden Pump-and-Dump-Schemata über kompromittierte Prominenten- oder Unternehmensaccounts weiterhin hohe Erfolgsraten erzielen.
