Microsoft warnt vor einer neuen Welle gezielter Passkey-Phishing-Angriffe, die auf Microsoft 365aaaa-Konten abzielen. Die Kampagne, die seit Mai 2026 aktiv ist, wird von bekannten Erpresserbanden wie ShinyHunters, Helix und anderen durchgeführt. Die Angreifer setzen auf eine Kombination aus Social Engineering, gefälschten Support-Anrufen und speziell präparierten Phishing-Seiten, um an Zugangsdaten und Session-Tokens zu gelangen. Im Fokus stehen Unternehmenskonten, die mit Microsoft 365-Diensten verbunden sind.
Die Taktik: Passkey-Phishing und Social Engineering
Die Angriffskette beginnt mit umfangreicher Recherche. Die Täter sammeln Informationen über Zielunternehmen und deren Mitarbeiter aus öffentlich zugänglichen Quellen wie sozialen Netzwerken oder beruflichen Profilportalen. Anschließend kontaktieren sie die Angestellten telefonisch oder per Nachricht und geben sich als IT-Helpdesk des Unternehmens aus. Die Betrüger behaupten, dass dringend ein Passkey, eine Multi-Faktor-Authentifizierung (MFA) oder eine Single-Sign-On-Konfiguration (SSO) aktualisiert werden müsse, um den Zugriff auf Unternehmenssysteme nicht zu verlieren.
Die Opfer werden auf Phishing-Seiten geleitet, die täuschend echt wie legitime Microsoft-Anmeldeseiten aussehen. Die Links werden häufig per SMS auf die privaten Handys der Mitarbeiter geschickt. Microsoft betont, dass die Angreifer gar nicht versuchen, einen echten Passkey zu registrieren. Die Passkey-Thematik dient vielmehr als Köder, um die Mitarbeiter auf sogenannte Adversary-in-the-Middle-Phishing-Seiten (AiTM) zu locken oder sie zur Nutzung von Device-Code-Authentifizierungsabläufen zu bewegen. AiTM-Angriffe ermöglichen es, Anmeldeinformationen und Session-Tokens abzufangen, während Device-Code-Phishing das Opfer dazu bringt, über eine offizielle Microsoft-Seite einem angreifergesteuerten Client Zugriff auf das eigene Konto zu gewähren.
Die Angreifer und ihr Ökosystem
Microsoft ordnet die Aktivitäten mehreren Bedrohungsakteuren zu, die im selben Erpresser-Ökosystem operieren. Die Gruppen Storm-3121 und Storm-3032 stehen im Fokus. Storm-3121 wird mit ShinyHunters und der Erpressungsgruppe Falcon in Verbindung gebracht, Storm-3032 mit der BlackFile-Gruppe, die mittlerweile unter dem Namen Helix agiert. Diese Aktivitäten überschneiden sich mit Angriffen, die Google Threat Intelligence unter dem Cluster UNC6671 dokumentiert hat. Google berichtete ebenfalls von telefonischem Social Engineering und passkey-basierten Phishing-Infrastrukturen, die auf Unternehmensidentitäten abzielen. Die gleichen Erpresserbanden – BlackFile, Helix, Falcon, Pink und Redact – sind auch aus den Google-Analysen bekannt.
Die Angreifer registrieren gezielt Phishing-Domains, die Firmennamen mit Begriffen wie Passkey, SSO, Schlüsselsynchronisation oder Kontoeinrichtung kombinieren. Beispiele dafür sind passkeyhelpdesk.com, secure-passkey.com, setupmypasskey.com oder integratedsso.com. Oft wird der Firmenname als Subdomain verwendet, etwa company-name.secure-passkey.com, um die Phishing-Seiten authentischer wirken zu lassen.
Der Angriffsablauf nach der Kompromittierung
Microsoft hat die Vorgänge nach einer erfolgreichen Kontokompromittierung detailliert analysiert. In einem untersuchten Fall erfolgte eine verdächtige Anmeldung von einem nicht verwalteten Gerät auf einen Microsoft 365-Dienst, der in Entra-Protokollen als OfficeHome identifiziert wurde. Nach Abschluss der MFA-Abfrage baute der Angreifer eine gültige Session auf und begann sofort mit der Erkundung der verfügbaren Ressourcen. Innerhalb von Minuten griff er auf My Apps (zugeteilte Anwendungen), My Profile (Organisationsinformationen), die Microsoft-Zustimmungsverwaltung, Kontoverwaltungsschnittstellen und My Sign-Ins zu. Anschließend folgten Zugriffe auf SharePoint Online, Outlook Web, Microsoft 365-Kollaborations- und Suchdienste, eine interne Geschäftsanwendung sowie Authentifizierungsflüsse für virtuelle Desktops. Die Session blieb etwa eine Stunde aktiv, während der Angreifer sensible Dateien und Anwendungen auflistete.
In einem zweiten Angriff führte das Passkey-Phishing zu Device-Code-Phishing: Das Opfer wurde überzeugt, einen bereitgestellten Code auf der offiziellen Microsoft-Authentifizierungsseite einzugeben. Dadurch wird ein Authentifizierungstoken an die angreifergesteuerte OAuth-Anwendung ausgestellt, sodass der Täter ohne weitere MFA-Herausforderung auf das Konto zugreifen kann. Der Angreifer erhält damit Zugriff auf alle Ressourcen des Benutzers sowie auf verbundene SSO-Anwendungen – darunter Microsoft 365, Salesforce, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk, Atlassian und viele andere.
Im dritten Szenario nutzten die Täter zuvor kompromittierte Anmeldeinformationen für ein Konto, bei dem bereits Tage zuvor eine Authenticator-App registriert worden war. Nach dem Einloggen führten sie mithilfe eines automatisierten Node.js-Systems und Microsoft Graph eine umfassende Aufklärung durch. Zur Persistenz fügten die Angreifer eine eigene MFA-Methode hinzu – etwa neue Telefonnummern, Authenticator-Apps oder softwarebasierte Einmalpasswort-Token. Diese Persistenz überlebt jedoch keinen vollständigen Reset von Anmeldeinformationen und Sessions.
Die Graph-Abfragen im Detail
Microsoft beobachtete, wie die Angreifer über Microsoft Graph umfangreiche Abfragen durchführten, um folgende Informationen zu sammeln:
- Organisationen, Lizenzen und aktivierte Dienste
- Benutzer, Gruppen und Gruppenmitgliedschaften
- Verzeichnisrollen und privilegierte Konten
- Registrierte Authentifizierungsmethoden
- Anwendungen und Dienstprinzipale
- OAuth-Berechtigungen und Anwendungsrollenzuweisungen
- SharePoint-Websites, Dokumentbibliotheken, Ordner und Dateien
- OneDrive-Ressourcen
- Mail-Ordner, Nachrichten und Anhänge
Während einzelne Abfragen wie /users, /groups oder /sites in Unternehmensumgebungen normal erscheinen mögen, wird das Verhalten verdächtig, wenn dasselbe Konto, dieselbe Anwendung oder derselbe Token schnell über verschiedene Ressourcen hinweg navigiert, Berechtigungen und Authentifizierungseinstellungen überprüft und dann beginnt, auf E-Mails, Anhänge oder Dokumente zuzugreifen.
Datendiebstahl und Exfiltration
Nach der Aufklärung folgt die systematische Datensammlung aus Microsoft 365. Microsoft dokumentierte hochvolumige Zugriffs- und Downloadaktivitäten, die auf SharePoint Online und OneDrive for Business abzielten. In einigen Fällen griffen die Angreifer über REST-APIs auch auf Exchange Onlineaaa-Inhalte zu. Dabei wurden in SharePoint und OneDrive zahlreiche FileAccessed– und FileDownloaded-Ereignisse ausgelöst, was auf einen systematischen Abruf von Cloud-Dokumenten hindeutet. Die Aktivitäten scheinen automatisiert zu sein: Für die Exfiltration wurde der User-Agent python-httpx verwendet. Die Angreifer vermeiden allerdings schnelle „Smash-and-Grab“-Exfiltration, um nicht aufzufallen. Stattdessen erstreckt sich der Datendiebstahl über mehrere Stunden bis Tage, wobei in einer einzelnen Stunde weniger als 1.000 Dateien oder E-Mails abgegriffen werden, um sich in den legitimen Traffic zu mischen.
Erkennung und Gegenmaßnahmen
Microsoft empfiehlt Unternehmen, auf folgende Indikatoren zu achten: Ungewöhnliche Anmeldungen, gefolgt von neuen MFA-Registrierungen, Microsoft-Graph-Aufklärungsaktivitäten und verdächtige Zugriffe auf SharePoint, OneDrive oder Exchange. Im Falle einer Kompromittierung sollten Administratoren umgehend aktive Sessions und Tokens widerrufen, Anmeldeinformationen zurücksetzen, alle vom Angreifer hinzugefügten Authentifizierungsmethoden oder Postfachregeln entfernen und die betroffenen Benutzer zwingen, ihre Authentifizierungsmethoden neu zu registrieren. Als präventive Maßnahmen rät Microsoft zur Nutzung phishing-resistenter MFA, zur Beschränkung sensibler Cloud-Ressourcen auf verwaltete Geräte und zur Deaktivierung der Device-Code-Authentifizierung, wenn diese nicht benötigt wird.
Die Kampagne zeigt, wie raffiniert Erpresserbanden mittlerweile vorgehen: Sie kombinieren Social Engineering mit technisch ausgefeilten Phishing-Infrastrukturen und nutzen die Vertrauenswürdigkeit von Microsofts eigenen Authentifizierungsmechanismen aus. Unternehmen müssen ihre Mitarbeiter für diese Art von Angriffen sensibilisieren und gleichzeitig technische Detektionsmechanismen schärfen. Die Bedrohung durch Passkey-Phishing wird voraussichtlich weiter zunehmen, da immer mehr Organisationen auf passwortlose Authentifizierung umstellen – ein Trend, den die Angreifer gezielt für ihre Zwecke instrumentalisieren.
