Microsoft hat zwei groß angelegte Angriffswellen aufgedeckt, die gezielt Unternehmens-Cloud-Umgebungen ins Visier nehmen. Während eine Kampagne mit KI-generierten CEO-Betrugs-E-Mails auf Finanzabteilungen abzielt, setzt die zweite auf eine perfide Kombination aus Passkey-Phishing und Social Engineering, um vollständige Kontrolle über Microsoft-365-Konten zu erlangen und sensible Daten zu exfiltrieren. Die Angriffe verdeutlichen eine alarmierende Entwicklung: Cyberkriminelle nutzen zunehmend automatisierte, mehrstufige Taktiken, die selbst etablierte Sicherheitsmechanismen wie Multi-Faktor-Authentifizierung umgehen.
CEO-Betrug mit KI-Unterstützung: Über eine Million Phishing-Mails in drei Tagen
Zwischen dem 3. und 5. August 2026 versendeten Angreifer mehr als eine Million täuschend echte E-Mails, die angeblich von Vorstandsvorsitzenden verschiedener Zielunternehmen stammten. Die Nachrichten richteten sich an die Kreditorenbuchhaltung und forderten zur Überweisung einer angeblichen Jahresgebühr für ein ServiceNow-Abonnement über das US-amerikanische ACH-System auf. Um den Betrug zu untermauern, erstellten die Täter gefälschte Rechnungen und erfanden komplette E-Mail-Verläufe, die wie eine interne Genehmigungskette aussahen. Besonders raffiniert: Die Angreifer recherchierten zuvor die Namen und E-Mail-Adressen von CEOs, CFOs und Präsidenten der Opferunternehmen und setzten diese in den E-Mail-Signaturen ein, um die Authentizität zu erhöhen. Die Analyse der Infrastruktur zeigt, dass die Täter generische KI-Modelle nutzten, um die Vorlagen und Texte individuell auf die Empfänger zuzuschneiden. Die Kampagne konzentrierte sich hauptsächlich auf Unternehmen in den USA aus den Bereichen IT-Dienstleistungen, Konsumgüter, Immobilien und diskrete Fertigung. Zur Verschleierung registrierten die Täter Domains wie service-nowinc[.]com und domainlify[.]net, die vertrauenswürdige Marken imitierten.
Passkey-Phishing: So kapern Angreifer Microsoft-Cloud-Konten
Die zweite, noch gefährlichere Kampagne zielt auf die Identitätsebene von Microsoft-365-Cloud-Umgebungen ab. Seit Mai 2026 beobachtet Microsoft eine Serie von Einbrüchen, die stets mit einem social-engineering-Angriff auf die persönlichen Telefonnummern der Mitarbeiter beginnen. Die Angreifer geben sich als Mitarbeiter der unternehmenseigenen IT-Hotline aus und behaupten, der Benutzer müsse dringend seinen Passkey, die Multi-Faktor-Authentifizierung (MFA) oder die Single-Sign-On-Konfiguration (SSO) aktualisieren, um eine Unterbrechung des Zugriffs zu vermeiden. Über SMS werden die Opfer anschließend auf gefälschte Webseiten geleitet, die täuschend echt die Microsoft-Anmeldeseite nachbilden. Das Ziel: Die Täter nutzen Adversary-in-the-Middle-Techniken (AitM) oder Device-Code-Authentifizierung, um entweder die Anmeldedaten abzugreifen oder den Benutzer dazu zu bringen, dem Angreifer unwissentlich Zugriff zu gewähren.
Vorgehen der Angreifer: Von der ersten Kompromittierung zur Datenexfiltration
Sobald die Angreifer die Kontrolle über ein Konto erlangt haben, verfolgen sie eine klare Strategie: die temporäre Kompromittierung in einen dauerhaften Zugang umzuwandeln. Dazu registrieren sie eine eigene MFA-Methode – meist eine neue Telefonnummer, eine Authentifikator-App oder einen softwarebasierten Einmalcode (OTP). Damit können sie sich jederzeit ohne Mitwirkung des Opfers anmelden, selbst wenn das ursprünglich gestohlene Passwort geändert wird. Die anschließenden Aktivitäten lassen sich in sechs Phasen unterteilen:
- Umfassende interne Aufklärung: Über die Microsoft Graph API inventarisieren die Angreifer Nutzer, Gruppen, Berechtigungen, Ressourcen und zugängliche Inhalte im gesamten Mandanten.
- Privilegienerweiterung: Sie untersuchen Administratorrollen, hochwertige Konten und Dienstidentitäten, um ihre Berechtigungen auszuweiten.
- Nachrichtensammlung: Mailbox-Nachrichten, Ordner und Anhänge-Metadaten werden systematisch ausgelesen – ein klassischer Intelligence-Gewinn.
- Massiver Datendownload: Hochvolumige Zugriffe auf SharePoint Online, OneDrive for Business und Exchange Online stehen im Fokus.
- Anhaltende Exfiltration: Die Datenabflüsse erstrecken sich über Stunden bis mehrere Tage, abhängig von der Menge der Dateien und E-Mails.
- Infrastrukturwechsel: Die Angreifer rotieren bewusst IP-Adressen für Authentifizierung, Aufklärung und Exfiltration, um netzwerkbasierte Erkennung zu umgehen.
Microsoft hat mehrere Varianten dieser Attacke dokumentiert. In einem Fall gelang den Tätern ein anomaler Anmeldevorgang über Microsoft Office Home von einem nicht verwalteten Gerät aus. Ein anderer Vorfall nutzte den Passkey-Lockvogel, um einen Device-Code-Phishing-Angriff zu starten – ohne dass ein einziges Passwort gestohlen werden musste. Eine dritte Variante griff auf bereits zuvor kompromittierte Anmeldedaten zurück, um sofort eine eigene Telefon-basierte MFA-Methode zu registrieren.
Hinter den Kulissen: Organisierte Cyberkriminalität mit raffinierter Infrastruktur
Die Angreifer investieren erheblich in die Vorbereitung. Sie sammeln Informationen über Mitarbeiter und Organisationsstrukturen aus öffentlichen Quellen wie sozialen Netzwerken und Berufsplattformen. In einigen Fällen nutzen sie bereits kompromittierte Konten, um über Microsoft Teams weitere Passkey-Meldungen zu versenden. Die registrierten Domains folgen einem Muster – immer mit dem Namen des Zielunternehmens als Subdomain – und sind thematisch auf Passkeys, SSO-Registrierung, Kontoaktivierung oder Identitätsprüfung ausgerichtet. Beispiele: passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com, add-passkey[.]com, integratedsso[.]com, oktasession[.]com, syncmykey[.]com und portalsetuphub[.]com.
Die Sicherheitscommunity verfolgt diese Aktivitäten unter den Bezeichnungen UNC6671, Cordial Spider, O-UNC-045 und PREY-0058. Microsoft selbst ordnet die Initialzugriffe den Akteuren Storm-3121 und Storm-3032 zu. Storm-3121 liefert die erste Kompromittierung, die dann zu Erpressungsgruppen wie ShinyHunters oder Falcon (CL-CRI-1182) führt. Storm-3032 ist das hauseigene Label für UNC6671, eine Gruppe von Akteuren, die sich von der BlackFile-Gruppe (CL-CRI-1116) abgespalten hat und nun unter der Erpressungsmarke Helix operiert.
Warum herkömmliche Erkennung an ihre Grenzen stößt
Die größte Herausforderung für Sicherheitsteams liegt in der Natur der Angriffe: Der Missbrauch der Microsoft Graph API wirkt aus Sicht eines einzelnen API-Aufrufs selten verdächtig. Ein Download von SharePoint-Dokumenten oder das Lesen von E-Mail-Ordnern sind legitime Tätigkeiten. Erst die Kombination der Aktivitäten – zeitlich gestaffelte Aufklärung, MFA-Registrierung durch eine neue Methode, plötzliche Massenzugriffe – offenbart die böswillige Absicht. Unternehmen müssen daher ihre Überwachung auf Verhaltensmuster und geräteübergreifende Korrelation ausrichten, anstatt sich auf isolierte API-Protokolle zu verlassen. Die Angreifer haben gezeigt, dass sie jeden einzelnen Sicherheitsmechanismus – Passkeys, MFA, SSO – gegen die Nutzer wenden können. Der Wandel hin zu passwortlosen Authentifizierungen, der eigentlich die Sicherheit erhöhen soll, wird von Cyberkriminellen bereits als neue Angriffsfläche erschlossen. Für Unternehmen bedeutet dies: strengere Zugriffskontrollen für Graph API, kontinuierliches Monitoring von MFA-Registrierungsereignissen und vor allem die Schulung der Mitarbeiter, damit sie keine vermeintlichen IT-Hotline-Anrufe oder SMS-Nachrichten mit dringenden Passkey-Updates unbeachtet lassen.
