So missbrauchen Phisher Microsofts Authentifizierungssystem

(Source: Andreus / IsStock)

(Source: Andreus / IsStock)

Forschende von Check Point haben eine Phishing-Kampagne identifiziert, die die legitime Authentifizierungsinfrastruktur von Microsoft ausnutzt. Zwischen dem 25. Juni und der zweiten Juliwoche verschickten die Angreifer hinter der Kampagne laut dem Cybersecurityanbieter mehr als 200 E-Mails an rund 120 Organisationen. Von den angeschriebenen Kunden, deren Standort Check Point bestimmen konnte, befanden sich 98,3 Prozent in Nordamerika. Industrie und Fertigung sowie Rechts- und professionelle Dienstleistungen gehörten zu den am stärksten betroffenen Branchen.

In den Phishing-E-Mails imitierten die Cyberkriminellen Benachrichtigungen über die Zuweisung von Microsoft-Planner-Aufgaben im Zusammenhang mit Personalthemen und verwiesen auf Teams-Nachrichten. Sie erwähnten unter anderem eine Aktualisierung zu Löhnen, Vergütungen und Sozialleistungen sowie mehrere überfällige Aufgaben, um ein Gefühl der Dringlichkeit zu erzeugen. Die sichtbare Absenderadresse entsprach jeweils jener des Empfängers, wie Check Point ausführt.

OAuth-Autorisierung missbraucht

Der Link führte das Opfer zunächst auf eine echte OAuth-Autorisierungsseite von Microsoft und nicht - wie so oft in Phishing-Kampagnen - auf eine Nachahmung der Anmeldeseite. Nach der Authentifizierung forderte das System den User auf, einer von den Angreifern kontrollierten Anwendung Berechtigungen zu erteilen.

Stimmte das Opfer zu, leitete Microsoft den Browser auf eine von den Hackern kontrollierte Infrastruktur weiter, die hinter einem AWS-API-Gateway-Endpunkt gehostet wurde. Der Autorisierungscode (je nach Ablauf auch das Auth-Token) wurde anschliessend an diese Infrastruktur übermittelt.

Abhängig von den erteilten Berechtigungen und vom Kontotyp des Opfers erhielten die Phisher nun Zugriff auf diverse Komponenten der Microsoft-365-Umgebung des überlisteten Users. Laut Check Point griff die bösartige Anwendung etwa auf E-Mails, Onedrive-Dateien, Teams-Unterhaltungen, Sharepoint-Inhalte oder den Kalender des Opfers zu. Hatten die Kriminellen Zugriff auf die E-Mails, konnten sie darauf aufbauend einen Business E-Mail Compromise (BEC)-Betrug über das gephishte Konto starten.

Die Forschenden weisen darauf hin, dass diese Angriffstaktik bereits im MITRE-ATT&CK-Framework erfasst ist. Zudem habe sie sich 2026 so weit verbreitet, dass Kriminelle sie inzwischen als Dienstleistung anböten.

Die von Check Point analysierte Kampagne ist nicht mehr aktiv. Um sich aber gegen vergleichbare Angriffe zu schützen, empfiehlt der Cybersecurity-Anbieter unter anderem, die Identität von Absendern zu überprüfen, bei Zweifeln Teams oder andere betroffene Anwendungen direkt aufzurufen und verdächtige Nachrichten rasch zu melden. Eine frühzeitige Meldung ermögliche es Sicherheitsteams, die bösartige Anwendung zu identifizieren, erteilte Zustimmungen zu widerrufen und nach möglicherweise betroffenen Konten zu suchen.

Lesen Sie auch: Die Anzahl der wöchentlichen Cyberattacken auf Schweizer Unternehmen hat im Juni 2026 um 44 Prozent zugenommen. Damit ist die Schweiz das DACH-Land mit dem stärksten Zuwachs. Auch global gab es mehr Angriffe, wobei insbesondere die Zahl der Ransomware-Attacken anstieg.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.