Microsoft warnt vor Passkey-Ködern und Rechnungsbetrug gegen Cloud-Konten

Microsoft hat über zwei separate Phishing-Kampagnen berichtet, die vertrauenswürdige Dienste, die Imitation von Führungskräften und Passkey-bezogene Köder nutzen, um Geld zu stehlen oder Zugriff auf Cloud-Umgebungen von Unternehmen zu erlangen.

Laut Microsoft versendete eine Kampagne im August 2026 innerhalb von drei Tagen mehr als eine Million betrügerische E-Mails. Die Nachrichten gaben sich als leitende Führungskräfte der angegriffenen Organisationen aus und forderten Mitarbeiter der Kreditorenbuchhaltung dazu auf, ACH-Zahlungen für eine angebliche Verlängerung eines ServiceNow-Abonnements vorzunehmen. Die Ziele waren vor allem US-Unternehmen aus Branchen wie IT-Dienstleistungen, Konsumgütern, Immobilien und Fertigung.

Die Betreiber nutzten E-Mail-Versandinfrastruktur von Drittanbietern und registrierten ähnlich aussehende Domains, um die Anfragen glaubwürdig erscheinen zu lassen. Berichten zufolge kombinierten ihre Nachrichten gefälschte Rechnungen, fingierte Genehmigungsketten, Anbieter-Branding und Signaturen mit den Namen tatsächlicher Führungskräfte. Microsoft erklärte, die Kampagne habe offenbar generative KI eingesetzt, um maßgeschneiderte E-Mail-Vorlagen und empfängerspezifische Entwürfe zu erstellen.

Passkey-bezogene Anrufe und Nachrichten

Eine zweite Reihe von Vorfällen, die seit Mai 2026 beobachtet wurde, umfasste Social Engineering mit dem Ziel, Microsoft-Cloudidentitäten zu kompromittieren. Angreifer kontaktierten Mitarbeiter über persönliche Telefonnummern, SMS-Nachrichten und in einigen Fällen über Microsoft Teams. Sie gaben sich als IT-Supportmitarbeiter aus und drängten die Opfer, Passkey-, MFA- oder Single-Sign-on-Einstellungen zu aktualisieren, um eine angebliche Kontounterbrechung zu verhindern.

Die Opfer wurden auf gefälschte Anmeldeseiten geleitet oder durch Adversary-in-the-Middle- und Device-Code-Authentifizierungsabläufe geführt. Anstatt stets Passwörter zu stehlen, konnten die Angreifer Nutzer dazu bewegen, den Zugriff zu genehmigen oder eine vom Angreifer kontrollierte Authentifizierungsmethode zu registrieren.

Nach dem Erlangen des Zugriffs wurden die Akteure dabei beobachtet, neue MFA-Optionen hinzuzufügen, verdächtige Aktivitäten über die Microsoft-Graph-API durchzuführen, Daten aus SharePoint und OneDrive herunterzuladen und über REST-APIs Postfachinformationen zu sammeln. In einem Fall folgten auf eine ungewöhnliche Anmeldung von einem nicht verwalteten Gerät Versuche, interne Dienste und sensible Dateien aufzulisten.

Abwehrmaßnahmen

• Finanzteams darin schulen, Anfragen zu Zahlungsänderungen oder Rechnungen über bekannte Kontaktkanäle unabhängig zu verifizieren.
• Für Helpdesk-Anfragen zu MFA, Passkeys oder der Geräteregistrierung eine Validierung über einen separaten Kommunikationskanal verlangen.
• Neu registrierte Authentifizierungsmethoden, unbekannte Geräte und ungewöhnliche Aktivitäten über die Graph-API überwachen.
• Device-Code-Authentifizierung dort beschränken, wo sie nicht erforderlich ist, und Richtlinien für bedingten Zugriff auf nicht verwaltete Geräte anwenden.

Microsoft ordnete Teile der Aktivitäten mehreren erfassten Bedrohungsclustern zu, wies jedoch darauf hin, dass gemeinsam genutzte Phishing-Infrastruktur und Taktiken eine eindeutige Attribution erschweren.