Angreifer nutzen Passkey-Phishing zur Übernahme von Microsoft Cloud-Konten und zum Datendiebstahl

Microsoft hat Einzelheiten zu zwei Kampagnen offengelegt, bei denen Bedrohungsakteure die Infrastruktur von Drittanbietern für den E-Mail-Versand missbrauchen, um Betrugsnachrichten im Finanzbereich zu verbreiten und Cloud-Umgebungen durch Social Engineering mit Passkey-Themen zu infiltrieren.

Die erste Kampagne versandte zwischen dem 3. und 5. August 2026 über eine Million Betrugs-E-Mails. Die Angreifer gaben sich als Vorstandsvorsitzende verschiedener Zielunternehmen aus, um Buchhaltungsabteilungen zu Überweisungen für eine angebliche jährliche ServiceNow-Abonnementgebühr zu bewegen. Dabei wurden generative künstliche Intelligenz zur Erstellung von E-Mail-Vorlagen und maßgeschneiderten Entwürfen genutzt. Die Angriffe richteten sich primär an Unternehmenskunden in den Bereichen IT-Dienstleistungen, Konsumgüter, Immobilien und diskrete Fertigung.

Die Betrüger registrierten gefälschte Domänen und versandten Zahlungsaufforderungen über vertrauenswürdige Infrastrukturen. Die Nachrichten enthielten gefälschte Rechnungen, Bestätigungs-E-Mails und Signaturen mit den Namen und Adressen von echten Vorstandsvorsitzenden, Finanzvorständen oder Präsidenten der Opferorganisationen, um die Glaubwürdigkeit zu erhöhen.

Die zweite Kampagne, die seit Mai 2026 nachgewiesen wurde, zielt auf die Übernahme von Cloud-Konten ab. Die Angreifer kontaktieren Mitarbeiter über persönliche Telefonnummern und geben vor, vom IT-Helpdesk der Organisation zu sein. Sie fordern die Nutzer auf, ihre Passkeys, die Multi-Faktor-Authentifizierung oder die Konfiguration des Single Sign-On sofort zu aktualisieren, um Zugriffsunterbrechungen zu vermeiden.

Über SMS werden die Opfer auf gefälschte Websites geleitet, die den Anmeldevorgang von Microsoft imitieren. Ziel ist es, die Kontrolle über die Konten durch Anwender-in-der-Mitte-Authentifizierungsflüsse oder Gerätecode-Verfahren zu erlangen. Nach dem Eindringen registrieren die Angreifer eigene Authentifizierungsmethoden und führen umfangreiche Downloads von SharePoint und OneDrive sowie die Sammlung von Postfächern über REST-Schnittstellen durch.

Microsoft schreibt diese Aktivitäten verschiedenen Akteuren zu, darunter Storm-3121 und Storm-3032. Letztere wird mit der Gruppe UNC6671 gleichgesetzt, die aus der BlackFile-Gruppe ausgebrochen ist und unter der Marke Helix operiert. Es wird vermutet, dass diese Akteure gemeinsame Playbooks für den Erstzugang oder kommerzialisierte Phishing-Panels nutzen.