Mobile-Menu

Angriff gegen 120 Unternehmen Phishing-Kampagne nutzt echte Microsoft-Anmeldung

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

Check Point Software Technologies GmbH

Angreifer haben laut Check Point Research mehr als 200 Phishing-E-Mails an Beschäftigte von rund 120 Organisationen weltweit verschickt. Die Kam­pagne nutzte keine gefälschte Microsoft-Loginseite, sondern leitete Opfer auf die echte Microsoft-Anmeldung weiter. Anschließend sollten sie einer von Angreifern kontrollierten Anwendung Berechtigungen erteilen.

Die von Check Point Research beobachtete Kampagne nutzte vermeintliche Teams‑ und Planner‑Benachrichtigungen aus dem HR‑Umfeld, um Nutzer zu einer Einwilligung für eine angreiferkontrollierte Anwendung zu bewegen.(Bild: KI-generiert)
Die von Check Point Research beobachtete Kampagne nutzte vermeintliche Teams‑ und Planner‑Benachrichtigungen aus dem HR‑Umfeld, um Nutzer zu einer Einwilligung für eine angreiferkontrollierte Anwendung zu bewegen.
(Bild: KI-generiert)

Die von Check Point Research (CPR) untersuchte Kampagne lief vom 25. Juni bis in die zweite Juliwoche. Die Angreifer gaben sich in E-Mails als Microsoft-Teams-Benachrichtigung aus und suggerierten, dass eine neue Aufgabe oder eine Nachricht aus der Personalabteilung vorliege. Der Köder verwies unter anderem auf angebliche Informationen zu Gehalt, Vergütung und Zusatzleistungen. Zusätzlich sollte ein Hinweis auf mehrere „überfällige Mitarbeiteraufgaben“ Zeitdruck erzeugen. Alle Schaltflächen und Links führten laut CPR über dieselbe Weiterleitung.

Echte Login-Maske, bösartige App

Email über eine MS-Teams-Benachrichtigung, der Anwender solle einer verseuchten Anwendung Berechtigungen erteilen.(Bild: Check Point Software)
Email über eine MS-Teams-Benachrichtigung, der Anwender solle einer verseuchten Anwendung Berechtigungen erteilen.
(Bild: Check Point Software)

Besonders problematisch: Die Opfer landeten nicht auf einer nachgebauten Phishing-Seite, sondern auf einer legitimen Microsoft-Anmeldeseite. Nach der Anmeldung wurden sie aufgefordert, einer Anwendung Berechtigungen zu erteilen.

Die Angreifer missbrauchten damit den regulären Authentifizierungs- und Einwilligungsprozess. Nicht die Microsoft-Anmeldung selbst war gefälscht, sondern die Absicht hinter der Anwendung, die Zugriffsrechte anforderte.

Je nach erteilter Einwilligung könnte eine solche Anwendung laut CPR auf E-Mails, Dateien, Teams-Chats, SharePoint-Inhalte, OneDrive-Daten und Kalenderinformationen zugreifen. Besonders kritisch ist der mögliche Zugriff auf das Postfach: Angreifer könnten damit Folgeangriffe oder Business-E-Mail-Compromise-Versuche von einer vertrauenswürdigen internen Adresse aus vorbereiten.

Absender wirkt wie interne Kommunikation

Teil des Angriffs ist die Weiterleitung über die bekannte und in diesem Fall originale Microsoft Login-Maske.(Bild: Check Point Software)
Teil des Angriffs ist die Weiterleitung über die bekannte und in diesem Fall originale Microsoft Login-Maske.
(Bild: Check Point Software)

Die sichtbare Absenderadresse gehörte laut Check Point jeweils zur Organisation des Ziels. Dadurch entstand der Eindruck, die Nachricht stamme von einer internen Person oder einem bekannten Teams-Dienst. Die Kampagne nutzte damit nicht nur das Design von Microsoft Teams und Planner, sondern auch die Vertrauensstellung interner Kommunikation.

Nach Angaben von Check Point ist die beobachtete Kampagne derzeit nicht mehr aktiv. Sie zeige jedoch einen Trend: Angreifer imitieren Microsoft-Dienste nicht mehr zwingend, sondern nutzen deren legitime Infrastruktur und Einwilligungsabläufe direkt. Dadurch können klassische Phishing-Kontrollen, die vor allem auf gefälschte Domains oder Loginseiten achten, an Wirksamkeit verlieren.

Empfehlungen für Nutzer und Unternehmen

Check Point empfiehlt, Links in Teams- oder Planner-Benachrichtigungen vor dem Öffnen zu prüfen und bei Unklarheiten die jeweiligen Dienste direkt über die offizielle Anwendung aufzurufen. Unternehmen sollten zudem kontrollieren, welche Anwendungen in ihrer Microsoft-365-Umgebung Berechtigungen erhalten haben, verdächtige Einwilligungen widerrufen und betroffene Konten prüfen.

Nutzer sollten insbesondere dann vorsichtig sein, wenn mehrere Schaltflächen in einer E-Mail zur gleichen URL führen, Aufgaben oder HR-Themen ungewöhnlich dringend dargestellt werden oder eine Anwendung unerwartet Zugriff auf Postfach, Dateien oder Kalender verlangt.

(ID:50919917)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte