M365 als Angriffsinfrastruktur Phishing nutzt echte Microsoft-Anmeldeseiten aus

Mehr als 200 gefälschte Teams-Benachrichtigungen erreichten Nutzer in rund 120 Organisationen. Statt eine imitierte Login-Seite einzusetzen, führten die Angriffe zu Microsoft und missbrauchten anschließend die Einwilligung für eine schädliche App.

Mehr als 200 Phishing-Nachrichten hat Check Point Research (CPR) zwischen dem 25. Juni und der zweiten Juliwoche identifiziert. Die Kampagne zielte auf Beschäftigte in rund 120 Organisationen aus unterschiedlichen Branchen und Ländern ab.

Die E-Mails erweckten den Eindruck, Microsoft Teams übermittele eine dringende Nachricht aus der Personalabteilung. Als angeblicher Anlass diente eine neue Aufgabe in Microsoft Planner. Der Absendername lautete „Es gibt neue Aktivitäten im Team“, als Betreff erschien „HR@[Unternehmen].com hat 3 Nachrichten über den Teams-Chat gesendet“.

Der Inhalt orientierte sich eng an der Gestaltung von Teams. Thematisch ging es um ein angebliches Update zu Gehalt, Vergütung und Zusatzleistungen. Zusätzlich verwies die Nachricht auf „4 überfällige Mitarbeiteraufgaben“. Die Zahl sollte Zeitdruck erzeugen und die Empfänger zu einer schnellen Reaktion bewegen.

Bildergalerie

Alle Links in der Nachricht, darunter auch die beiden Schaltflächen, führten über dieselbe Weiterleitung. Besonders perfide: Die sichtbare Absenderadresse gehörte zur Zielorganisation. Dadurch schien die Nachricht sogar von der Person selbst zu stammen, die sie erhielt.

Der Login ist echt – die App nicht

Die Kampagne setzte nicht auf eine nachgebaute Microsoft-Anmeldeseite. Stattdessen gelangten die Opfer auf eine tatsächliche Microsoft-Login-Seite. Erst im nächsten Schritt sollten sie einer Anwendung Berechtigungen erteilen, die von den Angreifern kontrolliert wurde.

Damit verschob sich der zentrale Täuschungspunkt. Nicht die Oberfläche war gefälscht, sondern die Absicht hinter dem Zugriff. Für Nutzer kann das die Bewertung erheblich erschweren, weil bekannte Microsoft-Domains und ein vertrauter Authentifizierungsprozess nicht automatisch auf einen sicheren Vorgang schließen lassen.

Opfer, Modelle und Tools

So arbeiten Ransomware-Gruppen heute

Welche Folgen entstehen, hängt vom Umfang der erteilten Rechte ab. Eine solche Anwendung kann unter Umständen auf mehrere Bereiche der Microsoft-365-Umgebung zugreifen:

• E-Mail: Nachrichten lesen, durchsuchen und aus dem Postfach versenden

• Dateien: Dokumente öffnen, herunterladen oder freigeben, auf die der Nutzer Zugriff hat

• Teams: Chats, Nachrichten und gemeinsame Unterhaltungen einsehen

• SharePoint: Websites, Bibliotheken und interne Inhalte auslesen

• OneDrive: den persönlichen Cloud-Speicher des Nutzers nutzen

• Kalender: Termine, Einladungen und Teilnehmerdaten analysieren

Ein kompromittiertes Postfach kann anschließend als Ausgangspunkt für weitere Betrugsversuche dienen. Nachrichten aus einer internen, vertrauenswürdigen Adresse erhöhen die Erfolgschancen von Business-E-Mail-Compromise-Angriffen. Kalender- und Kommunikationsdaten liefern zudem Ansatzpunkte, um Folgekontakte glaubwürdig zu planen.

Angriffsmethode gewinnt an Bedeutung

Nach Einschätzung von CPR greifen Angreifer damit auf Microsofts Dienste selbst zurück, anstatt deren Oberflächen lediglich nachzuahmen. Die Kampagne steht für eine Entwicklung, bei der herkömmliche Phishing-Indikatoren wie verdächtige Login-Seiten oder abweichende Webadressen weniger zuverlässig werden.

Die Methode ist im MITRE-ATT&CK-Framework als eigene Taktik erfasst. Nach Angaben von CPR wandelte sie sich 2026 von individuell vorbereiteten Angriffen zu einem Dienstmodell, das eine größere Zahl von Angreifern nutzen kann.

Die konkrete Kampagne ist inzwischen beendet. Das Risiko bleibt jedoch bestehen: Ein echter Microsoft-Login bestätigt nicht automatisch die Vertrauenswürdigkeit einer App, die anschließend Zugriff auf Microsoft 365 verlangt. Entscheidend ist daher nicht allein, ob eine Seite zu Microsoft gehört, sondern welche Anwendung welche Berechtigungen erhält.

(ID:50919632)