LONDON (IT BOLTWISE) – Eine automatisierte Angriffswelle hat zwischen dem 12. und 26. Juni 2026 mehr als 81 Millionen Login-Versuche auf Microsoft Azure ausgelöst. Betroffen waren mindestens 78 Konten in 64 Organisationen, wobei Angreifer die Zwei-Faktor-Authentifizierung über einen veralteten ROPC-OAuth-Flow systematisch umgehen. Zusätzlich zeigt eine verknüpfte FortiBleed-Kampagne Kompromittierungen an Zehntausenden FortiGate-Geräten. Der Bericht ordnet das Geschehen als erneutes Warnsignal ein: MFA allein reicht nicht, wenn Authentifizierungsflüsse falsch konfiguriert sind.
Während viele Teams ihren Fokus auf „mehr MFA“ gelegt haben, zielt die aktuelle Angriffswelle in der Praxis tiefer: Sie attackiert nicht nur Passwörter, sondern die Annahmen, die dahinterstehen. Berichten zufolge generierte eine automatisierte Kampagne im Zeitraum 12. bis 26. Juni 2026 über 81 Millionen Login-Versuche gegen Windows-Umgebungen rund um Microsoft Azure. Das ist keine einzelne Ausreißeraktion, sondern ein Muster, das wie ein systematisches Passwort-Spraying wirkt und dabei mindestens 78 Konten in 64 Organisationen kompromittiert haben soll. Entscheidender Punkt: Die Angreifer konnten die Zwei-Faktor-Authentifizierung offenbar umgehen.
Technisch wird das über einen veralteten OAuth-Flow erklärbar, der in vielen Setups historisch aus Kompatibilitätsgründen überlebt. In dem Bericht wird der „ROPC“-Flow (Resource Owner Password Credentials) als Kernmechanismus genannt. Genau dieser Ansatz fordert Nutzerdaten im Authentifizierungsprozess anstatt auf moderne, tokenbasierte Vergabe und dynamische Challenge-Mechanismen zu setzen. Dadurch sinkt die Wirksamkeit von MFA, wenn die Anwendung den falschen Pfad nutzt oder ihn nicht streng kontrolliert. Zusätzlich lässt sich der schädliche Datenverkehr dem Bericht zufolge auf einen IPv6-Adressbereich zurückführen, der mit einem konkreten Anbieter/Unternehmen in Verbindung steht, was den Verdacht auf industrialisierte Kampagnen stützt.
Im Vergleich zu den vergangenen sechs Monaten soll das Angriffvolumen um das 155-Fache gestiegen sein. Damit verschiebt sich die Bedrohung von „seltenen Credential-Events“ hin zu einem kontinuierlichen Belastungstest für Identitäts- und Authentifizierungsarchitekturen. Huntress wird in diesem Zusammenhang als Sicherheitsunternehmen genannt, das die Kampagne auf Azure-Ebene beobachtet hat. Für Unternehmen ist das vor allem deshalb relevant, weil solche Angriffe selten gleich „vollständig“ ausgenutzt werden: Erst wird Zugang versucht, dann wird Komfort im Authentifizierungsdesign ausgenutzt. Ein Analyst bringt es auf den Punkt: Es sei kein theoretisches Risiko mehr, sondern ein Angriff, der Schwachstellen methodisch testet.
Parallel dazu verschärft eine zweite Spur die Lage. Die sogenannte FortiBleed-Kampagne wird Berichten zufolge mit Ransomware-Gruppen in Verbindung gebracht, die zuvor schon durch systematische Intrusionen aufgefallen sind. Konkret sollen Angreifer Zugangsdaten von über 73.000 Fortinet-Geräten erbeutet haben und auf rund 430.000 FortiGate-Firewalls gezielt haben. Besonders kritisch: Auf etwa 19.000 Geräten soll Schnüffelsoftware installiert worden sein; zugleich wurde mit dem Benutzernamen „adminin“ ein dauerhafter Hintertür-Zugang geschaffen. Das zeigt eine gefährliche Kombination aus Credential-Theft, Persistenz und anschließender Seitwärtsbewegung in Netzsegmenten.
Ergänzend kommt ein öffentlich verfügbarer Proof-of-Concept-Exploit ins Spiel, der auf CVE-2026-24294 abzielt. Dabei geht es laut Bericht um eine Windows-SMB-Server-Schwachstelle mit lokalem Privilegienausbau und einem NTLM-Reflexionsrisiko. Auch wenn Microsoft die Lücke bereits im März 2026 geschlossen haben soll, demonstriert der neue Exploit, wie Angreifer mit lokalem Zugriff SMB-Arbitrary-Ports auf Windows Server 2025 kapern können. Microsoft empfiehlt dem Bericht zufolge weiterhin SMB-Signing als primäre Verteidigungslinie. Für IT-Betriebsteams bedeutet das: Patch-Management reicht allein nicht; Transport- und Authentifizierungsabsicherung müssen in den Baseline-Policies verankert werden.
Die Auswirkungen reichen über Cloud-Login-Versuche hinaus. Nutzer von Windows 11 Home berichten von hartnäckigen Meldungen wie „Enter network credentials“, selbst wenn das eingegebene Passwort korrekt ist. Das Problem soll seit Anfang Juli 2026 häufiger auftreten und hängt oft an zwischengespeicherten Anmeldedaten im Windows-Anmeldeinformations-Manager: Werden dort veraltete Token oder fehlerhafte Credential-Einträge gespeichert, kann Windows beim Zugriff auf lokale Server eine falsche Identität verwenden. Als gängiger Workaround wird empfohlen, die betroffenen Anmeldeinformationen zu löschen und die Laufwerke neu einzuhängen. In der Praxis ist das ein Hinweis darauf, wie fragile Identitätsketten in gemischten Umgebungen werden können.
Auch industrielle Steuerungssysteme sind betroffen. Anwender von Rockwell Automation Studio 5000 treffen laut Bericht den Fehler 717-80042016 beim Öffnen von Dateien auf zugeordneten Netzlaufwerken. Die Ursache wird als Sitzungsinkonsistenz beschrieben: Das Laufwerk ist meist unter einer anderen Anmeldesitzung zugeordnet als die Software selbst. Workarounds aus dem Feld umfassen die Nutzung von UNC-Pfaden statt gemappten Laufwerken oder das erneute Zuordnen der Laufwerke aus einer erhöhten Eingabeaufforderung. Das ist ein typisches Beispiel dafür, wie Identität nicht nur in Identity-Provider-Logins relevant ist, sondern bis in Legacy- und OT-nahe Workflows hineinwirkt. Technisch ist das ein Unterschied zwischen „Session-gebundenen“ und „policy-basierten“ Zugriffspfaden.
Wie reagieren Marktteilnehmer? Amazon Web Services hat Berichten zufolge seine Support-Dokumentation aktualisiert und zeigt nun detailliert, wie sich Passwortprobleme bei Windows-EC2-Instanzen beheben lassen, etwa durch benutzerdefinierte Image-Konfigurationen oder fehlende Schlüsselpaare. Dell empfiehlt für Systeme, die nicht mehr in Windows 10 oder 11 booten, den Einsatz von UEFI-Reparaturtools und der Systemwiederherstellung. Timing und Lebenszyklusfragen sind dabei entscheidend: Der Support für Windows 10 Home und Pro soll bereits am 14. Oktober 2025 ausgelaufen sein. Für Regulatorik und Privacy ist das ebenfalls relevant, weil Credential-Events und gefälschte Authentifizierungsversuche personenbezogene Daten berühren können; Unternehmen sollten deshalb Protokolle für Incident-Response, Aufbewahrung und Zugriffskontrollen anpassen und die Wirksamkeit von MFA-Policies regelmäßig verifizieren.
Am Ende laufen die Maßnahmen in einem klaren Richtungsmuster zusammen: ROPC-Mechanismen gehören deaktiviert, und MFA muss für Anwendungen strikt durchgesetzt werden—nicht nur im Prinzip, sondern als durchgängige Policy entlang aller Authentifizierungsflüsse. Zusätzlich sollte SMB-Signing dort aktiviert werden, wo es die Angriffsoberfläche reduziert, und die Patch-Strategie mit „Hardening“-Kontrollen kombiniert werden. Für Teams, die mehrere Plattformen betreiben, lohnt sich ein Blick auf Wettbewerbsansätze: Während cloudseitige Guidance von AWS und Hardware-/Betriebshilfen von Dell konkrete Pfade liefern, zeigt der Security-Fall, dass Konfigurationen an der Schnittstelle oft der Engpass sind. Wer jetzt Audit, Monitoring und Baselines erneuert, schafft die Grundlage dafür, zukünftige Passwort-Sprays und Exploit-Wellen schneller zu erkennen und zu stoppen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Passwortangriffe in Azure: 81 Millionen Logins und MFA-Umgehung via ROPC" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Passwortangriffe in Azure: 81 Millionen Logins und MFA-Umgehung via ROPC" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Passwortangriffe in Azure: 81 Millionen Logins und MFA-Umgehung via ROPC« bei Google Deutschland suchen, bei Bing oder Google News!