LONDON (IT BOLTWISE) – Eine neue Angreifergruppe namens Helix soll Daten aus Microsoft-365-Umgebungen stehlen, ohne dabei klassische Schadsoftware einzusetzen. Stattdessen setzen die Täter auf Voice-Phishing (Vishing) und Device-Code-Phishing, um Sitzungs-Token und MFA-Faktoren zu missbrauchen. Für Unternehmen wird dadurch der Schutz der Identitätslandschaft zur zentralen Aufgabe – von Konfigurationen bis zur Mitarbeiter-Schulung. Der Beitrag zeigt die technischen Angriffsmuster, ordnet sie historisch ein und leitet konkrete Abwehrschritte ab.
Angriffe auf Microsoft 365 wirken auf viele Teams noch wie ein reines „Credential“-Problem: Wenn Passwörter und Tokens geschützt sind, ist die Welt in Ordnung. Genau diese Annahme wird durch die Berichte über die „Helix“-Akteursgruppe herausgefordert. Im Kern geht es um identitätsbasierte Datendiebstähle, die ohne Schadsoftware auskommen sollen. Helix nutzt demnach Vishing, also betrügerische Telefonanrufe, sowie ein Device-Code-Phishing, um Nutzer in einen Authentifizierungsprozess zu drängen. Das zielt weniger auf klassische Anmeldedaten als auf die Kontrolle über Sitzungszustände und die dauerhafte Umgehung von Multi-Faktor-Mechanismen.
Technisch beginnt der Ablauf meist mit einem Anruf, bei dem sich Angreifer als Vorgesetzte oder IT-nahe Rollen ausgeben und Mitarbeiter zur Preisgabe von Informationen bewegen. Entscheidend ist dabei das „Lenken“: Die Opfer sollen nicht „freiwillig“ Daten geben, sondern aktiv in ein falsches Device-Code-Setup einwilligen. Sobald der Prozess in Gang ist, können Angreifer Sitzungs-Token abgreifen, die typischerweise den Zugriff auf Cloud-Ressourcen ermöglichen. Damit verschiebt sich der Angriff in Richtung Session Hijacking und Authentifizierungs-Kapern, selbst wenn ein Passwort nie direkt kompromittiert wurde. Um längere Zugriffsfenster zu sichern, sollen die Angreifer zusätzliche Faktoren für die MFA-Strategie registrieren.
Besonders folgenreich ist diese Kombination aus Token-Diebstahl und MFA-Missbrauch. Wenn Angreifer eigene MFA-Faktoren hinzufügen, wird aus einem einmaligen Phishing-Fehler ein wiederverwendbarer Zugriffsweg. Für die Datenseite bedeutet das: Über längere Zeiträume kann Helix dem Bericht zufolge Daten aus SharePoint-Bibliotheken exfiltrieren. Damit wird ein zentraler Punkt in der Security-Architektur sichtbar: Wer allein auf „starke Authentifizierung“ setzt, aber die Prozesse rund um Device-Code-Flows, Zustimmungsmechanismen und Token-Lebensdauer nicht systematisch absichert, schafft eine Lücke. Historisch kennen Sicherheitsbeobachter ähnliche Muster vor allem aus Token-Umgebungen und OAuth-nahem Missbrauch, nur dass hier die Einstiegshürde stärker über menschliche Interaktion und Telefonkanäle gesetzt wird.
Im Marktkontext ist das kein Einzelfall, aber eine Verschärfung in der Praxis: Neben der namentlich genannten Helix-Gruppe werden Verbindungen zu bekannten Aktivitäten wie BlackFile und ShinyHunters diskutiert. Zusätzlich werden Indizien genannt, etwa gemeinsame IP-Adressbereiche sowie die Registrierung einer Domain über einen Dienstleister. Aus defensiver Sicht ist das wichtig, weil es die Frage nach Threat Intelligence auf „IoCs“ erweitert: IP-Cluster und Domains helfen beim schnellen Abgleich, doch die eigentliche Verteidigung hängt an Konfigurations- und Prozessentscheidungen. Analystisch wird in der Branche daher zunehmend betont, dass Unternehmen ihre Identity-Gates konsistent härten müssen, insbesondere bei Device-Code-Authentifizierung, ungewöhnlichen MFA-Registrierungen und dem Umgang mit nicht angeforderten Anrufen.
Welche Maßnahmen stehen nun konkret im Vordergrund? Erstens sollte die Konfiguration der Identitätsdienste überprüft werden, insbesondere die Device-Code-Authentifizierung: Wenn sie nicht zwingend für den Betrieb erforderlich ist, ist das Deaktivieren ein naheliegender Hebel. Zweitens müssen Teams den „Mensch-in-der-Schleife“-Teil ernst nehmen: Vishing zielt gezielt darauf ab, dass Mitarbeitende Autoritätssignale wie Titel, Dringlichkeit oder vermeintliche IT-Kontextinformationen nicht hinterfragen. Eine wirksame Schulung verbindet daher technische Details mit einem klaren Rufablauf, etwa: Keine Authentifizierungsschritte bestätigen, die nicht über offizielle Kommunikationskanäle ausgelöst wurden. Drittens sollten Detektions- und Response-Fähigkeiten so ausgerichtet werden, dass anormale MFA-Registrierungen und Session-Events in Richtung Data Access verfolgt werden.
Auch für Compliance und Datenschutz ergibt sich daraus ein unmittelbarer Handlungsdruck: SharePoint-Inhalte enthalten oft personenbezogene Daten, Vertragsdokumente und Mess- oder Betriebsinformationen, die unter verschiedene Rechtsregime fallen. Wenn Angreifer Token missbrauchen und MFA-Setups dauerhaft verankern, kann sich unbemerkter Datenzugriff über Zeiträume erstrecken, was die Relevanz von Lösch- und Nachweispflichten erhöht. Dabei sollten Unternehmen nicht nur „Zugriff verhindern“, sondern auch „Zugriff nachweisbar machen“: Protokollierung, Audit-Trails und ein klarer Incident-Runbook-Ansatz reduzieren den Schaden, falls es dennoch zu einem erfolgreichen Takeover kommt. Für die Zukunft bedeutet das zudem, dass Identity-Security stärker als eigenständige Disziplin in der Cloud-Betriebspraxis verankert wird.
Ausblickend ist zu erwarten, dass solche Angriffe weiter professionalisiert werden, weil sie ohne Schadsoftware auskommen und dadurch klassische Malware-Checks umgehen. Wenn der Einstieg über Device-Code- und Telefonkanäle gelingt, verschiebt sich der Wettlauf in Richtung härterer Authentifizierungsrichtlinien und besserer Benutzerpfade. Entwickler und Security-Teams profitieren davon, weil die Abwehr weniger von „Signature-basierten“ Lösungen abhängt und mehr von präzisen Kontrollen: wie Device-Code-Flows abgesichert, Token-Lebenszeiten begrenzt, MFA-Faktoren überwacht und Anomalien in Microsoft-365-Workloads erkannt werden. In der nächsten Ausbaustufe wird es wahrscheinlich weniger um einzelne „Tricks“ gehen, sondern um ein Identity-Programm mit klaren SLOs für Erkennung und Reaktion.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Helix: Voice-Phishing und Device-Code-Angriffe auf Microsoft 365 ohne Malware" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Helix: Voice-Phishing und Device-Code-Angriffe auf Microsoft 365 ohne Malware" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Helix: Voice-Phishing und Device-Code-Angriffe auf Microsoft 365 ohne Malware« bei Google Deutschland suchen, bei Bing oder Google News!