LONDON (IT BOLTWISE) – Eine Cyberkampagne namens „Payroll Pirates“ kapert Microsoft-365-Sitzungen und hebelt MFA mithilfe eines Adversary-in-the-Middle-Proxies aus. Der Angriff startet häufig mit einer als Voicemail getarnten Phishing-Nachricht und führt über Redirect-Ketten zu einer gefälschten Login-Seite. Laut Warnungen des IT-Sicherheitsanbieters Storm-2755 zielt der Zugriff systematisch auf Gehalts- und Finanzdaten. Unternehmen sollten dabei nicht nur die Anmeldung absichern, sondern Missbrauch von gestohlenen Sitzungstokens frühzeitig erkennen.
„Payroll Pirates“ steht für eine Cyberkampagne, die weniger durch spektakuläre Zero-Day-Tricks auffällt, sondern durch konsequente Ausnutzung eines realen Schwachpunkts in der Authentifizierungskette: Angreifer können mit einer Adversary-in-the-Middle-(AiTM)-Proxy-Architektur Sitzungen so übernehmen, dass Multi-Faktor-Authentifizierung (MFA) ihren Schutz teilweise verliert. Laut Warnungen eines IT-Sicherheitsdienstleisters wird die Gruppierung Storm-2755 mit dieser Methode in Verbindung gebracht und verfolgt als Hauptziel den systematischen Diebstahl von Gehalts- und Finanzdaten in Unternehmen. Entscheidend ist dabei, dass es nicht um das dauerhafte Stehlen von Passwörtern oder des zweiten Faktors geht, sondern um das Übernehmen eines bereits „erfolgreich angemeldeten“ Zustands.
Der technische Ablauf wirkt dabei wie eine Kette aus gut getarnten Zwischenstationen. Laut den beschriebenen Analysen beginnt der Einbruch häufig mit einer Phishing-Nachricht, die als Voicemail aufgemacht ist. Sobald ein Mitarbeiter die Nachricht öffnet oder mit ihr interagiert, setzen die Täter Weiterleitungen in Gang, die das Opfer auf eine gefälschte Login-Seite führen. In dieser Phase greifen die Angreifer auf legitime Dienste zurück, unter anderem auf Infrastruktur rund um Google Meet, Google Ads und Amazon S3, um die Kommunikation und den Pfad bis zur Zielseite plausibel wirken zu lassen. Damit wird der klassische Effekt von MFA unterlaufen, weil der Angriff nicht „hinter“ der Anmeldung stattfindet, sondern während des Authentifizierungsprozesses selbst.
Technischer Kernpunkt ist der AiTM-Proxy: Dieses Bauteil sitzt als Zwischeninstanz zwischen dem Nutzer und dem tatsächlichen Microsoft-Dienst. So können die Angreifer Sitzungstokens in Echtzeit abgreifen und unmittelbar wiederverwenden. Da Token in diesem Kontext bereits den Status einer erfolgreichen Anmeldung enthalten, wird MFA wirkungslos, zumindest bezogen auf den ursprünglichen Schutzmechanismus „Besitz von Passwort und zweitem Faktor“. Für Verteidiger heißt das: Auch ein stark konfiguriertes MFA-Regime verhindert den Angriff nicht zuverlässig, wenn die Sitzung selbst oder ihre Gültigkeit in die Kontrolle des Angreifers gerät. Die eigentliche Sicherheitswirkung verlagert sich dadurch von der reinen Authentifizierung hin zur Erkennung von anomalem Sitzungs- und Token-Handling.
Nach der Kompromittierung eines Kontos gehen Storm-2755 und seine Akteure methodisch vor, statt breitflächig „alles“ auszuprobieren. Laut den vorliegenden Informationen nutzen sie dafür die Programmierschnittstelle Microsoft Graph, um die interne Organisationsstruktur zu sondieren. Im Fokus stehen dabei Mitarbeiter, die in Finanz- oder Personalabteilungen arbeiten. Das ist ein typischer Musterwechsel in modernen Angriffsabläufen: Statt nur den Zugang zu erlangen, optimieren die Angreifer bereits früh die „Datenausbeute“, indem sie Zielpersonen identifizieren, die besonders wertvolle Informationen in klar definierten Rollen und Systembereichen verwalten.
Mit Blick auf die Datenziele wird der wirtschaftliche Schaden nachvollziehbar: Das primäre Interesse gilt Gehaltsabrechnungen und Bankverbindungen. Die beschriebenen Ziele reichen von Manipulationen an zahlungsrelevanten Informationen bis hin zum direkten Zugriff auf Finanzportale innerhalb der Microsoft-365-Umgebung. In der Praxis bedeutet das auch, dass klassische Indikatoren wie „MFA wurde erfolgreich abgeschlossen“ allein keine Entwarnung sein dürfen. Wenn ein Token bereits gültig ist und in einer fremden Session weiter genutzt wird, verschiebt sich das Risiko weg von der Frage „hat jemand korrekt die zweite Stufe durchlaufen?“ hin zu „passt das beobachtete Sitzungsverhalten zur erwarteten Nutzung?“
Die geografische und sektorale Breite ist dabei ein weiterer Alarmfaktor. Laut den Dokumentationen richtet sich die Kampagne gegen Organisationen in Europa und Nordamerika; betroffen sein sollen unter anderem das Gesundheitswesen, der Bildungssektor, die Fertigungsindustrie sowie Regierungsbehörden und Dienstleistungsunternehmen. Dass bereits im Juli 2026 hunderte Organisationen von solchen Übergriffen betroffen gewesen sein sollen, unterstreicht zudem, dass es sich nicht um ein isoliertes Vorfallmuster handelt. Wer Microsoft-365-Systeme betreibt, sollte deshalb die Bedrohung als wiederkehrendes Risiko begreifen und die internen Reaktionsprozesse entsprechend priorisieren.
Für die Abwehr folgt daraus ein pragmatischer Ansatz: Neben klassischen Schutzmaßnahmen gegen Phishing rückt vor allem das Monitoring von Sitzungen und Token-Missbrauch in den Vordergrund. Der Sicherheitsdienstleister betont laut Darstellung, dass zusätzliche Sicherheitsüberwachungen nötig sind, die den Missbrauch gestohlener Sitzungstokens früh erkennen. Das kann je nach Reifegrad des Unternehmens bedeuten, Anmelde- und Session-Events enger zu korrelieren (z. B. Gerätewechsel, ungewöhnliche IP-Geolokationen oder auffällige Nutzung von Rollen-relevanten APIs) und die Sensibilität der Zugriffe auf Finanz- und Personalressourcen über Microsoft Graph stärker zu steuern. Gerade weil die Täter legitime Infrastruktur missbrauchen, sollte die Verteidigung nicht nur auf „Auffällige Domain“ setzen, sondern auch auf Muster in Timing, Interaktion und Session-Entwicklung.
Abschließend ist der operative Charakter solcher Kampagnen wichtig: Sie zeigen, wie verwundbar Unternehmen trotz moderner Authentifizierungsmechanismen bleiben, wenn Angreifer den Authentifizierungsprozess selbst als Angriffsfläche begreifen. Für Teams in IT-Security und Identity-Management heißt das, Maßnahmen gegen AiTM-Proxy-Szenarien nicht als Spezialfall zu behandeln, sondern als integralen Bestandteil der Sicherheitsstrategie für Microsoft-365-Zugänge. Gleichzeitig sollte Awareness nicht bei allgemeinen Hinweisen stehen bleiben: Wenn Voicemail-Phishing und komplexe Redirect-Ketten funktionieren, braucht es konkrete, wiederholbare Schulungen, die das Erkennen der ersten Interaktionsstufe sowie die korrekte Reaktion bei verdächtigen Login-Vorgängen trainieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "„Payroll Pirates“: Storm-2755 umgeht Microsoft-365-MFA mit AiTM-Proxy" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "„Payroll Pirates“: Storm-2755 umgeht Microsoft-365-MFA mit AiTM-Proxy" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »„Payroll Pirates“: Storm-2755 umgeht Microsoft-365-MFA mit AiTM-Proxy« bei Google Deutschland suchen, bei Bing oder Google News!