LONDON (IT BOLTWISE) – Microsoft Security Research beschreibt eine seit Mai 2026 beobachtete Angriffswelle auf Cloud-Infrastrukturen, bei der Vishing gezielt MFA-Schutz umgeht. Angreifer lenken Beschäftigte per gefälschter IT-Helpdesk-Kommunikation auf täuschende Login-Seiten und schaffen so Zugriff über Adversary-in-the-Middle-Phishing oder Device-Code-Flows. Danach registrieren sie eigene MFA-Methoden, laden Daten aus SharePoint und OneDrive herunter und nutzen technische Umgehungen bei Browser- und Mailfiltern. Zusätzlich zeigen weitere Berichte, wie Plattformen für Phishing-Tools und kompromittierte Versandwege die Reichweite solcher Kampagnen erhöhen.
Die neue Angriffswelle, die laut Microsoft Security Research seit Mai 2026 auf Cloud-Umgebungen beobachtet wird, trifft vor allem die Schnittstelle zwischen Identitäts- und Zugriffsprozessen. Im Zentrum steht Vishing: Angreifer kontaktieren Mitarbeitende direkt auf privaten Mobiltelefonen und geben sich als Teil des internen IT-Helpdesks aus. Damit verlagern sie den Einstieg weg von klassischen E-Mail-Kampagnen hin zu einem Kommunikationskanal, der in vielen Unternehmen organisatorisch anders behandelt wird als der Posteingang. Schon dieser Wechsel ist technisch relevant, weil damit auch die Voraussetzungen für die nächsten Schritte angepasst werden: Statt auf einen einzelnen Klick zu setzen, bringen die Angreifer die Opfer in einen Zustand, in dem sie aktiv Anmeldeschritte ausführen.
Das Vorgehen nutzt einen typischen sozialen Trigger, um Sicherheitsbarrieren wie Multi-Faktor-Authentifizierung (MFA) zu neutralisieren. Unter dem Vorwand eines notwendigen Updates für Passkeys, MFA oder Single-Sign-On (SSO) werden die Betroffenen auf gefälschte Anmeldeseiten geleitet. In der Folge kann sich das Muster in zwei Richtungen entfalten: Entweder realisieren die Angreifer Adversary-in-the-Middle-Phishing (AiTM), bei dem der Kommunikationsweg zwischen Opfer und Dienst kompromittiert wird, oder sie bedienen sich von Device-Code-Flows. Entscheidend ist dabei nicht nur der eigentliche Login, sondern die anschließende Persistenz: Sobald die Angreifer Zugriff erhalten, registrieren sie eigene MFA-Methoden, damit nachfolgende Anmeldeversuche nicht mehr zur ursprünglichen Vertrauensstellung zurückführen. Laut den Sicherheitsanalysten fällt die nachgelagerte Entdeckung schwer, weil sich Aktivitäten wie Abfragen via Microsoft Graph häufig unter legitimeren Berechnungsmustern bewegen.
Für die operative Umsetzung liefert die Beschreibung mehrere technische Spuren, die Security-Teams in der Praxis nutzen können. Beim Datendiebstahl wird offenbar auf Cloud-Speicher wie SharePoint und OneDrive gesetzt; alternativ sammeln die Angreifer E-Mails über REST-Schnittstellen. Auffällig ist zudem die beobachtete Größenordnung: Es wurden Datendiebstähle von weniger als 1.000 Dateien oder E-Mails pro Stunde gemeldet. Das klingt für sich genommen nach „kleinteiligem“ Vorgehen, kann aber ein gezieltes Zeitfenster bedeuten, in dem Rate-Limits, Alarm-Schwellen und Verhaltensmodelle weniger stark greifen. Als wiederkehrendes Element wird der User-Agent „python-httpx“ genannt, was auf automatisierte Skripte für API-Aufrufe hindeutet. Für die Verteidigung verschiebt sich damit der Fokus weg von reinen IOC-Listen hin zu Mustererkennung: gleichbleibende Client-Signaturen, ungewöhnliche API-Workloads und ungewöhnliche Kombinationen aus Zugriffspfaden und Authentifizierungsereignissen werden relevanter als einzelne Payload-Strings.
Die Zuordnung der Kampagne erfolgt in den Angaben über mehrere Akteursgruppen: Storm-3121 (auch bekannt als ShinyHunters oder Falcon) sowie Storm-3032 (BlackFile oder Helix). Ergänzend wird als weitere Gruppe PREY-0058 genannt, die gezielt Führungskräfte ins Visier nimmt. Solche Mehr-Zuordnungen sind in der Bedrohungsanalyse häufig ein Hinweis darauf, dass einzelne Taktiken, Infrastrukturen oder Implementierungen innerhalb einer „Lieferkette“ geteilt werden. Als spezifisches Infrastruktur-Element wird der NodeMaven-Proxy beschrieben, der gestohlene Sitzungen verschleiern soll. Statt Malware einsetzen die Angreifer in der Darstellung vor allem auf reinen Datendiebstahl und fordern anschließend Lösegelder via TOX mit einer Frist von 72 Stunden. Damit entsteht für Unternehmen ein doppelter Handlungsdruck: Sie müssen den unautorisierten Zugriff möglichst früh stoppen und gleichzeitig verhindern, dass Session-Assets und neu registrierte Authentifizierungsfaktoren unbemerkt bleiben.
Parallel dazu zeigen weitere Berichte eine Professionalisierung der genutzten Werkzeuge, die über den anfänglichen Einstieg hinausgeht. Die Phishing-Plattform „Greatness“ soll seit dem letzten Jahr massiv ausgebaut worden sein und nun gezielt den Diebstahl von Session-Token für Microsoft 365, iCloud und Google Workspace unterstützen. Auch „BigBear 2.0“ wird als im Juni 2026 entdecktes Tool beschrieben, für das CloudSEK eine Zahl von 5.137 erbeuteten Datensätzen nennt, darunter 1.032 Klartext-Passwörter und 4.148 Session-Cookies aus über 460 Organisationen. Für die technische Einordnung ist dabei wichtig: Session-Token und Cookies sind nicht identisch mit Passwörtern, aber sie umgehen oft den gleichen Schutzmechanismus, der mit MFA eigentlich etabliert wurde. Wenn ein Token bereits nach erfolgreicher Authentifizierung „weiterverwendbar“ ist, kann das Sicherheitsmodell am eigentlichen Ereignis vorbeigehen und erst später auffallen, wenn Token-Lebensdauer, IP-Standorte oder Geräteprofile unplausibel werden.
Auch die Umgehung moderner Sicherheitsfilter wird in den Angaben detailliert. Barracuda berichtet am 9. September 2026 über Kampagnen, die bösartige Seiten mittels Blob-URLs direkt im Browser des Opfers erzeugen. In Kombination mit Service Workern und „Sandboxed Iframes“ sollen Angreifer die Navigation steuern können, ohne dass eine dauerhafte Phishing-URL blockiert werden kann. Ergänzend wird Microsofts Dokumentation zu unsichtbaren Unicode-Tags (U+E0000–E007F) in E-Mails genannt: Markierungen innerhalb von Schlüsselwörtern wie „funding“ sollen dazu führen, dass Spamfilter ohne Normalisierung die Begriffe nicht zuverlässig erkennen. In der Folge wird für Ende Februar 2026 eine Spitze von rund 2,37 Millionen E-Mails pro Tag erwähnt und daraus ein Verteidigungsrat abgeleitet: Detektion und Abwehr sollten stärker auf Verhaltensüberwachung des Browsers sowie auf die Stärkung identitätsbasierter Kontrollen umgestellt werden. In der Praxis heißt das häufig, dass Teams nicht nur nach Zeichenketten im Inhalt suchen, sondern nach dem Zusammenspiel aus Browseraktionen, Authentifizierungsanomalien und API-Operationen.
Ein weiterer Verstärker für die Angriffe ist laut den Angaben die Automatisierung durch Künstliche Intelligenz. Google GTIG wird mit einer Aussage in Verbindung gebracht, wonach die Gruppe TeamPCP mithilfe eines KI-Coding-Chatbots in weniger als sechs Stunden eine umfangreiche Kampagne für den Diebstahl von Zugangsdaten aufbauen konnte. Außerdem wird berichtet, dass KI-Agenten in der ersten Juli-Hälfte 2026 innerhalb von vier Tagen 85 Nutzerkonten kompromittiert und über 2.500 Personalakten extrahiert haben. Ergänzend wird vor OAuth-Consent-Phishing gewarnt: dabei registrieren Angreifer bösartige Apps bei legitimen Anbietern, um MFA dauerhaft zu umgehen. Parallel zeigt ein Lieferketten-Beispiel vom 10. September 2026, dass selbst die Zustelllogik ausgenutzt werden kann: Der E-Mail-Dienstleister Brevo bestätigte einen Sicherheitsvorfall, der Angreifern die Nutzung legitimer Sendeinfrastruktur für Phishing-Mails im Namen von Unternehmen wie Trezor, BitBox oder CoinTracking ermöglicht haben soll. Weil diese Nachrichten über echte Server zugestellt wurden, hätten SPF, DKIM und DMARC den Versand offenbar nicht zuverlässig gestoppt. Für Empfänger genügt dann häufig die reine Plausibilität des Absenders, um sensible Informationen preiszugeben.
Für Unternehmen ergibt sich daraus weniger ein einzelner „Angriffspunkt“, sondern ein Kaskadenszenario, das mehrere Sicherheitslagen betrifft: Identitätszugriff (Vishing, AiTM, Device-Code-Flow), Persistenz (neu registrierte MFA-Methoden) und Datenzugriff (Cloud-APIs, SharePoint/OneDrive, REST). Dazu kommt die Notwendigkeit, Abwehrsysteme so zu konfigurieren, dass sie auch bei nicht klassischer Eingangsquelle – private Mobiltelefonnummern statt E-Mail – funktionieren. Praktisch bedeutet das, Hilfeprozesse zu entkoppeln (z. B. über verifizierte Rückrufwege), Anmeldeereignisse mit ungewöhnlichen Client-Signaturen und Token-Real-World-Mustern zu korrelieren und die Detection gezielt auf Graph- und API-Aktivitäten nach erfolgreicher Kompromittierung zu erweitern. Denn die beschriebenen Akteure zielen gerade darauf, dass ein initialer Fehler nicht nur kurzfristigen Zugriff liefert, sondern eine längere Handlungskette im System auslöst.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Vishing gegen MFA: Neue Cloud-Angriffe zielen auf Session- und Identitätsdaten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Vishing gegen MFA: Neue Cloud-Angriffe zielen auf Session- und Identitätsdaten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Vishing gegen MFA: Neue Cloud-Angriffe zielen auf Session- und Identitätsdaten« bei Google Deutschland suchen, bei Bing oder Google News!