LONDON (IT BOLTWISE) – Zwei voneinander getrennte Kampagnen zeigen, wie Angreifer Passkey-Themen für Social Engineering und Cloud-Übernahmen nutzen. In einer ersten Masche wurden innerhalb von nur drei Tagen über eine Million Betrugs-E-Mails verschickt, die an Accounts Payable gerichtet waren und ACH-Transfers anstoßen sollten. Die zweite Kampagne setzt auf manipulative Sign-in-Schritte, gefolgt von hohem Microsoft-Graph- und SharePoint/OneDrive-Downloadvolumen. Entscheidend für die Abwehr ist eine ganzheitliche Sicht auf API-Aktivität statt isolierter Einzelanfragen.
Microsoft beschreibt zwei Kampagnen, in denen Angreifer gleich an mehreren Fronten ansetzen: einmal bei Finanz-Workflows in Unternehmen, einmal direkt bei der Identitätsschicht in der Cloud. Auffällig ist dabei weniger die reine Phishing-Idee als die Inszenierung über vertrauensnahe Abläufe – inklusive gefälschter Zustimmungen, Markenauftritten und wiederkehrenden Sign-inmustern. Für IT- und Security-Teams wird das Thema besonders relevant, weil Passkey-nahe Ausweichpfade nicht automatisch an der klassischen MFA-Logik scheitern, sondern Social Engineering gezielt mit Authentifizierungsflüssen verbinden.
Im ersten Szenario geht es um einen E-Mail-Betrug, der sich zwischen dem 3. und 5. August 2026 über mehr als eine Million Nachrichten erstrecken soll. Laut Microsoft haben die Angreifer dafür Unternehmens-Entscheider als Absender verkleidet und so Accounts Payable adressiert, um eine ACH-Überweisung für eine vermeintliche ServiceNow-Jahreslizenz anzustoßen. Damit folgt die Kampagne zwar dem Grundmuster „Executive Impersonation“ – sie geht aber deutlich darüber hinaus, indem sie mehrere Ebenen miteinander verknüpft: gefälschte Rechnungsdokumente, ein künstlich erzeugter E-Mail-Verlauf und eine als „Approval“ formulierte Bestätigung für die falsche Rechnung. Microsoft nennt außerdem, dass die Betreiber generative KI zur Erstellung von E-Mail-Templates und Entwurfsinhalten eingesetzt haben, was den Aufwand für personalisierte Varianten senkt.
Auch die technische Ausprägung deutet auf Professionalisierung hin: Die Angreifer sollen gezielt Domains registrieren, die wie Impersonation-Identitäten wirken, Zahlanforderungen über „trusted infrastructure“ versenden und gefälschte Rechnungen so in die Nachricht einbetten, dass Empfänger eher die Absenderidentität als den Inhalt prüfen. Zusätzlich wurden laut Microsoft Namen und E-Mail-Adressen von CEOs, CFOs und Presidents in die Signaturen der Mails übernommen, wodurch die Kommunikation auf den ersten Blick glaubwürdig wirkt. Besonders an das Cloud-Umfeld gekoppelt ist diese Masche dadurch, dass sie auf konkrete Finanzaktionen zielt: Sobald die Zahlungsfreigabe angestoßen ist, verlagert sich das Risiko vom Informationsbetrug in Richtung operativer Manipulation von Buchhaltungs- und Zahlungsprozessen.
Die zweite Kampagne zielt dann direkt auf Cloud-Zugänge und beschreibt ein Vorgehen, das mit „passkey-themed social engineering“ startet und in eine kompromittierte Identität übergeht. Microsoft berichtet, dass die Aktivität seit Mai 2026 erkannt wurde und sich durch verdächtige Sign-ins, das Hinzufügen eigener Authentifizierungsmethoden sowie durch massenhaftes Verhalten in der Microsoft-Graph-Umgebung auszeichnet. Typische technische Spuren umfassen Downloads aus SharePoint und OneDrive sowie das Einsammeln von Postfachdaten über REST-APIs. Der Einstieg soll dabei häufig über Telefonate oder Nachrichten an die private Rufnummer der Mitarbeitenden laufen: Die Angreifer geben sich als IT-Helpdesk aus und fordern dazu auf, sofort Passkey-, Multi-Faktor- oder Single-Sign-on-Einstellungen zu aktualisieren, um vermeintliche Zugriffsunterbrechungen zu vermeiden.
Der Übergang in die Kompromittierung erfolgt laut Microsoft über SMS-geleitete Umleitungen auf Phishing-Webseiten, die das legitime Microsoft-Login nachahmen. In der Folge versuchen Angreifer, über adversary-in-the-middle-Mechanismen oder device-code-basierte Authentifizierungsflüsse Kontrolle über Microsoft-Konten zu erlangen – entweder durch das Abgreifen von Credentials oder indem sie Zugriffsfreigaben „unwissentlich“ im Namen der Opfer erzeugen. Microsoft beschreibt außerdem, dass die Täter vorab „Pre-attack research“ intensiv betrieben haben sollen, etwa durch Informationen aus öffentlichen Profil- und Social-Plattformen; in einer kleineren Anzahl von Fällen sollen sie zudem bereits kompromittierte Konten ausgenutzt haben, um mit ähnlichen Passkey-fokussierten Nachrichten in Microsoft Teams weiterzureichen.
Nach dem initialen Zugriff wird der Angriff in einen dauerhaften Zustand überführt. Microsoft zufolge ist das Ziel, aus einer temporären Übernahme eine persistente Grundlage zu machen – oft nicht nur über gestohlene Zugangsdaten, sondern indem Angreifer eine vom Opfer unabhängige MFA-Variante unter eigener Kontrolle eintragen. Praktisch bedeutet das: neue Telefonnummern, Authenticator-Anwendungen oder softwarebasierte One-Time-Password-Tokens. Ein solcher zweiter Faktor erlaubt den Angreifern, sich in Unternehmenskonten einzuloggen, ohne dass erneut eine aktive Teilnahme der betroffenen Person nötig ist, und den Zugang anschließend mit unrevokierten Sessions oder gültigen Credentials zu stabilisieren. Danach folgt laut Microsoft ein breites Portfolio an Aktionen: umfangreiche interne Reconnaissance über Graph API (Benutzer, Gruppen, Rollen, Rechte, verfügbare Ressourcen), die Inspektion von privilegierten Konten und Service-Identitäten, die Auswertung von Postfachnachrichten und Metadaten sowie hochvolumige Downloads aus SharePoint Online und OneDrive for Business, bis hin zu Exchange Online in einzelnen Fällen. Bei der Exfiltration soll der Prozess über mehrere Stunden bis Tage laufen; außerdem sollen Angreifer Infrastruktur über den Angriffslifecycle hinweg rotieren und separate IPs für Authentifizierung, Recon und Exfiltration verwenden, um netzwerkbasierte Indikatoren zu verwischen.
Für die Detektion leitet Microsoft daraus eine zentrale Leitlinie ab: Microsoft-Graph-Missbrauch wirkt häufig nicht „auffällig“, wenn man ihn nur über einen einzelnen API-Aufruf betrachtet. Stattdessen müsse Graph-Aktivität ganzheitlich bewertet werden – mit Blick auf Verhaltensprogression und Korrelation über mehrere Ereignisse hinweg. Genau hier wird der Unterschied zwischen „Signatur“ und „Verhaltensanalyse“ greifbar: Einzelanfragen lassen sich oft durch legitime Automatisierung erklären, während ein Muster aus aufeinanderfolgenden Phasen (Sign-in → MFA-Persistenz → Reconnaissance → Downloadwellen → Exfiltration) deutlich mehr Kontext liefert. Damit rückt nicht nur die Kontosicherheit (inklusive Passkey- und MFA-Konfiguration) in den Fokus, sondern auch das Monitoring der Identitäts- und Tenant-Aktivität als durchgängiger Verlauf – besonders dann, wenn Social Engineering den ersten Schritt bereits erfolgreich getaktet hat.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Passkey-Phishing: Zwei Microsoft-Kampagnen kapern Cloud-Identitäten und Daten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Passkey-Phishing: Zwei Microsoft-Kampagnen kapern Cloud-Identitäten und Daten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Passkey-Phishing: Zwei Microsoft-Kampagnen kapern Cloud-Identitäten und Daten« bei Google Deutschland suchen, bei Bing oder Google News!