LONDON (IT BOLTWISE) – Eine neue Phishing-Kampagne namens „EvilTokens“ umgeht Passwörter, weil sie nicht nach Login-Daten fischt, sondern echte Microsoft-Anmeldeprozesse missbraucht. Dabei greifen die Angreifer per Device Code Flow auf ein OAuth-Token zu und können danach auf E-Mails, Kalender und OneDrive zugreifen. Sicherheitsanbieter berichten von einem starken Anstieg seit Jahresbeginn und warnen, dass selbst Multi-Faktor-Authentifizierung und Passkeys keinen Schutz bieten. Der Beitrag zeigt, wie der Angriff technisch funktioniert und welche konkreten Gegenmaßnahmen Unternehmen und Nutzer jetzt priorisieren sollten.
Phishing galt lange als Spiel mit gestohlenen Passwörtern und kompromittierten Zugangsdaten. Genau dort setzt die aktuell kursierende Kampagne „EvilTokens“ an: Sie benötigt häufig nicht einmal den Moment, in dem ein Benutzer sein Passwort oder seinen zweiten Faktor preisgibt. Stattdessen werden Opfer dazu gebracht, einen legitimen Microsoft-Anmeldevorgang über eine gefälschte E-Mail anzustoßen, bei dem die Angreifer anschließend das Ergebnis nutzen. Branchenbeobachter melden, dass sich diese Methode besonders gegen Microsoft-365-Umgebungen richtet und damit direkt in den Alltag von IT-Abteilungen und Security-Operations hineinwirkt.
Technisch basiert die Masche darauf, den Device Code Flow zu missbrauchen. Dieser Authentifizierungsweg ist ursprünglich für Geräte und Dienste gedacht, bei denen keine klassische Browseranmeldung möglich ist, etwa für Smart-TVs oder bestimmte E-Mail-Clients. In einem normalen Ablauf zeigt Microsoft dem Nutzer auf dem Gerät oder in der App einen Code an, den dieser auf einer offiziellen Anmeldeseite wie microsoft.com/devicelogin eingibt und anschließend mit Konto, gegebenenfalls Multi-Faktor und/oder Passkey bestätigt. „EvilTokens“ erzeugt den passenden Gerätecode kontrolliert mit Hilfe eigener Logik und startet damit einen Prozess, der aus Sicht des Opfers wie „echt“ wirkt, bis am Ende Token entstehen, die der Angreifer verwerten kann.
Ein entscheidender Baustein ist die automatisierte Vorprüfung, ob eine E-Mail-Adresse tatsächlich zu einem Microsoft-365-Konto gehört und welche Authentifizierung dafür vorgesehen ist. Für diese Prüfung nutzen die Angreifer Berichten zufolge den sogenannten GetCredentialType-Endpunkt, also eine Authentifizierungsschnittstelle zur Validierung von Kontotypen. Damit können sie zielgerichteter agieren und Fehlversuche reduzieren, was bei Phishing-as-a-Service-Modellen die Marge für Angreifer verbessert. Hinzu kommt, dass die Gültigkeit des Gerätecodes nur etwa 15 Minuten beträgt, wodurch der Timing-Aspekt des Angriffs kritisch wird: Die gefälschte Nachricht muss so getaktet sein, dass das Opfer zur richtigen Zeit den Code eingibt.
Die zweite große Komponente ist Social Engineering mit KI-Unterstützung. Die Angreifer versenden E-Mails, die visuell und sprachlich so gestaltet sind, dass sie wie echte Nachrichten von Microsoft oder aus dem Unternehmensmailverkehr wirken. Gleichzeitig sammeln ihre KI-Bots Informationen über die Zielpersonen, die aus öffentlichen Quellen stammen können, aber auch aus vorherigen Leaks oder anderen Cyberangriffen. Mit dem so gewonnenen Kontext erzeugen sie täuschend echte Texte, inklusive passender Anrede, geografischer Hinweise und organisatorischer Details. Selbst wenn „nur“ persönliche Daten betroffen sind, steigt dadurch die Wahrscheinlichkeit, dass der Nutzer den Codeingabe-Schritt als unkritisch bewertet und die Aktion bestätigt.
Für das Opfer liegt die Täuschung im „korrekten“ UI- und Vertrauenseindruck: Es landet auf einer authentisch wirkenden Microsoft-Anmeldeseite, der Code ist gültig, die Authentifizierung wird vom Nutzer selbst bestätigt, und die eigentliche Oberfläche gehört damit scheinbar zur legitimen Identitätsprüfung. Genau dieses Muster macht den Angriff so brandgefährlich. In der Folge erhält die Angreifer-Instanz Zugriffstoken (OAuth-Token), mit denen sie anschließend auf Microsoft-365-Ressourcen zugreifen können: Dazu zählen typischerweise E-Mails, Kalendereinträge, OneDrive-Inhalte und Kontakte. Dass der Nutzer „mitspielt“, ist damit keine Randnotiz, sondern integraler Bestandteil des Sicherheitsproblems.
Im Markt zeigt sich das Ausmaß der Gefahr an der Geschwindigkeit und Reichweite. Sicherheitsteams berichten, dass „EvilTokens“ seit dem Frühjahr deutlich häufiger beobachtet wird, und nennen Wachstumsraten, die für klassische Credential-Phishing-Kampagnen ungewöhnlich hoch sind. Mehrere Anbieter, darunter ein slowakisches Unternehmen, haben die Entwicklung im Zusammenspiel mit Forschung von anderen Cybersecurity-Firmen verfolgt; ergänzend wird aus dem Feld über neue Angriffe auf eine große Zahl von Organisationen in mehreren Ländern berichtet. Für Unternehmen ergibt sich daraus eine klare Priorisierung: Incident-Response-Prozesse müssen nicht nur auf „gestohlene Passwörter“ trainiert sein, sondern auf tokenbasierte Missbrauchsszenarien inklusive Device-Code-Flow-Abläufen.
Vergleicht man diesen Ansatz mit früheren Phishing-Varianten, wird der strategische Shift deutlich: Während viele Angriffe auf Eingaben auf gefälschten Webseiten setzten, wird hier der legitime Auth-Mechanismus als Transportmedium missbraucht. Damit verschiebt sich auch die Schutzwirkung von klassischen Kontrollen. Multi-Faktor-Authentifizierung und Passkeys verhindern nicht automatisch die Token-Ausleitung, wenn der Angreifer einen gültigen Authentifizierungsfluss anstößt und der Nutzer die Freigabe erteilt. Entscheidend sind deshalb Sicherheitsmaßnahmen, die die möglichen OAuth-Ergebnisse oder den Device Code Flow selbst begrenzen, etwa durch restriktive Freigaberegeln, blockierte Flows, Conditional Access und zusätzliche Signale in der Token-Validierung. Experten empfehlen außerdem Schulungen, die das konkrete „Codeingabe“-Muster als Warnsignal verankern.
Für die Zukunft dürfte sich der Wettlauf verschärfen: Ein Phishing-as-a-Service-Modell skaliert, weil es nicht bei Einzelfällen bleibt, sondern Kampagnen standardisiert, verfeinert und automatisiert. Für Entwickler und Security-Teams heißt das, Authentifizierungslogik und Identitätssteuerung so zu gestalten, dass Missbrauch durch legitime Flows erkennbar und wirksam begrenzt wird. Praktisch bedeutet das, dass Organisationen in ihren Microsoft-365-Umgebungen den Device Code Flow konsequent prüfen und, wo möglich, unterbinden sollten, zudem Freigaben und Token-Laufzeiten stärker kontrollieren müssen. Gleichzeitig sollten Nutzer angewiesen werden, jede unerwartete Aufforderung zur Eingabe eines Authentifizierungscodes strikt abzulehnen und den Vorgang sofort an IT- oder Security-Stellen zu melden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "EvilTokens-Phishing: Angreifer nutzen echte Microsoft-Anmeldungen ohne Passwort" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "EvilTokens-Phishing: Angreifer nutzen echte Microsoft-Anmeldungen ohne Passwort" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »EvilTokens-Phishing: Angreifer nutzen echte Microsoft-Anmeldungen ohne Passwort« bei Google Deutschland suchen, bei Bing oder Google News!