NORDAMERIKA / LONDON (IT BOLTWISE) – Eine neue Welle von Phishing- und Vishing-Angriffen zielt laut Sicherheitsforschung auf Microsoft-365-Umgebungen, darunter Teams, Outlook und SharePoint. Besonders kritisch ist, dass die Angreifer nach einer scheinbar legitimen Anmeldung Zustimmungen für Anwendungen abfragen, ohne die MFA zwingend umgehen zu müssen. Daneben beschleunigt STAC4749 die Ausbreitung mit kurzen Telefonaten, die die Opfer in Teams-Interaktionen und anschließend in eine Ransomware-Installation führen. Zusätzlich steigen Device-Code-Phishing-Varianten stark an, während KI-Tools wie Copilot in missbräuchlichen Simulationen zur Tarnung von Kontoaktionen genutzt wurden.
Die Logik hinter der aktuellen Angriffsserie ist unübersehbar: Viele Security-Teams haben in den letzten Jahren vor allem das klassische Passwort- oder MFA-Umgehen priorisiert. Die neuen Taktiken setzen stattdessen auf eine scheinbar korrekte Nutzung der legitimen Microsoft-Identitätskette, damit ausgerechnet die vertrauenswürdige Infrastruktur zum Einfallstor wird. Im Zentrum stehen kompromittierte oder nachgebildete Anmeldeszenarien, die Nutzer auf echte Microsoft-Seiten führen und damit die Hürde „Beweis, dass es ein Scam ist“ im Alltag massiv senken. Das Ergebnis ist ein Phishing-Workflow, der nicht mit einem großen Knall endet, sondern im Hintergrund Zugriffrechte dauerhaft verankert.
Im Consent-Phishing, das Check Point Research zwischen dem 25. Juni und Juli 2026 beschrieben hat, werden nach der Anmeldung nicht sofort verdächtige Payloads erwartet. Stattdessen landen Opfer zuerst auf echten Microsoft-Anmeldeseiten und sehen danach eine Aufforderung, einer Anwendung Zugriff zu gewähren. Wer zustimmt, legt den Grundstein für dauerhaften Zugriff auf E-Mails, Dateien, Kalender und Teams-Daten. Entscheidend ist dabei die Abfolge: Da die Anmeldung über den offiziellen Identitätsanbieter läuft, müssen Angreifer die Multi-Faktor-Authentifizierung nicht zwingend knacken, weil sie sich direkt im Kontext eines erfolgreich authentifizierten Nutzers bewegen. Für Unternehmen bedeutet das, dass die reine „MFA muss immer funktionieren“-Erzählung zu kurz greift, wenn Nutzer aktiv Berechtigungen erteilen.
Dass Consent-Prompts inzwischen wie ein Baukasten verkauft werden, zeigt auch das Modell „Phishing as a Service“. Die Plattform Greatness ist seit Mitte 2022 aktiv und verlangt laut den vorliegenden Angaben 289 Dollar pro Monat, bezahlt über Telegram. Solche Angebote sind nicht nur organisatorisch relevant, sondern auch technisch: Sie liefern wiederverwendbare Komponenten, die sich an neue Zielgruppen und aktuelle Themen anpassen lassen. Als Beispiel wird genannt, dass die Angreifer E-Mails des Kommunikationsdienstes RingCentral imitieren. Weil diese Nachrichten teils durch Safe-Sender-Whitelisting direkt im Posteingang landen, wirken sie für viele Empfänger weniger wie „Angriff“ und mehr wie ein normales Betriebsereignis. Nach einem RingCentral-Sicherheitsvorfall am 28. Juli wurde die Situation offenbar für glaubwürdigere Köder genutzt, während gestohlene Zugriffstokens für etwa zwei Wochen gültig bleiben – damit bleibt Zeit, Postfächer zu durchsuchen und über die Microsoft-Graph-API auf Inhalte in SharePoint und OneDrive zuzugreifen.
Eine weitere Ebene ist die Telefon-Variante, die im Artikel unter dem Namen STAC4749 läuft und seit Februar 2026 auf Organisationen in Nordamerika zielt. Hier steht nicht die E-Mail im Vordergrund, sondern ein extrem kurzer Kommunikationsweg: Zwei Minuten lange Telefonanrufe, getarnt als IT-Helpdesk. Die Opfer werden in Teams-Gespräche gelotst, in denen die Angreifer die Ransomware „Chaos“ installieren. Sophos ordnet diese Geschwindigkeit als besonders auffällig ein; im schnellsten dokumentierten Fall habe es weniger als 17 Stunden vom ersten Kontakt bis zur vollständigen Verschlüsselung gedauert. Für die Praxis ist das bedeutsam, weil klassische Interventionsfenster oft auf E-Mail- oder Ticket-basierten Verzögerungen beruhen. Wenn der Angriffsablauf jedoch schon nach wenigen Stunden vollständig eskaliert, muss Incident Response stärker auf schnelle Entscheidungswege und klare Freigabeprozesse innerhalb der Kommunikationskanäle ausgerichtet werden.
Parallel wächst Device-Code-Phishing sehr dynamisch. Die genannten Marktdaten sprechen für 2026 von einem Anstieg um 1.500 Prozent. Der Mechanismus ist besonders heimtückisch, weil bei der Variante ein Code auf einer echten Microsoft-Seite genügt, um Tokens zu erzeugen – ohne dass Passwort oder MFA unmittelbar auszuhebeln wären. In der Folge entsteht ein Sicherheitsproblem, das nicht mit dem „Erkennen falscher Seiten“ allein gelöst werden kann, denn die Nutzer bewegen sich formal in einem legitimen Authentifizierungsfluss. Im Text wird zudem empfohlen, den Device-Code-Flow zu blockieren, wenn er nicht innerhalb von 25 Tagen genutzt wurde. Das ist als Kontrollidee hilfreich, aber es zeigt auch, wie stark die Verteidigung künftig an konkrete Authentifizierungs- und Token-Lifecycles gekoppelt sein muss, nicht nur an Eingabefelder.
Auch KI wird in der aktuellen Darstellung nicht als Schutzschild, sondern als Angriffsmittel sichtbar. Barracudas Red Team habe in einer Simulation gezeigt, dass sich mit kompromittierten Konten Microsoft Copilot nutzen lässt, um Führungskräfte zu identifizieren, überzeugende Phishing-Nachrichten zu verfassen und Postfachregeln zu erstellen, die Aktivitäten verbergen. In der Simulation habe das zu einer betrügerischen Kontoumstellung mit einem Schaden von 247.500 Dollar geführt. Solche Beispiele sind technisch insofern relevant, als KI-gestützte Text- und Entwurfswerkzeuge die Aufbereitung zielgruppenspezifischer Inhalte beschleunigen und damit die „Zeit bis zur ersten erfolgreichen Täuschung“ verkürzen können. Für Unternehmen heißt das: KI-Tools im Betrieb sind nur dann ein Schutzfaktor, wenn Zugriffskontrollen, Protokollierung und Freigabeprozesse auch bei Missbrauchsszenarien eng genug greifen.
Selbst legitime Kommunikations- und Kollaborationsobjekte werden dabei zum Übertragungsweg umfunktioniert. Genannt wird etwa die Malware Hollowgraph, die Kalendereinträge mit Zukunftsterminen nutzt – etwa dem 13. Mai 2050 – als versteckten Kanal, um Kommandos über die Graph-API abzurufen. Beobachtet wurde diese Aktivität zuletzt zwischen dem 3. Juni und 9. Juli, vor allem gegen Organisationen in Israel. Der rote Faden zieht sich damit über mehrere Angriffsklassen: Consent-Phishing etabliert Berechtigungen, Vishing beschleunigt Installation und Eskalation, Device-Code-Phishing erzeugt Tokens im legitimen Fluss, KI beschleunigt Täuschung, und Kalender/Graph-API schaffen flexible Kommando- und Steuerkanäle. Für deutsche Unternehmen folgt daraus eine klare Konsequenz: Reine Passworthärtung reicht nicht, wenn die Angreifer bereits dann erfolgreich sein können, wenn Nutzer funktionale Berechtigungen erteilen oder Kommunikations-Workflows ohne ausreichende Verifikation durchlaufen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft 365 unter Consent-Phishing und Teams-Vishing: Neue Angriffswellen 2026" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft 365 unter Consent-Phishing und Teams-Vishing: Neue Angriffswellen 2026" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft 365 unter Consent-Phishing und Teams-Vishing: Neue Angriffswellen 2026« bei Google Deutschland suchen, bei Bing oder Google News!