SEATTLE / LONDON (IT BOLTWISE) – In einer groß angelegten Password-Spraying-Welle trafen Angreifer im Juni 2026 Microsoft-365-Konten mit rund 81 Millionen Anmeldeversuchen. Besonders brisant ist, dass die Kampagne MFA-Mechanismen nicht durch klassische Schwachstellen, sondern über einen Missbrauch von OAuth- und Token-Flows umgehen konnte. Sicherheitsforscher berichten zudem von Folgeangriffen über Browser-Token-Diebstahl sowie von Phishing-as-a-Service-Plattformen, die Business-Email-Compromise automatisieren. Parallel dazu aktualisiert die US-Behörde CISA erneut ihren Katalog bekannter Schwachstellen, darunter eine OIDC-bezogene Lücke in SimpleHelp.
Microsoft 365 steht aktuell im Fokus mehrerer Angriffsströme, die vor allem eines verdeutlichen: Selbst eine aktivierte Zwei-Faktor-Authentifizierung kann bei Token- und OAuth-Missbrauch ins Leere laufen. Sicherheitsforscher und Behörden berichten von einer groß angelegten Password-Spraying-Kampagne, die im Juni 2026 Microsoft-365-Konten ins Visier nahm. Zwischen dem 12. und 26. Juni seien laut den untersuchten Telemetriedaten rund 81 Millionen Anmeldeversuche registriert worden, bei denen Angreifer gezielt auf Cloud-Umgebungen zielten. Die Spitze der Aktivität wurde für den 19. und 22. Juni gemeldet, begleitet von einem massiven Sprung der Angriffsfrequenz gegenüber dem Normalbetrieb.
Technisch interessant ist dabei weniger das „Password-Spraying“ an sich, sondern die Art, wie sich daraus ein MFA-Umgehungsweg ableiten lässt. In den beschriebenen Fällen nutzten Angreifer einen ROPC-OAuth-Flow über die Azure-Befehlszeilenschnittstelle, um Authentifizierungsereignisse so zu platzieren, dass nicht jede Schutzschicht für alle relevanten Cloud-Anwendungen strikt greift. Entscheidend ist die Kluft zwischen „MFA ist aktiv“ und „MFA wird in jedem relevanten OAuth-Szenario konsistent erzwungen“. Die Folge: 78 Konten in 64 Organisationen sollen kompromittiert worden sein, obwohl der klassische Reflex vieler Unternehmen „mehr MFA“ lautet.
Der Angriff fügt sich in eine Entwicklung ein, die seit Jahren beobachtet wird: Angreifer lernen, legitime Protokolle als Einfallstor zu verwenden. In der Vergangenheit standen häufig Implementierungsfehler oder schlecht konfigurierte OAuth-Apps im Vordergrund, heute rücken dagegen die Grenzen von Identitäts- und Autorisierungslogik in den Fokus. Während Microsoft 365 hier in den Schlagzeilen ist, zeigt die parallele Bedrohungslage, dass das Problem branchenweit wirkt: Für Google-Ökosysteme wurde etwa eine neue Malware-Variante beschrieben, die bestehende Sitzungen in Chrome und Edge über die Remote-Debugging-Funktion kapert. Damit gelingt Authentifizierungsdiebstahl ohne erneute MFA-Abfrage.
Damit wird der Wettbewerb zwischen Plattformen zu einem Wettbewerb zwischen Sicherheitsarchitekturen. Microsoft steht zwar als Ziel im Bericht prominent da, doch die Angriffslogik lässt sich auf andere Identitätssysteme übertragen, solange OAuth-Token, Session-Mechanismen und Berechtigungen ähnlich funktionieren. Experten ordnen deshalb insbesondere Consent- und Berechtigungsflüsse als wiederkehrende Schwachstellen ein. „Wie in den Analysen von Huntress herausgestellt wurde, liegt der Schlüssel nicht im Passwort, sondern darin, ob Token-basierte Entscheidungen granular genug und überall konsistent sind“, heißt es sinngemäß in den begleitenden Untersuchungen. Für Unternehmen bedeutet das: Sicherheitsmaßnahmen müssen auf Ebene der Autorisierung und der Session-Integrität greifen, nicht nur auf Ebene der Anmeldefassade.
Parallel zur Microsoft-Welle wächst laut Ermittlern auch das Geschäft mit Phishing-as-a-Service. Das FBI warnte demnach vor Plattformen wie Kali365, die den OAuth-2.0-Geräteautorisierungsfluss missbrauchen. Zusätzlich wurde ein Dienst namens ARToken identifiziert, der ähnliche Techniken gegen Microsoft-365-Nutzer einsetzt. Solche Angebote senken die Eintrittshürde für weniger erfahrene Angreifer, weil sie Automatisierung für Business-Email-Compromise und das Auslesen von Daten aus typischen Produktivitätsumgebungen wie Outlook, SharePoint und OneDrive liefern. Das ist nicht nur ein operationales Problem, sondern auch ein Risiko für die interne Governance, weil betrügerische Tokenzugriffe schnell wie „normale“ API-Calls wirken.
Der Blick auf weitere Meldungen unterstreicht, dass Unternehmen die Bedrohung nicht nur als Identitätsfrage betrachten dürfen. CISA nahm am 29. Juni eine neue Schwachstelle in ihren Katalog bekannter Security-Fails auf: CVE-2026-48558 betrifft SimpleHelp in den Versionen 5.5.15 und älter. Über eine OIDC-Implementierung sollen Angreifer Authentifizierung umgehen und Techniker-Zugriff erlangen können. In der Praxis wird das häufig mit Credential-Diebstahl und der nachgelagerten Einschleusung von Schadsoftware kombiniert; als Beispiel wird ein Stealer-ähnliches Schadprogramm wie der Djinn-Stealer genannt. Relevant ist auch die Größenordnung: Vor dem Patch galten rund 1.000 Server als potenziell verwundbar.
Übergreifend zeichnet sich damit eine neue Sicherheitsrealität ab: Token-Sicherheit wird zur „Chef-Sache“ in der Identity Governance. Der springende Punkt ist, dass MFA als Signal zur Erst-Authentifizierung nicht automatisch die gesamte Lebensdauer von Tokens und Sessions schützt. Wer Angriffe verhindern will, muss API- und OAuth-bezogene Aktivitäten stärker einschränken: OAuth-App-Berechtigungen sollten strikt begrenzt werden, „ungewöhnliche“ API-Aufrufe müssen überwacht und verdächtige tokenbasierte Sitzungen über Conditional-Access-Richtlinien erkannt und geblockt werden. In der beschriebenen Lage treten diese Muster besonders deutlich zutage, weil die Angreifer legitime Protokollwege ausnutzen, statt in klassischen Softwarefehlern zu stecken.
Für die nächsten Monate lohnt sich zudem ein Blick auf die Prioritätenplanung in Unternehmen. Historisch haben viele Teams zuerst „Schutzmaßnahmen auf Login-Ebene“ umgesetzt und danach langsam Richtung Session- und Token-Management erweitert. Der aktuelle Befund legt nahe, dass dieser Weg beschleunigt werden muss: Logs aus den Identity- und API-Gateways sollten so zentralisiert werden, dass ROPC-ähnliche Abläufe, Geräteautorisierungsanfragen und Browser-Token-Manipulation sichtbar werden. Gleichzeitig bleibt regulatorisch relevant, dass kompromittierte Authentifizierungstokens personenbezogene und geschäftskritische Daten berühren können; damit verschiebt sich das Risiko von „Account Takeover“ hin zu potenziellen Datenschutz- und Meldepflichten. Unternehmen, die hier früh investieren, verbessern nicht nur die Sicherheit, sondern reduzieren auch die Angriffsfläche für automatisierte Angreifer-Ökosysteme.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft 365 unter Druck: 81 Millionen Anmeldeversuche bei MFA-Umgehung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft 365 unter Druck: 81 Millionen Anmeldeversuche bei MFA-Umgehung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft 365 unter Druck: 81 Millionen Anmeldeversuche bei MFA-Umgehung« bei Google Deutschland suchen, bei Bing oder Google News!