LONDON (IT BOLTWISE) – Die Mirage2FA-Kampagne trifft laut Auswertung von ANY.RUN zwischen 2024 und 2026 rund 4.500 US- und EU-Organisationen. Täter missbrauchen Login-Flows in Microsoft 365, stehlen dabei Sitzungen und können so 2FA-Hürden umgehen. Betroffen sind nach den Angaben 4.532 Domänen, häufig über parallele SSO- und Workflows. Für SOC-Teams wird damit Session Theft zur zentralen Identitäts- und Incident-Frage.
Die Mirage2FA-Kampagne zeigt sehr konkret, wie sich Phishing-Angriffe von der reinen Credential-Abfrage lösen: Im Zentrum steht nicht nur das Abgreifen von Passwörtern, sondern der Zugriff auf bereits authentifizierte Nutzer-Kontexte. Laut Auswertung von ANY.RUN wurden im Zeitraum von 2024 bis 2026 Tausende Organisationen in den USA und in der EU adressiert, darunter insgesamt 4.532 einzigartige Unternehmens-E-Mail-Domänen. Die Angriffslogik nutzt dabei einen technischen „Zwischenzustand“: Wenn Angreifer Zugangsdaten und Sitzungsinformationen wie Session-Cookies oder passwortbezogene Tokens abziehen, können sie eine laufende Microsoft-365-Authentifizierung übernehmen, ohne dass die nächste 2FA-Abfrage zwingend erneut durchlaufen werden muss.
Technisch betrachtet basiert die Wirkung solcher Angriffe auf zwei Hebeln. Erstens verschaffen gestohlene Passwörter und Session-Cookies den Zugriff auf eine bereits eingeloggte Microsoft-365-Session. Zweitens weitet die Verbindung zu SSO-basierten Diensten den Radius aus, weil über dieselbe Identität weitere „vertrauenswürdige“ Services und interne Anwendungen erreichbar sind. Genau an dieser Stelle wird Mirage2FA besonders riskant: Sobald die Microsoft-365-Session gekapert ist, entsteht ein Weg für Identitätsmissbrauch, Betrug und eine Folgekompromittierung. In der Praxis heißt das für Sicherheitsverantwortliche, dass ein klassischer „Reset“ des Passworts allein häufig nicht mehr ausreicht, weil die Session oder die daran gekoppelten Tokens weiter wirken können.
Die Zahlen aus der Analyse unterstreichen die Breite der Kampagne. ANY.RUN beziffert 48% der adressierten E-Mail-Adressen als potenziell kompromittiert. Während die USA mit 63,7% der erfassten Opferdomains dominieren, taucht Mirage2FA auch in weiteren Ländern auf, darunter Indien, Singapur, das Vereinigte Königreich, Kanada sowie Saudi-Arabien und Südafrika. Für die Priorisierung im SOC ist das nicht nur eine Geografiefrage, sondern auch eine Industriesicht: Technologie, Fertigung und Bildung werden laut Auswertung zu den am häufigsten betroffenen Kategorien gezählt. Entscheidend ist außerdem die operative Methodik, denn die Forscher sprechen von mehr als 9.000 potenziellen Kompromittierungsereignissen im Zusammenhang mit Cookie- und Password-Theft, SSO-Logins sowie Hinweisen auf 2FA-Bypass.
Damit rückt ein Modell der Angriffe in den Fokus, das über klassische Phishing-Kampagnen hinausgeht: sogenannte „Man-in-the-Browser“- oder „Adversary-in-the-Middle“-Ansätze (AiTM) können Lücken in Authentifizierung und Session-Management ausnutzen, selbst wenn 2FA aktiviert ist. Der Grund liegt meist nicht in fehlenden Häkchen in der Authentifizierung, sondern in der Programmlogik rund um Sitzungsdauer, Token-Gültigkeit, Weiterleitungen und Session-Bindungen. Wenn Angreifer eine legitime Login-Kette nachahmen und gleichzeitig den Session-Status übernehmen, kann die nächste Benutzerprüfung umgangen werden, obwohl 2FA formal vorhanden ist. Das erklärt auch, warum sich die Auswirkungen „über das ursprünglich kompromittierte Konto hinaus“ ausdehnen: Folgezugriffe über SSO-verbundene Apps und weitere interne Workflows erhöhen die Angriffsfläche und treiben damit typischerweise die Kosten der Eindämmung.
Für die Abwehr ergibt sich daraus ein klarer Schwerpunkt: Session Theft sollte als Identitäts- und Incident-Typ behandelt werden. Praktisch bedeutet das, nicht ausschließlich auf ein Passwort-Reset-Prozessschema zu setzen, sondern kompromittierte Sessions und Tokens aktiv zu widerrufen und Aktivitäten zu der betroffenen Identität systematisch nachzuverfolgen. Dazu passt die Empfehlung, Analysen früh zu vertiefen, statt erst nach dem eigentlichen Kontoverlust zu reagieren. Eine „Interactive Sandbox“-Herangehensweise kann verdächtige Anhänge und URLs isoliert ausführen und dabei Signale sichtbar machen, die in statischen Prüfungen leicht übersehen werden, etwa Redirect-Ketten, Skriptaktivität, WebSocket-Nutzung oder sogar Phishing-Seiten, die Microsoft-365-Loginoberflächen nachbilden. In diesem Kontext ist weniger entscheidend, ob der Angriff ein einzelnes IOC „triggert“, sondern ob das Verhalten in einer kontrollierten Umgebung Muster offenlegt, die auf Mirage2FA-Mechaniken hinweisen.
Auch die Investition in Threat Intelligence folgt einem Session-orientierten Denkmodell. Laut der beschriebenen Vorgehensweise ergänzen Echtzeit-Feeds die reinen Indikatoren durch aktualisierte bösartige Signale, während Analysten per Threat-Intelligence-Lookup von verdächtigen URLs, Domänen, IPs oder Dateien auf zusammenhängende Infrastruktur pivotieren können. Für Unternehmen heißt das: IOCs aus einer einzelnen Ermittlung werden zu einer verwertbaren „Intelligence“-Kette, statt nur als Blockierlisten-Eintrag zu enden. Am Ende läuft Mirage2FA auf eine verschobene Sicherheitsmetrik hinaus: Wer MTTR reduzieren will, braucht Detektion nicht nur auf Ebene von Passwörtern, sondern auf Ebene von Sitzungen, Token-Events und Verhaltensmustern. Genau deshalb wird die Kampagne häufig als Reminder gelesen, dass Phishing sich weiterentwickelt hat – von der reinen Credential-Ernte hin zur Übernahme vertrauenswürdiger Session-Kontexte in Microsoft 365.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Mirage2FA: Phishing-as-a-Service kapert Microsoft-365-Sitzungen und umgeht 2FA" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Mirage2FA: Phishing-as-a-Service kapert Microsoft-365-Sitzungen und umgeht 2FA" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Mirage2FA: Phishing-as-a-Service kapert Microsoft-365-Sitzungen und umgeht 2FA« bei Google Deutschland suchen, bei Bing oder Google News!