LONDON (IT BOLTWISE) – Sicherheitsforscher von Check Point Research (CPR) haben zwischen 25. Juni und der zweiten Juliwoche eine neue Phishing-Taktik entdeckt, die Microsofts vertrauenswürdigen Authentifizierungsablauf missbraucht. Über 200 Phishing-E-Mails erreichten rund 120 Organisationen und lockten Empfänger mit vermeintlichen Teams- und HR-Aufgabenbenachrichtigungen. Entscheidend ist, dass die Weiterleitung auf eine echte Microsoft-Anmeldeseite führt und die böswillige Absicht erst danach über eine kontrollierte Anwendung eingeholt wird. Damit verschiebt sich der Angriff von klassischem Link-Phishing hin zu OAuth-/Consent-Umgehungen im Microsoft-365-Umfeld.
Angreifer arbeiten beim Phishing zunehmend dort, wo traditionelle Schutzmechanismen weniger effektiv greifen: nicht mehr nur am Inhalt der E-Mail, sondern an den vertrauenswürdigen Prozessschritten, die Nutzer im Alltag ohnehin akzeptieren. Genau an dieser Stelle setzt die von Check Point Research (CPR) beobachtete Kampagne an. CPR hat vom 25. Juni bis in die zweite Juliwoche mehr als 200 Phishing-E-Mails identifiziert, die sich an Nutzer in rund 120 Organisationen richteten. Die Zustellung deckte dabei unterschiedliche Branchen und Länder ab, was auf eine breit ausgerollte, skalierbare Vorgehensweise hindeutet statt auf einen einzelnen, eng begrenzten Angriff.
Technisch gesehen täuschen die Nachrichten zunächst eine ganz konkrete Microsoft-Routine vor: Eine angebliche Aufgabenbenachrichtigung über Microsoft Teams soll die Empfänger in einen Verifikations- und Einwilligungsfluss führen. Die Absenderkennung folgt dabei dem Muster „Es gibt neue Aktivitäten im Team“ und eine Betreffzeile, die wie ein HR-Bezug wirkt (u. a. mit HR@[Unternehmen].com). CPR beschreibt, dass der Nachrichtentext das Design von Teams auffallend genau imitiert und gleichzeitig ein Thema adressiert, das in Unternehmen regelmäßig als Routine vorkommt: „Update zu Gehaltsabrechnung, Vergütung und Zusatzleistungen“. Dazu kommt ein Zähler mit „überfällige Mitarbeiteraufgaben“, der eine zeitliche Dringlichkeit erzeugt und die Wahrscheinlichkeit erhöht, dass Nutzer schneller als nötig klicken.
Der eigentliche Hebel liegt jedoch nicht im Layout, sondern in der Abfolge danach. Alle Links in der Nachricht – einschließlich der beiden Aktionsschaltflächen – führen über dieselbe Weiterleitung in die nächste Phase des Angriffs. Aus Sicht der Opfer wirkt der folgende Schritt „echt“, denn die Weiterleitung landet auf einer legitimen Microsoft-Anmeldeseite. Damit entsteht eine gefährliche Mischung: Der Bildschirm, den die Nutzer sehen, entspricht dem vertrauten Authentifizierungsablauf, während die böswillige Absicht in der anschließenden Phase über eine vom Angreifer kontrollierte Anwendung eingebracht wird. Anschließend werden die Empfänger aufgefordert, dieser Anwendung Berechtigungen zu erteilen; je nach gewährten Rechten kann die kontrollierte App in der gesamten Microsoft-365-Umgebung agieren.
Auf Ebene der Berechtigungen wird klar, warum CPR von einer geänderten Logik spricht: Die Angreifer imitieren nicht mehr lediglich „Microsoft“, sondern nutzen die Microsoft-Dienste direkt mit den im Consent-Dialog vergebenen Zugriffsrechten. CPR nennt als mögliche Auswirkungen unter anderem den Zugriff auf E-Mail-Funktionen wie Lesen, Suchen und Senden aus dem Postfach des Opfers – ein Szenario, das häufig als Sprungbrett für weitergehende Betrugsversuche (etwa BEC-Varianten) über vertrauenswürdige interne Absender dient. Ebenso relevant sind Dateizugriffe auf Dokumente, die der Nutzer öffnen, herunterladen oder freigeben kann. Darüber hinaus können über die Berechtigungen Chats und Nachrichten in Teams sowie Inhalte in SharePoint und im Onedrive-Cloudspeicher betroffen sein. Auch Kalenderdaten wie Besprechungen, Einladungen und Teilnehmerinformationen können zur Erkundung und für zeitlich abgestimmte Folge-Codes dienen.
In der Einordnung ordnet CPR die Taktik im MITRE ATT&CK-Framework als eigene Technik ein und verweist darauf, dass sie im Jahr 2026 von einem eher gezielt und manuell aufgebauten Angriff hin zu einem „Dienst“ gewachsen ist, der praktisch von anderen Akteuren gemietet werden kann. Das erklärt, warum die Kampagne zwar als identifizierte Aktion offenbar nicht mehr aktiv war, aber dennoch als Beispiel für eine grundlegend geänderte Vorgehensweise taugt. Der Wechsel besteht weniger darin, dass neue Screens erfunden werden, sondern darin, dass die Angreifer den vertrauenswürdigen Authentifizierungs- und Autorisierungsteil in die eigene Angriffskette einbinden. Dadurch wird die klassische Phishing-Abwehr, die oft bei verdächtigen Login-Seiten oder offensichtlich manipulierten Domains ansetzt, strukturell unterlaufen.
Für Unternehmen und Anwender leitet CPR daraus konkrete Prüf- und Reaktionsschritte ab. Praktisch bedeutet das: Nutzer sollten den Mauszeiger über Links bewegen, bevor sie klicken, und dabei abgleichen, ob das Ziel wirklich zu dem passt, was in der Nachricht behauptet wird – und zwar nicht nur „irgendwie“, sondern entlang der gesamten Logik („Aufgabenbenachrichtigung“ über Teams vs. tatsächlich gewünschte Aktion). Zusätzlich empfiehlt CPR, Absendername, -adresse und -domain konsequent zu vergleichen und nicht allein darauf zu vertrauen, dass eine scheinbar interne Adresse auch wirklich intern ist. Ein weiteres Detail mit hohem Sicherheitswert: Es sollten besonders Situationen misstrauisch machen, in denen unterschiedliche Schaltflächen letztlich zur gleichen URL weiterleiten. Im Zweifel rät CPR, Teams oder andere Anwendungen direkt über die offizielle App zu öffnen, statt Links aus der E-Mail zu verwenden. Diese letzte Regel reduziert das Risiko, dass der Nutzer unbemerkt in den OAuth-/Consent-Teil geführt wird.
Auch organisatorisch ist das Ereignis ein Hinweis auf die Bedeutung schneller Prozesse rund um Consent-Dialoge und App-Überprüfungen. Wenn Nutzer verdächtige Nachrichten melden, können Sicherheitsteams laut CPR die vom Angreifer kontrollierte Anwendung untersuchen, böswillige Einwilligungen widerrufen und betroffene Konten sowie verbundene Aktivitäten identifizieren, bevor sich daraus Folgeschäden ergeben. Für IT- und Security-Leitungen folgt daraus zudem ein klarer Handlungsdruck: Nicht nur E-Mail-Filter zählen, sondern die Absicherung des gesamten Berechtigungs- und Identitätsflusses in Microsoft 365. Gerade weil der „gefälschte“ Teil im Kern die Absicht hinter der App ist, ist ein sicherheitsbewusster Umgang mit Berechtigungsanfragen ein zentraler Baustein – im Zusammenspiel mit Monitoring, das ungewöhnliche App-Zugriffe und ungewöhnliche Aktivitäten im M365-Ökosystem sichtbar macht. KI-Unterstützung kann hier helfen, Auffälligkeiten in Login-, Consent- und Zugriffsereignissen schneller zu korrelieren; entscheidend bleibt aber, dass Nutzer und Admins den Consent-Schritt als Sicherheitsentscheidung behandeln.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Phishing über Microsoft-Login: 200 E-Mails treffen 120 Organisationen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Phishing über Microsoft-Login: 200 E-Mails treffen 120 Organisationen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Phishing über Microsoft-Login: 200 E-Mails treffen 120 Organisationen« bei Google Deutschland suchen, bei Bing oder Google News!