Forg365: Neue Phishing-as-a-Service-Plattform greift Microsoft-365-Konten mit KI und AiTM an

Kurzfassung

Eine neue Phishing-as-a-Service-Plattform mit dem Namen Forg365 richtet sich auf Microsoft-365-Konten. Nach den vorliegenden Informationen kombiniert die Kampagne zwei besonders wirksame Angriffsmethoden: adversary-in-the-middle-Techniken und Device-Code-Phishing. Hinzu kommt der Einsatz von KI, um täuschend glaubwürdige Ködertexte zu erzeugen. Für Unternehmen ist das relevant, weil solche Angriffe klassische Passwortdiebstähle mit Umgehung von Schutzmechanismen verbinden und damit die Hürde für Kontoübernahmen senken.

Was ist passiert?

Forg365 ist eine neue PhaaS-Operation, also ein Phishing-Angebot, das Angreifern fertige Infrastruktur und Werkzeuge bereitstellt. Ziel sind Microsoft-365-Konten. Besonders bemerkenswert ist die Kombination aus technischen Umgehungsmethoden und automatisierter Inhaltserstellung: Die Plattform soll Angriffe unterstützen, bei denen Anmeldedaten nicht nur abgefangen, sondern auch Sitzungstoken oder Authentifizierungsabläufe ausgenutzt werden. Dadurch steigt die Wahrscheinlichkeit, dass sich Angreifer trotz zusätzlicher Sicherheitsmaßnahmen Zugriff verschaffen können.

Der Einsatz von KI bei der Erstellung von Lockmitteln ist aus Sicht der Verteidigung problematisch, weil dadurch sprachlich bessere und kontextnähere Phishing-Nachrichten entstehen können. Das erhöht die Erfolgsquote vor allem bei zielgerichteten Angriffen auf Mitarbeitende mit Zugriff auf Cloud-Dienste.

Technische Details

Nach den verfügbaren Angaben setzt Forg365 auf zwei Kerntechniken: AiTM-Phishing und Device-Code-Missbrauch. Bei adversary-in-the-middle-Angriffen wird die Kommunikation zwischen Opfer und legitimer Login-Seite so vermittelt, dass Zugangsdaten und gegebenenfalls Sitzungselemente abgegriffen werden können. Device-Code-Phishing nutzt den legitimen Anmeldeprozess über Gerätecodes aus und verleitet Nutzer dazu, einen Code auf einer echten oder täuschend echten Seite einzugeben.

Die Kombination dieser Methoden ist aus technischer Sicht gefährlich, weil sie nicht nur auf das Erraten oder Abgreifen von Passwörtern setzt. Sie zielt vielmehr auf moderne Authentifizierungsabläufe ab, die in vielen Organisationen als sicherer gelten als reine Passwortverfahren. Wenn Angreifer zusätzlich KI-gestützte Texte verwenden, können E-Mails, Chat-Nachrichten oder Anmeldeseiten glaubwürdiger wirken und Sicherheitsbewusstsein gezielt umgehen.

Wer ist betroffen?

Primär betroffen sind Unternehmen, die Microsoft 365 produktiv einsetzen, insbesondere Organisationen mit vielen Cloud-Anwendungen, hybriden Arbeitsmodellen und umfangreichem Fernzugriff. Für den DACH-Raum ist das besonders relevant, weil Microsoft 365 in Verwaltung, Mittelstand, Industrie und Dienstleistungssektor weit verbreitet ist. Ein kompromittiertes Konto kann dort schnell zu Datenabfluss, internen Betrugsversuchen oder der Vorbereitung weiterer Angriffe führen.

Privatpersonen können ebenfalls betroffen sein, wenn sie Microsoft-365-Konten für persönliche Kommunikation oder Dokumente nutzen. Das Risiko ist im Vergleich zu Unternehmen meist geringer, kann aber bei einem erfolgreichen Angriff zu Identitätsmissbrauch, Zugriff auf gespeicherte Dateien oder Folgeangriffen auf weitere Online-Dienste führen.

Empfohlene Maßnahmen

Unternehmen sollten Anmeldungen zu Cloud-Diensten gezielt härten und nicht allein auf Passwortschutz oder Standard-MFA vertrauen. Besonders wichtig sind phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder vergleichbare passwortlose bzw. hardwaregestützte Authentifizierungsmethoden. Zusätzlich sollten Zugriffe aus ungewöhnlichen Regionen, Geräten oder Sitzungen konsequent überwacht und verdächtige Anmeldeversuche automatisiert blockiert werden.

Für Microsoft-365-Umgebungen empfiehlt sich außerdem ein enger Blick auf Conditional-Access-Richtlinien, Token-Schutz, Session-Management und die Einschränkung von Gerätecode-Authentifizierung, sofern sie nicht zwingend benötigt wird. Schulungen für Mitarbeitende bleiben wichtig, sollten aber um technische Kontrollen ergänzt werden, da KI-gestützte Phishing-Nachrichten die reine Erkennbarkeit durch Sprache deutlich erschweren können.

Privatpersonen sollten bei unerwarteten Anmeldeaufforderungen, Gerätecodes oder Login-Mails besonders vorsichtig sein und niemals Codes auf Zuruf eingeben. Wer den Verdacht auf einen kompromittierten Account hat, sollte das Passwort sofort ändern, aktive Sitzungen beenden und die Multifaktor-Authentifizierung prüfen.

Einschätzung von CyberSecurity-News.de

Forg365 zeigt, wie sich Phishing professionalisiert: Angreifer kombinieren fertige Plattformen, moderne Umgehungstechniken und KI-gestützte Täuschung zu einem skalierbaren Angriffsmodell. Für Unternehmen im DACH-Raum ist das Risiko hoch, weil Microsoft-365-Konten oft als zentrale Identitäts- und Kommunikationsdrehscheibe dienen. Ein einzelnes kompromittiertes Konto kann weitreichende Folgen für E-Mail-Verkehr, Dokumentenzugriffe, interne Freigaben und nachgelagerte Angriffe haben.

Aus unserer Sicht ist die Relevanz als hoch einzustufen, weil die Bedrohung nicht auf klassische Spam-Muster beschränkt ist, sondern moderne Authentifizierungsprozesse direkt angreift. Besonders kritisch ist, dass solche Kampagnen auch bei gut geschulten Mitarbeitenden erfolgreich sein können, wenn technische Schutzmaßnahmen fehlen oder unvollständig umgesetzt sind.

Fazit

Forg365 steht exemplarisch für die nächste Entwicklungsstufe von Phishing-as-a-Service: mehr Automatisierung, mehr technische Raffinesse und mehr Glaubwürdigkeit durch KI. Unternehmen sollten Microsoft-365-Zugänge deshalb als besonders schützenswert behandeln und ihre Authentifizierungs- und Überwachungsmechanismen überprüfen. Wer nur auf Passwort- und Standard-MFA-Schutz setzt, bleibt bei dieser Art von Angriff verwundbar.