Neue Helix-Gruppe nutzt Vishing und MFA-Missbrauch für SharePoint-Datendiebstahl

Kurzfassung

Eine neu auftretende Erpressergruppe namens Helix greift offenbar gezielt SharePoint-Umgebungen an, um Daten abzugreifen. Im Mittelpunkt stehen dabei keine klassischen Schadprogramme, sondern Identitätsangriffe: Telefonbasierte Täuschung, Phishing über Geräte-Codes und der Missbrauch von Multi-Faktor-Authentifizierung. Für Unternehmen ist das besonders relevant, weil solche Methoden häufig bestehende Sicherheitskontrollen umgehen und sich direkt gegen Nutzerkonten und Zugriffsprozesse richten.

Aus Sicht von CyberSecurity-News.de ist der Vorfall vor allem deshalb ernst zu nehmen, weil er zeigt, wie stark sich Angreifer auf den menschlichen Faktor und auf Identitätsinfrastrukturen konzentrieren. Das erhöht das Risiko für Datenabfluss, interne Betriebsstörungen und nachgelagerte Erpressung.

Was ist passiert?

Nach den vorliegenden Informationen nutzt Helix eine Mischung aus Social Engineering und Identitätsmissbrauch, um Zugang zu Daten in SharePoint-Umgebungen zu erhalten. Statt auf auffällige Malware zu setzen, versuchen die Angreifer offenbar, legitime Anmelde- und Freigabeprozesse auszunutzen. Dazu gehören insbesondere Vishing-Anrufe, bei denen Mitarbeitende zur Preisgabe von Informationen oder zur Freigabe von Zugriffen bewegt werden sollen, sowie Angriffe über Geräte-Codes und MFA-Mechanismen.

Das Ziel solcher Kampagnen ist typischerweise, ein Konto zu übernehmen oder einen Zugriff zu erzwingen, der anschließend für den Export von Daten verwendet wird. In der Praxis ist das für Betroffene oft schwerer zu erkennen als ein klassischer Malware-Befall, weil sich die Aktivitäten zunächst innerhalb regulärer Identitäts- und Cloud-Prozesse bewegen können.

Technische Details

Die Quellenlage deutet auf drei zentrale Angriffsmuster hin. Erstens Vishing: Hierbei wird die Stimme oder ein Telefonat genutzt, um Vertrauen aufzubauen und Mitarbeitende zu Handlungen zu verleiten, die sie sonst nicht ausführen würden. Zweitens Device-Code-Phishing: Dabei werden Nutzer dazu gebracht, einen Anmeldecode auf einer vermeintlich legitimen Seite einzugeben oder freizugeben, wodurch Angreifer den Authentifizierungsprozess übernehmen können. Drittens MFA-Missbrauch: Mehrfaktorverfahren werden nicht umgangen, sondern über Täuschung, Push-Fatigue, Freigabe-Tricks oder die Ausnutzung schlecht abgesicherter Anmeldeabläufe instrumentalisiert.

Technisch ist das besonders problematisch, wenn SharePoint mit weiteren Microsoft-365-Diensten verbunden ist und weitreichende Berechtigungen bestehen. Dann kann ein kompromittiertes Konto nicht nur auf einzelne Dokumente zugreifen, sondern unter Umständen auf ganze Projektbereiche, Teamseiten oder synchronisierte Inhalte. Je nach Berechtigungsmodell steigt damit das Risiko eines breiten Datendiebstahls erheblich.

Wichtig ist: Die Quelle beschreibt einen neuen Erpressungsakteur und die genutzten Taktiken, nennt aber keine belastbaren Details zu Schadsoftware, Exploit-Ketten oder konkreten CVEs. Entsprechend ist Vorsicht bei der technischen Einordnung geboten.

Wer ist betroffen?

Primär betroffen sind Unternehmen, die SharePoint als zentrale Plattform für Dokumentenablage, Zusammenarbeit und Wissensmanagement einsetzen. Besonders gefährdet sind Organisationen mit vielen externen Kontakten, dezentralen Teams oder komplexen Berechtigungsstrukturen. In DACH-Unternehmen ist das Risiko hoch, weil SharePoint in vielen mittelständischen und großen Umgebungen tief in Geschäftsprozesse eingebettet ist.

Für Privatpersonen ist die Relevanz geringer, da der Angriff klar auf Unternehmensumgebungen und Identitätsinfrastrukturen abzielt. Dennoch können einzelne Beschäftigte indirekt betroffen sein, wenn sie im Rahmen eines Angriffs kontaktiert oder zur Freigabe von Anmeldungen gedrängt werden. In solchen Fällen ist der Schutz des eigenen Kontos auch ein Schutz der Unternehmensdaten.

Empfohlene Maßnahmen

Unternehmen sollten ihre Identitäts- und Zugriffsprozesse kurzfristig überprüfen. Dazu gehört, MFA nicht nur einzuführen, sondern auch gegen Freigabe-Missbrauch abzusichern. Besonders sinnvoll sind phishing-resistente Verfahren, etwa FIDO2-/Passkey-basierte Authentifizierung, wo dies organisatorisch möglich ist. Zusätzlich sollten Administratoren die Nutzung von Geräte-Codes und Anmeldeflows kritisch prüfen und nur dort erlauben, wo sie fachlich notwendig sind.

Ebenso wichtig sind technische und organisatorische Kontrollen rund um SharePoint: restriktive Berechtigungen, regelmäßige Rezertifizierung von Zugriffsrechten, Protokollierung von ungewöhnlichen Anmelde- und Downloadmustern sowie Alarme bei Massenexporten oder ungewöhnlichen Standortwechseln. Unternehmen sollten außerdem Vishing als realen Angriffsvektor in Awareness-Trainings aufnehmen und Mitarbeitende dazu befähigen, Rückruf- und Verifikationsprozesse konsequent einzuhalten.

Für den Ernstfall empfiehlt sich ein klarer Incident-Response-Ablauf für Identitätsvorfälle: verdächtige Sitzungen beenden, Tokens widerrufen, betroffene Konten sperren, Zugriffsrechte prüfen und Datenabflüsse dokumentieren. Wer Microsoft-365-Umgebungen betreibt, sollte zudem die Sicherheitskonfiguration regelmäßig gegen aktuelle Angriffsmuster testen lassen.

Einschätzung von CyberSecurity-News.de

Die Helix-Kampagne ist ein weiteres Beispiel dafür, dass moderne Datendiebstahloperationen immer seltener mit offensichtlicher Malware beginnen. Stattdessen rücken Identität, Authentifizierung und menschliche Interaktion in den Fokus. Das macht die Angriffe schwerer zu verhindern, aber nicht unmöglich: Wer Prozesse, Berechtigungen und MFA sauber absichert, reduziert das Risiko erheblich.

Für Unternehmen im DACH-Raum ist die Relevanz hoch, weil SharePoint häufig geschäftskritische Informationen enthält und in vielen Fällen mit weitreichenden Zugriffsrechten betrieben wird. Besonders problematisch ist, dass Social Engineering häufig an organisatorischen Schwächen ansetzt, nicht an technischen Lücken. Genau deshalb müssen Security, IT und Fachbereiche gemeinsam reagieren.

Fazit

Helix zeigt, wie wirksam identitätsbasierte Angriffe gegen Cloud-Kollaborationsplattformen sein können. Vishing, Device-Code-Phishing und MFA-Missbrauch sind keine Randthemen mehr, sondern zentrale Risiken für Unternehmen mit Microsoft-365- und SharePoint-Nutzung. Wer seine Zugriffsmodelle, Authentifizierungsverfahren und Reaktionsprozesse jetzt überprüft, kann die Angriffsfläche deutlich reduzieren.

Die wichtigste Lehre lautet: Nicht nur Systeme, sondern auch Identitäten müssen geschützt werden. Genau dort setzen moderne Datendiebstahlgruppen inzwischen bevorzugt an.