Phishing gegen Microsoft 365: Angreifer missbrauchen falsche Entra-Passkey-Anfragen für Datendiebstahl

Kurzfassung

Eine aktuell beobachtete Phishing-Kampagne zielt auf Unternehmen in mehreren Branchen ab und nutzt täuschend echte Sicherheitsanfragen rund um die Registrierung eines neuen Passkeys. Ziel ist es, Microsoft-365-Zugänge zu kompromittieren und anschließend Daten für Erpressungszwecke zu missbrauchen. Für Organisationen im DACH-Raum ist das besonders relevant, weil Microsoft 365 in vielen Unternehmen tief in die tägliche Kommunikation und Identitätsverwaltung eingebunden ist.

Was ist passiert?

Nach den vorliegenden Informationen setzt ein Angreifer, der von Okta unter der Bezeichnung O-UNC-066 geführt wird, auf eine Kombination aus Sprachmanipulation und einem zentral gesteuerten Phishing-Kit. Betroffene Nutzer werden dazu gebracht, eine vermeintlich legitime Sicherheitsmaßnahme auszuführen: die Registrierung eines neuen Entra-Passkeys. Tatsächlich dient dieser Schritt offenbar dazu, Zugriff auf Microsoft-365-Konten zu erlangen und im weiteren Verlauf Daten abzuziehen oder für eine Erpressung zu verwenden.

Bemerkenswert ist dabei die Fokussierung auf den Anmelde- und Registrierungsprozess selbst. Das ist aus Verteidigungssicht kritisch, weil Angreifer damit nicht nur Passwörter, sondern auch moderne Authentifizierungsverfahren und das Vertrauen in Sicherheitsmeldungen ausnutzen.

Technische Details

Die Kampagne nutzt ein phishing-basiertes Setup, das offenbar panelgesteuert ist und speziell auf den Passkey-Enrollment-Prozess abzielt. Statt klassischer Massenmails scheint der Angriff auf eine sozialtechnische Vorstufe zu setzen, bei der Nutzer per Stimme oder angeblich sicherheitsrelevanter Aufforderung zum Handeln bewegt werden. Das erhöht die Erfolgswahrscheinlichkeit, weil solche Anfragen oft als dringlich und legitim wahrgenommen werden.

Technisch ist vor allem relevant, dass der Missbrauch nicht zwingend auf das Auslesen eines Passworts angewiesen ist. Wenn Angreifer einen Nutzer dazu bringen, einen neuen Passkey oder eine vergleichbare Authentifizierung zu registrieren, kann dies den Zugriff auf das Konto erleichtern oder bestehende Schutzmechanismen aushebeln. Für Organisationen ist das ein Hinweis darauf, dass auch moderne Identitätsverfahren nur so sicher sind wie der Prozess, in dem sie eingerichtet werden.

Konkrete Details zu verwendeten Infrastrukturen, Exploit-Techniken oder möglichen Schwachstellen wurden in der Quelle nicht genannt. Daher ist eine weitergehende technische Bewertung nur eingeschränkt möglich.

Wer ist betroffen?

Laut Quelle werden Organisationen aus mehreren Sektoren ins Visier genommen. Für Unternehmen im DACH-Raum ergibt sich daraus ein breites Risiko, insbesondere dort, wo Microsoft 365 als zentrale Plattform für E-Mail, Dateiablage, Zusammenarbeit und Identitätsmanagement genutzt wird. Besonders gefährdet sind Umgebungen mit vielen mobilen Mitarbeitern, dezentralen Support-Strukturen oder schwach standardisierten Freigabe- und Verifizierungsprozessen.

Für Privatpersonen ist das Risiko in diesem Fall eher indirekt. Die Kampagne richtet sich primär gegen Unternehmenskonten und Unternehmensdaten. Dennoch können einzelne Beschäftigte als Einfallstor dienen, wenn sie berufliche Microsoft-365-Zugänge über private Geräte oder unsichere Kommunikationswege verwalten.

Empfohlene Maßnahmen

Unternehmen sollten Passkey- und Identitätsprozesse besonders streng absichern. Dazu gehören klare interne Regeln, wann und wie neue Authentifizierungsverfahren registriert werden dürfen, sowie eine verpflichtende Verifikation über einen zweiten, unabhängigen Kanal. Sicherheitsanfragen per Telefon oder Sprache sollten niemals ohne Rückbestätigung über bekannte interne Kontakte akzeptiert werden.

Außerdem sind Awareness-Maßnahmen wichtig, die nicht nur klassische Phishing-Mails behandeln, sondern auch Social-Engineering-Angriffe auf moderne Login- und Enrollment-Prozesse. Administratoren sollten Protokolle zur Registrierung neuer Authentifizierungsfaktoren regelmäßig überwachen und auffällige Änderungen sofort prüfen. Wo möglich, sollten Conditional-Access-Richtlinien, starke MFA-Policies und restriktive Self-Service-Optionen eingesetzt werden.

Für Endanwender gilt: Keine Registrierung neuer Sicherheitsverfahren auf Zuruf, keine Bestätigung von Anfragen ohne nachvollziehbaren Kontext und bei jeder unerwarteten Sicherheitsmeldung die IT oder den Helpdesk über bekannte interne Wege kontaktieren.

Einschätzung von CyberSecurity-News.de

Die Relevanz dieser Kampagne ist hoch. Der Angriff zeigt, dass sich Phishing weiterentwickelt und zunehmend auf Identitätsprozesse statt nur auf Zugangsdaten zielt. Gerade für Unternehmen im DACH-Raum ist das praxisrelevant, weil Microsoft 365 und Entra in vielen IT-Landschaften zentrale Sicherheits- und Produktivitätsbausteine sind.

Aus unserer Sicht liegt das Hauptrisiko nicht nur im initialen Kontozugriff, sondern in der möglichen Folgekette: Datenabfluss, interne Ausspähung, Missbrauch von E-Mail-Kommunikation und anschließende Erpressung. Unternehmen sollten diese Entwicklung als Anlass nehmen, ihre Verifizierungsprozesse, Helpdesk-Abläufe und Benutzeraufklärung kritisch zu überprüfen. Wer Passkey- oder MFA-Registrierungen nicht sauber absichert, schafft Angriffsflächen trotz moderner Authentifizierung.

Fazit

Die beobachtete Kampagne verdeutlicht, dass Angreifer selbst moderne Sicherheitsmechanismen gezielt gegen Unternehmen wenden können. Falsche Entra-Passkey-Anfragen sind kein klassischer Passwortbetrug, sondern ein Angriff auf Vertrauen, Prozesse und Identität. Für Organisationen ist das ein klarer Hinweis, Identitätssecurity nicht nur technisch, sondern auch organisatorisch zu denken.

Unternehmen sollten ihre Schutzmaßnahmen jetzt auf Social Engineering rund um Authentifizierungsänderungen ausrichten. Je sensibler der Enrollment-Prozess behandelt wird, desto geringer ist die Chance, dass Angreifer über eine gefälschte Sicherheitsanfrage in Microsoft 365 eindringen und Daten für Erpressung missbrauchen können.