Microsoft 365: Datendiebstahl über Passkey-Phishing-Angriffe

Microsoft hat gewarnt, dass Phishing-Angriffe mit Passkey-Thema und Social-Engineering-Angriffe genutzt werden, um Unternehmens-Microsoft-365-Konten zu kompromittieren und Daten aus Cloud-Diensten zu stehlen. Die Aktivität wird seit Mai 2026 beobachtet und steht laut Microsoft im Zusammenhang mit Bedrohungsakteuren, die mit ShinyHunters, Helix und anderen Erpressergruppen verbunden sind. Ein Passkey ist eine passwortlose Anmeldemethode, die normalerweise auf einem Gerät, biometrischen Merkmalen oder einem Hardware-Schlüssel statt auf einem eingegebenen Passwort beruht; Single Sign-on (SSO) ermöglicht es einem Benutzer, sich einmal anzumelden und dann auf mehrere verbundene Anwendungen zuzugreifen. Die Angreifer nutzen diese vertrauten Sicherheitskonzepte als Köder, versuchen aber nicht wirklich, einen Passkey zu registrieren. Stattdessen leiten sie Mitarbeiter auf gefälschte Anmeldeseiten oder in einen legitimen Microsoft-Gerätecode-Ablauf um, der dem Angreifer Zugriff verschafft.

Das Vorgehen beginnt mit umfangreicher Recherche vor dem Angriff. Microsoft zufolge sammeln die Akteure Informationen über Mitarbeiter und Organisationsstruktur aus öffentlichen Quellen wie sozialen Netzwerken und professionellen Profilplattformen. Dann rufen sie gezielt ausgewählte Mitarbeiter an oder schreiben ihnen Nachrichten, während sie sich als interne IT-Helpdesks ausgeben, und behaupten, die Betroffenen müssten dringend einen Passkey, die Multi-Faktor-Authentifizierung (MFA, ein zweiter Identitätsnachweis über das Passwort hinaus) oder die SSO-Konfiguration aktualisieren, um den Zugriff auf Unternehmenssysteme nicht zu verlieren. Die Opfer werden auf Phishing-Seiten geleitet, die wie echte Microsoft-Anmeldeseiten aussehen, und Links werden manchmal per SMS an die privaten Telefone der Mitarbeiter gesendet. Die Angreifer registrieren Domains, die Firmennamen mit Wörtern wie Passkey, SSO, Schlüsselsynchronisierung, Kontoeinrichtung und Identitätsprüfung kombinieren. Microsoft nennt Beispiele wie passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com, add-passkey[.]com, integratedsso[.]com, oktasession[.]com, keysyncos[.]com und oskeysync[.]com. Um das Portal überzeugender zu machen, setzen die Angreifer oft den Namen des Opferunternehmens in eine Subdomain, etwa firmenname.secure-passkey[.]com.

Microsoft ordnet diese Aktivität zum Erstzugriff mehreren Bedrohungsakteuren zu, die im selben Erpresser-Ökosystem tätig sind, darunter Gruppen, die als Storm-3121 und Storm-3032 verfolgt werden. Storm-3121 wird mit ShinyHunters und Falcon-Erpressung in Verbindung gebracht, während Storm-3032 vermutlich mit Mitgliedern der BlackFile-Erpressergruppe zusammenhängt, die heute unter dem Namen Helix arbeiten. Dieselbe Aktivität überschneidet sich mit Angriffen, die zuvor von Google Threat Intelligence unter dem Bedrohungscluster UNC6671 dokumentiert wurden. Google hat berichtet, dass UNC6671 telefonbasiertes Social Engineering und Passkey-Phishing-Infrastruktur nutzt, um Unternehmensidentitäten zu kompromittieren, bevor auf Unternehmens-Cloud-Umgebungen zugegriffen wird, und hat diese Aktivität mit denselben Erpressergruppen in Verbindung gebracht, darunter BlackFile, Helix, Falcon, Pink und Redact.

Zwei verwandte Techniken führen zur eigentlichen Kompromittierung. Bei einem Adversary-in-the-Middle-Angriff (AiTM) sitzt eine Phishing-Seite zwischen dem Benutzer und der echten Microsoft-Anmeldung und erfasst sowohl die Anmeldedaten als auch das Sitzungstoken, das beweist, dass der Benutzer authentifiziert ist. Beim Gerätecode-Phishing wird das Opfer dazu gebracht, einen bereitgestellten Code auf Microsofts legitimer Authentifizierungsseite einzugeben. Diese Aktion stellt ein Authentifizierungstoken für eine vom Angreifer kontrollierte OAuth-Anwendung aus, also ein Programm, das im Namen des Benutzers handelt, sodass der Angreifer auf das Konto zugreifen kann, ohne eine weitere MFA-Abfrage zu bestehen. Microsoft zufolge erhält der Angreifer dadurch Zugriff auf alle Ressourcen des Benutzers und verbundene SSO-Anwendungen, darunter Microsoft 365, Salesforce, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk, Atlassian und viele weitere.

Microsofts neue Forschung bietet einen genaueren Blick darauf, was in Microsoft-Cloud-Umgebungen nach der Kompromittierung eines Kontos passiert. In einem untersuchten Angriff beobachtete Microsoft eine verdächtige Anmeldung von einem nicht verwalteten Gerät bei einem Microsoft-365-Dienst, der in Entra-Protokollen, Microsofts Identitäts- und Zugriffsverwaltungsaufzeichnungen, als „OfficeHome“ identifiziert wurde. Diese Kennung ist mit der gemeinsamen Infrastruktur des Office-365-Portals und browserbasierten Office-Anwendungen verbunden. Nach Abschluss der MFA richtete der Angreifer eine gültige Sitzung ein und begann zu prüfen, worauf das kompromittierte Konto zugreifen konnte. Innerhalb von Minuten griff die Sitzung auf My Apps zu, um zu sehen, welche Anwendungen dem Konto zugewiesen waren, auf My Profile für Organisationsinformationen, auf Microsoft Approval Management, Kontoverwaltungsschnittstellen und My Sign-Ins. Danach wechselte der Angreifer zu SharePoint Online, Outlook Web, Microsoft-365-Zusammenarbeits- und Suchdiensten, einer internen Geschäftsanwendung und Authentifizierungsabläufen für virtuelle Desktops. Microsoft zufolge blieb die Sitzung etwa eine Stunde aktiv, während der Angreifer sensible Dateien und interne Anwendungen auflistete.

In einem anderen Angriff führte das Passkey-Social-Engineering zu Gerätecode-Phishing, und der Angreifer erhielt ein Token, das Zugriff auf alle Benutzerressourcen ermöglichte. In einem dritten Fall verwendete der Bedrohungsakteur zuvor kompromittierte Anmeldedaten für ein Konto, bei dem Microsoft zufolge einige Tage zuvor eine Authenticator-Anwendung registriert worden war. Die Angreifer führten dann eine Erkundung mit einem automatisierten Node.js-System und Microsoft Graph durch, der Programmierschnittstelle, die Daten über Microsoft 365 hinweg liest und verwaltet.

Nach dem Erstzugriff fügen Angreifer der kompromittierten Identität oft eine von ihnen kontrollierte Multi-Faktor-Authentifizierungsmethode hinzu, etwa eine neue Telefonnummer, eine Authenticator-Anwendung oder softwarebasierte Einmalpasswort-Token. Dadurch können sie künftige MFA-Abfragen ohne Hilfe des Opfers erfüllen, wobei Microsoft anmerkt, dass diese Persistenz einen vollständigen Reset von Anmeldedaten und Sitzung nicht übersteht. Die Angreifer nutzen dann Microsoft Graph, um die Cloud-Umgebung des Opfers aufzulisten. Microsoft sah Graph-Anfragen, die Organisationen, Lizenzen, aktivierte Dienste, Benutzer, Gruppen, Gruppenmitgliedschaften, Verzeichnisrollen, privilegierte Konten, registrierte Authentifizierungsmethoden, Anwendungen, Dienstprinzipale, OAuth-Berechtigungen, Anwendungsrollenzuweisungen, SharePoint-Websites, Dokumentbibliotheken, Ordner, Dateien, OneDrive-Ressourcen sowie Mailordner, Nachrichten und Anhänge auflisteten. Microsoft zufolge sind Anfragen wie /users, /groups oder /sites in Unternehmensumgebungen üblich und lösen allein möglicherweise keine Alarme aus, doch die Aktivität wird verdächtig, wenn dasselbe Konto, dieselbe Anwendung oder dasselbe Token schnell zwischen verschiedenen Ressourcen wechselt, Berechtigungen und Authentifizierungseinstellungen prüft und dann beginnt, auf E-Mails, Anhänge, Dateien oder Dokumente zuzugreifen.

Nach der Erkundung gehen die Angreifer zur Sammlung von Cloud-Daten aus Microsoft 365 über. Microsoft beobachtete umfangreiche Zugriffs- und Download-Aktivitäten auf SharePoint Online und OneDrive for Business, wobei einige Eindringlinge bis in Microsoft Exchange Online über REST-API-basierten Zugriff auf E-Mail-Inhalte vordrangen; eine REST-API ist eine übliche Methode für Programme, über das Internet mit einem Dienst zu kommunizieren. Über SharePoint und OneDrive hinweg erzeugte die Aktivität erhebliche Mengen von FileAccessed- und FileDownloaded-Ereignissen, was auf ein systematisches Abrufen cloudgehosteter Dokumente und Organisationsdaten hindeutet. Die Aktivität wirkt automatisiert, wobei Verbindungen beim Zugriff und der Exfiltration von SharePoint und OneDrive den User-Agent python-httpx verwendeten. Microsoft merkt an, dass die Angreifer schnelle „Smash-and-Grab“-Exfiltration vermeiden, um unter dem Radar zu bleiben. Stattdessen dauert der Datendiebstahl von einigen Stunden bis zu mehreren Tagen, und die Angreifer greifen in einer Stunde auf weniger als 1.000 Dateien oder E-Mails zu, um sich in den legitimen Datenverkehr einzufügen.

Zur Erkennung dieser Eindringlinge empfiehlt Microsoft, auf ungewöhnliche Anmeldungen gefolgt von neuen MFA-Registrierungen, Microsoft-Graph-Erkundung und verdächtigen Zugriff auf SharePoint, OneDrive oder Exchange zu achten. Wenn ein Konto kompromittiert wurde, sollten Administratoren aktive Sitzungen und Token widerrufen, Anmeldedaten zurücksetzen, alle von den Angreifern hinzugefügten Authentifizierungsmethoden oder Postfachregeln entfernen und den Benutzer auffordern, seine Authentifizierungsmethoden neu zu registrieren. Microsoft empfiehlt außerdem die Verwendung phishing-resistenter MFA, die Beschränkung sensibler Cloud-Ressourcen auf verwaltete Geräte und die Deaktivierung der Gerätecode-Authentifizierung, wenn sie nicht benötigt wird. Für Teams, die Microsoft 365 und ähnliche Cloud-Dienste nutzen, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsunterstützung, die helfen kann, Authentifizierungseinstellungen, Zugriffskontrollen und Überwachungspraktiken zu überprüfen.