AiTM-Phishingkampagne zielt auf Microsoft 365

Einleitung

Microsoft hat eine raffinierte Phishingkampagne aufgedeckt, die mehr als 35.000 Benutzer in über 13.000 Organisationen in 26 Ländern ins Visier nahm. Für Microsoft 365- und Sicherheitsadministratoren ist das relevant, weil der Angriff eine Adversary-in-the-Middle-(AiTM)-Technik nutzte, um Authentifizierungstoken abzugreifen. Damit lässt sich nicht phishingresistente MFA umgehen und Angreifern sofortiger Kontozugriff ermöglichen.

Was ist neu

Zwischen dem 14. und 16. April 2026 beobachtete Microsoft eine mehrstufige Phishingoperation, die Code of Conduct- und interne Compliance-Köder einsetzte. Die Nachrichten sollten wie legitime interne Kommunikation wirken und wurden als authentifizierte E-Mails von durch Angreifer kontrollierten Domains über einen legitimen E-Mail-Zustelldienst versendet.

Zu den wichtigsten Merkmalen der Kampagne gehörten:

• Professionell gestaltete E-Mails mit Compliance-Bezug mit dringlichen Betreffzeilen zu Fehlverhalten von Mitarbeitern oder Verstößen gegen Vorgaben
• PDF-Anhänge, die Empfänger anwiesen, Fallunterlagen zu prüfen
• Mehrere vorgeschaltete Seiten einschließlich CAPTCHA-Prüfungen und zwischengeschalteter „Verifizierungsschritte“
• Eine abschließende Microsoft Sign-in-Aufforderung, eingebettet in einen AiTM-Flow zur Abfangung von Sitzungstoken
• Breite Auswirkungen über viele Branchen hinweg, insbesondere Healthcare, Financial Services, Professional Services und Technology

Microsoft erklärte, dass sich die meisten Opfer in den Vereinigten Staaten befanden, die Kampagne jedoch Organisationen weltweit betraf.

Warum dieser Angriff bedeutsam ist

Im Gegensatz zu einfachem Credential-Phishing schleusen AiTM-Angriffe die Authentifizierungssitzung in Echtzeit durch einen Proxy. Das bedeutet: Selbst wenn Benutzer MFA abschließen, können Angreifer weiterhin Token erfassen und wiederverwenden, um auf Konten zuzugreifen.

Diese Kampagne zeigt auch, wie sich Phishingtaktiken weiterentwickeln:

• Angreifer nutzten HTML-Vorlagen im Enterprise-Stil, um ihre Glaubwürdigkeit zu erhöhen
• Sie setzten Zeitdruck und HR-ähnliche Vorwürfe ein, um schnelles Handeln auszulösen
• CAPTCHA- und vorgeschaltete Seiten halfen dabei, automatisierte Sicherheitsanalysen zu filtern
• Der abschließende Sign-in-Flow wirkte legitim genug, um das Misstrauen der Benutzer zu verringern

Auswirkungen auf IT-Administratoren

Sicherheitsteams sollten dies als Erinnerung verstehen, dass Benutzeraufklärung allein nicht ausreicht. Organisationen brauchen mehrschichtige Schutzmaßnahmen für E-Mail, Identität, Endpoint und Webschutz.

Administratoren sollten Folgendes überprüfen:

• Konfigurationen von Exchange Online Protection und Microsoft Defender for Office 365
• Anti-Phishing-Richtlinien und Schutz vor Identitätsvortäuschung
• SmartScreen-Unterstützung in verwalteten Browsern
• Network protection in Windows zum Blockieren bösartiger Webziele
• Erkennungs- und Reaktionsabdeckung für verdächtige Sign-in-Aktivitäten und Tokenmissbrauch

Empfohlene nächste Schritte

IT-Teams sollten die folgenden Maßnahmen ergreifen:

1. Benutzer schulen zu Phishing-Ködern aus HR-, Compliance- und Regulierungsumfeldern
2. Phishing-Simulationen durchführen mit dem Attack Simulation Training in Microsoft Defender for Office 365
3. E-Mail-Sicherheitseinstellungen härten und Richtlinienempfehlungen im Microsoft Security Portal prüfen
4. Phishingresistente Authentifizierung priorisieren, wo immer möglich
5. Nach Indicators of Compromise suchen und ungewöhnliches Sitzungsverhalten im Zusammenhang mit Sign-in-Ereignissen untersuchen

Diese Kampagne unterstreicht eine zentrale Sicherheitslektion: Modernes Phishing dreht sich nicht mehr nur um Passwörter. Die Abwehr von Tokendiebstahl erfordert stärkeren Identitätsschutz, bessere E-Mail-Sicherheit und kontinuierliche Benutzerschulung.