Microsoft advarer om phishing i skattesæsonen

Introduktion

Skattesæsonen viser sig endnu en gang at være højsæson for cyberkriminelle. Microsoft rapporterer en tydelig stigning i phishing- og malwarekampagner, der udnytter hastværket omkring skatteindberetninger, refusionsmeddelelser, lønformularer og kommunikation med revisorer for at narre brugere til at udlevere legitimationsoplysninger eller starte malware.

For IT- og sikkerhedsteams er dette vigtigt, fordi disse kampagner ikke blot er generisk spam. Mange er højt målrettede, personaliserede og bygget til at omgå traditionelle detektioner via QR-koder, flertrins-linkkæder, cloud-hostede filer og misbrug af legitime RMM-værktøjer (remote monitoring and management).

Hvad er nyt

Microsoft fremhævede flere angrebsmønstre med skat-tema, som blev observeret i begyndelsen af 2026:

• CPA-tema-phishing med Energy365
  E-mails med emnelinjer som "See Tax file" brugte Excel-vedhæftninger, der linkede til OneNote-filer hostet på OneDrive, og som til sidst omdirigerede brugere til sider, der høstede legitimationsoplysninger, drevet af Energy365 phishing-as-a-service-kittet.

• W-2 QR-kode-phishing med SneakyLog
  Beskeder med titlen "2025 Employee Tax Docs" indeholdt Word-dokumenter med personaliserede QR-koder. Når koden blev scannet, blev brugere sendt til falske Microsoft 365-loginsideer, der blev kørt gennem SneakyLog/Kratos phishing-kittet, designet til at stjæle legitimationsoplysninger og 2FA-oplysninger.

• 1099-lokkemidler, der leverer ScreenConnect
  Domæner med skatteformular-tema udgav sig for at være finans- og skattebrands og fik brugere til at downloade 1099-FR2025.exe, som installerede ScreenConnect. Selvom ScreenConnect er legitimt, kan det misbruges af angribere som et værktøj til fjernadgang.

• IRS- og krypto-tema-phishing
  En anden kampagne brugte falsk IRS-kommunikation og cryptocurrency-relateret social engineering, herunder copy-and-paste-URL'er i stedet for klikbare links for at reducere automatisk detektion.

Hvorfor dette er vigtigt for administratorer

Disse kampagner viser, hvordan angribere kombinerer:

• overbevisende sæsonbestemt forretningskontekst
• phishing-as-a-service-platforme, der hurtigt kan skaleres
• personaliserede vedhæftninger og landingssider
• teknikker til omgåelse af MFA
• legitime signerede RMM-værktøjer til vedvarende adgang og hands-on-keyboard-adgang

Organisationer inden for finansielle tjenester, sundhedssektoren, uddannelse, produktion, detailhandel og IT blev alle observeret som mål, og roller inden for regnskab og finansrelaterede funktioner var særligt udsatte.

Anbefalede næste skridt

IT-administratorer bør straks tage følgende handlinger:

• Styrk brugernes opmærksomhed omkring e-mails med skat-tema, især uventede W-2-, 1099-, CPA- og IRS-beskeder.
• Bloker eller inspicér nøje QR-kode-baseret phishing og flertrins-kæder med vedhæftninger, der involverer Excel, OneNote og links til cloudlagring.
• Gennemgå politikker for e-mailsikkerhed for beskyttelse mod efterligning, scanning af vedhæftninger og URL-detonation.
• Undersøg misbrug af RMM-værktøjer såsom ScreenConnect og SimpleHelp, især når de installeres uden for godkendte kanaler.
• Styrk identitetsbeskyttelsen med phishing-resistent MFA, hvor det er muligt, og overvåg mistænkelig Microsoft 365-sign-in-aktivitet.
• Brug vejledning til detektion og hunting i Microsoft Defender fra advisory'en til at identificere relaterede indikatorer på kompromittering.

Konklusion

Skattesæsonen giver angribere et forudsigeligt tidsvindue til at udnytte hastværk og tillid. Microsofts seneste resultater er en påmindelse om, at organisationer bør behandle skatterelaterede beskeder som en phishingkategori med høj risiko og validere både identitetsaktivitet og værktøjer til fjernadgang på tværs af miljøet.