Microsoft warnt vor Steuer-Phishing auf Microsoft 365

Einführung

Die Steuersaison erweist sich erneut als Hochsaison für Cyberkriminelle. Microsoft meldet einen deutlichen Anstieg von Phishing- und Malware-Kampagnen, die die Dringlichkeit von Steuererklärungen, Erstattungsmitteilungen, Lohnformularen und der Kommunikation mit Steuerberatern ausnutzen, um Nutzer dazu zu bringen, Anmeldeinformationen preiszugeben oder Malware auszuführen.

Für IT- und Sicherheitsteams ist das wichtig, weil diese Kampagnen nicht nur generischer Spam sind. Viele sind hochgradig zielgerichtet, personalisiert und so aufgebaut, dass sie traditionelle Erkennungen durch QR-Codes, mehrstufige Link-Ketten, in der Cloud gehostete Dateien und den Missbrauch legitimer Tools für Remote Monitoring and Management (RMM) umgehen.

Was ist neu

Microsoft hob mehrere steuerbezogene Angriffsmuster hervor, die Anfang 2026 beobachtet wurden:

• CPA-bezogenes Phishing mit Energy365
  E-Mails mit Betreffzeilen wie "See Tax file" verwendeten Excel-Anhänge, die auf OneNote-Dateien auf OneDrive verlinkten und Nutzer schließlich auf Seiten zur Abfrage von Anmeldeinformationen weiterleiteten, die mit dem Phishing-as-a-Service-Kit Energy365 betrieben wurden.

• W-2-QR-Code-Phishing mit SneakyLog
  Nachrichten mit dem Titel "2025 Employee Tax Docs" enthielten Word-Dokumente mit personalisierten QR-Codes. Das Scannen des Codes führte Nutzer auf gefälschte Microsoft 365-Anmeldeseiten, die über das Phishing-Kit SneakyLog/Kratos betrieben wurden und darauf ausgelegt waren, Anmeldeinformationen und 2FA-Informationen zu stehlen.

• 1099-Köder mit Auslieferung von ScreenConnect
  Domains mit Steuerformular-Thema imitierten Finanz- und Steuermarken und veranlassten Nutzer zum Download von 1099-FR2025.exe, das ScreenConnect installierte. Obwohl legitim, kann ScreenConnect von Angreifern als Remotezugriffs-Tool missbraucht werden.

• IRS- und Krypto-bezogenes Phishing
  Eine weitere Kampagne nutzte gefälschte IRS-Nachrichten und Social Engineering im Zusammenhang mit Kryptowährungen, einschließlich Copy-and-Paste-URLs anstelle anklickbarer Links, um die automatisierte Erkennung zu reduzieren.

Warum das für Administratoren wichtig ist

Diese Kampagnen zeigen, wie Angreifer Folgendes kombinieren:

• überzeugenden saisonalen Geschäftskontext
• Phishing-as-a-Service-Plattformen, die sich schnell skalieren lassen
• personalisierte Anhänge und Landing Pages
• MFA-Umgehungstechniken
• legitime signierte RMM-Tools für Persistenz und interaktiven Zugriff

Organisationen aus Finanzdienstleistungen, Gesundheitswesen, Bildung, Fertigung, Einzelhandel und IT wurden allesamt als Ziele beobachtet, wobei Buchhalter und finanznahe Rollen besonders gefährdet sind.

Empfohlene nächste Schritte

IT-Administratoren sollten umgehend die folgenden Maßnahmen ergreifen:

• Sensibilisieren Sie Nutzer erneut für steuerbezogene E-Mails, insbesondere unerwartete Nachrichten zu W-2, 1099, CPA und IRS.
• Blockieren oder prüfen Sie QR-Code-basiertes Phishing und mehrstufige Anhang-Ketten mit Excel-, OneNote- und Cloudspeicher-Links besonders genau.
• Überprüfen Sie E-Mail-Sicherheitsrichtlinien für Schutz vor Identitätsimitation, Anhang-Scans und URL-Detonation.
• Suchen Sie nach Missbrauch von RMM-Tools wie ScreenConnect und SimpleHelp, insbesondere wenn diese außerhalb genehmigter Kanäle installiert werden.
• Verstärken Sie den Identitätsschutz mit phishing-resistenter MFA, wo möglich, und überwachen Sie verdächtige Microsoft 365-Anmeldeaktivitäten.
• Nutzen Sie die Erkennungs- und Hunting-Hinweise in Microsoft Defender aus dem Advisory, um entsprechende Indicators of Compromise zu identifizieren.

Fazit

Die Steuersaison bietet Angreifern ein vorhersehbares Zeitfenster, um Dringlichkeit und Vertrauen auszunutzen. Microsofts aktuelle Erkenntnisse erinnern daran, dass Organisationen steuerbezogene Nachrichten als Phishing-Kategorie mit hohem Risiko behandeln und sowohl Identitätsaktivitäten als auch Remotezugriffs-Tools in ihrer gesamten Umgebung validieren sollten.