Cloud-Angriffe: Hacker nutzen Voice Phishing gegen MFA-Schutz
Veröffentlicht am: 10.09.2026 um 19:00 Uhr | Redaktion boerse-global.de
Microsoft Security Research hat am 9. September 2026 detaillierte Erkenntnisse zu einer seit Mai 2026 beobachteten Angriffswelle auf Cloud-Infrastrukturen veröffentlicht. Dabei setzen Angreifer verstärkt auf Voice Phishing (Vishing), um Sicherheitsbarrieren wie die Multi-Faktor-Authentifizierung (MFA) zu umgehen und tiefen Zugriff auf Unternehmensnetzwerke zu erlangen.
Social Engineering und technisches Vorgehen
Die Angreifer kontaktieren Mitarbeiter laut Microsoft Security Research direkt auf ihren privaten Mobiltelefonen und geben sich als Mitarbeiter des internen IT-Helpdesks aus.
Unter dem Vorwand eines notwendigen Updates für Passkeys, MFA oder Single-Sign-On (SSO) werden die Opfer auf gefälschte Anmeldeseiten geleitet. Das Ziel dieser Operationen ist die Durchführung von Adversary-in-the-Middle-Phishing (AiTM) oder die Ausnutzung von Device-Code-Flows.
Sobald der Zugriff erfolgt ist, registrieren die Akteure eigene MFA-Methoden, um eine dauerhafte Persistenz im System zu gewährleisten. Nachfolgende Aktivitäten wie die Aufklärung via Microsoft Graph sind laut den Sicherheitsanalysten nur schwer zu detektieren.
Die Angreifer laden anschließend Daten aus SharePoint- und OneDrive-Umgebungen herunter oder sammeln E-Mails über REST-Schnittstellen. Dabei wurden Datendiebstähle von weniger als 1.000 Dateien oder E-Mails pro Stunde beobachtet, wobei häufig der User-Agent „python-httpx“ zum Einsatz kommt.
Akteure und spezialisierte Infrastrukturen
Die Kampagne wird laut Sicherheitsberichten den Gruppen Storm-3121 (auch bekannt als ShinyHunters oder Falcon) sowie Storm-3032 (BlackFile oder Helix) zugeschrieben. Ergänzende Analysen von Arctic Wolf identifizierten zudem die Gruppe PREY-0058, die gezielt Führungskräfte ins Visier nimmt.
Diese Angreifer nutzen den NodeMaven-Proxy, um gestohlene Sitzungen zu verschleiern. Statt Malware einzusetzen, konzentrieren sie sich auf den reinen Datendiebstahl und fordern anschließend Lösegelder via TOX mit einer Frist von 72 Stunden.
Angriffe auf die digitale Identität nehmen rasant zu, wobei Kriminelle gezielt psychologische Schwachstellen ausnutzen. In diesem kostenlosen Anti-Phishing-Paket erfahren Sie in 4 Schritten, wie Sie Ihr Unternehmen effektiv gegen diese Manipulationstaktiken absichern. Jetzt kostenlosen Phishing-Schutz-Report herunterladen
Parallel dazu beobachten Marktforscher eine Professionalisierung der genutzten Werkzeuge. Die Phishing-Plattform „Greatness“ wurde seit dem letzten Jahr massiv ausgebaut und unterstützt nun gezielt den Diebstahl von Session-Token für Microsoft 365, iCloud und Google Workspace.
Ein weiteres Beispiel ist das im Juni 2026 entdeckte Tool „BigBear 2.0“. Laut CloudSEK wurden damit bereits 5.137 Datensätze erbeutet, darunter 1.032 Klartext-Passwörter und 4.148 Session-Cookies von über 460 Organisationen weltweit.
Umgehung moderner Sicherheitsfilter
Neue Methoden erschweren die Erkennung der Angriffe auf technischer Ebene. Barracuda berichtete am 9. September 2026 über Kampagnen, die bösartige Seiten mittels Blob-URLs direkt im Browser des Opfers erzeugen. Durch den Einsatz von Service Workern und Sandboxed Iframes können Angreifer die Navigation steuern, ohne dass eine dauerhafte Phishing-URL blockiert werden kann.
Microsoft dokumentierte zudem den Einsatz von unsichtbaren Unicode-Tags (U+E0000–E007F) in E-Mails. Diese Markierungen innerhalb von Schlüsselwörtern wie „funding“ führen dazu, dass herkömmliche Spamfilter, die keine Normalisierung durchführen, die Begriffe nicht erkennen.
Ende Februar 2026 erreichte diese Methode eine Spitze von rund 2,37 Millionen E-Mails pro Tag. Ein Fachmann von Barracuda empfahl daher, die Detektion verstärkt auf die Verhaltensüberwachung des Browsers und die Stärkung identitätsbasierter Kontrollen umzustellen.
Wer sich gegen die zunehmende Professionalisierung von Cyberangriffen schützen will, benötigt aktuelle Einblicke in Bedrohungstrends und gesetzliche Anforderungen. Ein neues Gratis-E-Book enthüllt, wie Unternehmer Sicherheitslücken schließen und ihre IT-Infrastruktur proaktiv absichern können. Kostenloses E-Book zur Cyber Security jetzt sichern
Automatisierung durch Künstliche Intelligenz
Ein weiterer Trend ist die Skalierung von Angriffen durch Künstliche Intelligenz. Laut Google GTIG gelang es der Gruppe TeamPCP mithilfe eines KI-Coding-Chatbots, in weniger als sechs Stunden eine umfangreiche Kampagne zum Diebstahl von Zugangsdaten aufzubauen. Berichten zufolge kompromittierten KI-Agenten bereits in der ersten Juli-Hälfte 2026 innerhalb von vier Tagen 85 Nutzerkonten und extrahierten über 2.500 Personalakten.
Auch staatlich akzentuierte Akteure aus China, Iran und Nordkorea nutzen laut Sicherheitsanalysten zunehmend generative KI-Modelle über den gesamten Angriffslebenszyklus hinweg. Das FBI warnte in diesem Zusammenhang am 9. September 2026 zusätzlich vor OAuth-Consent-Phishing, bei dem bösartige Apps bei legitimen Anbietern registriert werden, um MFA dauerhaft zu umgehen.
Kompromittierung legitimer Versandwege
Aktuelle Vorfälle vom 10. September 2026 zeigen zudem die Verwundbarkeit der Lieferkette. Der E-Mail-Dienstleister Brevo bestätigte einen Sicherheitsvorfall, in dessen Folge Angreifer die legitime Sendeinfrastruktur nutzten, um Phishing-Mails im Namen von Unternehmen wie Trezor, BitBox oder CoinTracking zu versenden.
Da diese Nachrichten über echte Server verschickt wurden, passierten sie gängige Sicherheitsmechanismen wie SPF, DKIM und DMARC problemlos. Die Empfänger wurden unter dem Vorwand einer angeblichen Sicherheitslücke dazu verleitet, sensible Informationen preiszugeben.
