EvilTokens: Neue Phishing-Plattform stiehlt Microsoft 365-Sitzungen
Veröffentlicht am: 25.08.2026 um 15:12 Uhr | Redaktion boerse-global.de
Eine neue Phishing-as-a-Service-Plattform namens EvilTokens sorgt für eine signifikante Verschärfung der Bedrohungslage im Bereich der Cloud-Sicherheit. Seit Februar 2026 wird der Dienst über den Messengerdienst Telegram vertrieben und zielt primär auf den Diebstahl von Microsoft 365-Sitzungstoken ab.
Durch den Einsatz künstlicher Intelligenz und automatisierter Infrastrukturen ermöglicht die Plattform großflächige Angriffe, die auch für technisch weniger versierte Akteure zugänglich sind.
Technisch versierte Angriffskette gegen Unternehmen
Die Aktivitäten werden dem Bedrohungsakteur Doubloon Dredger zugeschrieben. Dieser nutzt eine raffinierte Kombination aus legitimen Webdiensten und technischer Täuschung. Ein zentraler Bestandteil der Strategie ist der Missbrauch von kostenlosen Konten der Kollaborationsplattform Notion.
In Verbindung mit bösartigen PDF-Dokumenten wird ein sogenanntes Device-Code-Phishing durchgeführt. Ziel dieses Verfahrens ist die Entwendung von Authentifizierungs-Tokens, die es den Angreifern ermöglichen, aktive Nutzersitzungen zu übernehmen, ohne die Zugangsdaten im klassischen Sinne stehlen zu müssen.
Besonders besorgniserregend ist die Qualität der Phishing-E-Mails. Berichten zufolge konnten die im Juli 2026 registrierten Angriffe gängige Sicherheitsmechanismen wie SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) und DMARC-Prüfungen erfolgreich passieren. Dies erschwert die automatische Erkennung durch herkömmliche Spam- und Sicherheitsfilter erheblich. In die technische Kette der Angriffe ist zudem der Webmail-Client MailVault integriert.
Angesichts der zunehmenden Professionalität bei Angriffen auf Unternehmensnetzwerke wird ein proaktiver Schutz der digitalen Infrastruktur immer wichtiger. Dieser kostenlose Ratgeber zeigt in vier Schritten, wie Firmen aus Branchen wie der Produktion oder dem Handel ihre Abwehr gegen Cyberkriminelle effektiv stärken können. In 4 Schritten zum sicheren Unternehmen: So stoppen Sie Phishing-Angriffe bevor sie entstehen
KI-Unterstützung zur Effizienzsteigerung
Ein markantes Merkmal von EvilTokens ist die Integration von künstlicher Intelligenz in den kriminellen Workflow. Die Plattform nutzt KI-Algorithmen, um den Angreifern automatisiert anzuzeigen, welche Kontakte aus einem kompromittierten Konto als Nächstes für weitere Betrugsversuche kontaktiert werden sollten. Diese gezielte Auswahl erhöht die Wahrscheinlichkeit erfolgreicher Folgeangriffe innerhalb von Unternehmensnetzwerken oder Lieferketten.
Die Skalierbarkeit des Angebots spiegelt sich in den identifizierten Werkzeugen wider. Insgesamt wurden im Kontext dieser Kampagnen 603 bösartige Skripte identifiziert. Davon basieren 416 Skripte direkt auf der EvilTokens-Architektur, während 187 Skripte die Plattform Tycoon2FA nutzen. Die Kampagne operierte unter anderem mit 14 verschiedenen PDF-Dokumenten, die als Köder fungierten.
Breite Streuung über verschiedene Industriezweige
Die Angriffe von Doubloon Dredger sind nicht auf eine einzelne Nische beschränkt, sondern zielen auf eine Vielzahl strategisch wichtiger Branchen ab. Zu den identifizierten Zielen gehören Unternehmen aus der Fertigungsindustrie, der Telekommunikation und dem Einzelhandel. Ebenso gerieten Organisationen aus dem Gesundheitswesen und der Logistikbranche in den Fokus der Akteure.
Wer sich mit der Absicherung geschäftlicher Daten befasst, muss heute neben technischen Risiken auch die psychologischen Taktiken der Angreifer berücksichtigen. Ein neuer Gratis-Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt auf, wie Unternehmen die Schwachstellen ihrer Belegschaft schützen können. Diese 7 psychologischen Schwachstellen Ihrer Mitarbeiter nutzen Hacker gnadenlos aus
Die Verfügbarkeit von EvilTokens als „As-a-Service“-Modell senkt die technischen Hürden für Cyberkriminelle massiv. Durch die Bereitstellung fertiger Phishing-Kits und einer automatisierten Infrastruktur wird die Durchführung professioneller Kampagnen industrialisiert.
Experten weisen darauf hin, dass die Kombination aus KI-gestützter Zielauswahl und der Umgehung von Standard-Authentifizierungsprüfungen eine neue Qualitätsstufe automatisierter Cyberkriminalität darstellt. Unternehmen in den betroffenen Sektoren wird geraten, ihre Sicherheitsstrategien bezüglich des Session-Managements und der Validierung von Device-Code-Anfragen zu überprüfen.
