FBI warnt: Kali365 knackt Microsoft-365-Konten ohne Passwort

Mehrere Sicherheitsvorfälle erschüttern Unternehmen: Von Zendesk-Datenleck über KI-gesteuerten Account-Diebstahl bis zu physischen Einbrüchen.

Gleich mehrere Sicherheitsvorfälle erschüttern diese Woche Unternehmen und Behörden – von gestohlenen Support-Daten über KI-gesteuerte Account-Übernahmen bis hin zu physischen Einbrüchen von Erpressern.

Zendesk-Leak betrifft Millionen Nutzer

Der Kundenservice-Dienstleister Zendesk hat einen Sicherheitsvorfall bestätigt. Unbefugte verschafften sich Zugriff auf Support-Systeme und erbeuteten E-Mail-Adressen sowie Betreffzeilen von Support-Tickets. Passwörter blieben zwar unberührt, doch die Gefahr ist damit nicht gebannt.

Anzeige: Das FBI warnt vor Kali365 – einem Phishing-as-a-Service-Kit, das speziell Microsoft 365-Konten angreift. Die Methode Device-Code-Phishing umgeht die Zwei-Faktor-Authentifizierung und verschafft Angreifern dauerhaften Zugriff. Unser Report liefert eine Checkliste zur Erkennung und Sofortmaßnahmen gegen OAuth-Token-Diebstahl. Sicherheits-Report jetzt anfordern

Die Folgen sind weitreichend. Tumblr hat seine Nutzer bereits gewarnt: Mit den gestohlenen Daten könnten Angreifer gezielte Phishing-Nachrichten verfassen, die sich auf frühere Support-Anfragen beziehen. Ähnliche Warnungen gelten für Nutzer von Pinterest und Twitter. Sicherheitsexperten raten zur Vorsicht bei unerwarteten E-Mails, die auf vergangene Support-Kontakte verweisen.

FBI warnt vor „Phishing-as-a-Service"

Am 5. Juni 2026 schlug das FBI Alarm: Die Plattform Kali365 bietet einen „Phishing-as-a-Service"-Kit an, der speziell auf Microsoft 365-Konten abzielt. Die Methode: Device-Code-Phishing. Damit umgehen Angreifer die Zwei-Faktor-Authentifizierung und erlangen OAuth-Tokens – dauerhaften Zugriff auf Unternehmenskonten, ganz ohne Passwort.

Parallel dazu läuft eine Kampagne gegen Nutzer des verschlüsselten Messengers Signal. Angreifer versuchen, die Recovery-Keys für Cloud-Backups zu ergaunern. Die klare Botschaft der Sicherheitsforscher: Signal wird niemals Nutzer kontaktieren, um nach diesen Schlüsseln zu fragen. Wer solche Aufforderungen erhält, sollte sie ignorieren.

Erpresserbande dringt persönlich in Büros ein

Die Gruppe Silent Ransom Group (auch UNC3753 genannt) treibt seit Januar 2026 ihr Unwesen. Laut Google Mandiant und FBI kombinieren die Täter Social Engineering mit physischen Einbrüchen. Sie geben sich als IT-Support-Mitarbeiter aus, verschaffen sich Zutritt zu Büros von Anwaltskanzleien und Finanzinstituten – und stehlen Daten direkt per USB-Stick.

Im Visier: Verträge, Sozialversicherungsnummern und Finanzunterlagen. Die Beute dient der Erpressung.

KI-Chatbot als Einfallstor für Account-Hijacking

Ein besonders perfider Angriff ereignete sich in den vergangenen Wochen auf Instagram. Angreifer manipulierten den Meta-KI-Support-Chatbot, um hinterlegte E-Mail-Adressen zu ändern und Passwörter zurückzusetzen. Betroffen war unter anderem ein prominentes Konto aus der Obama-Ära im Weißen Haus. Branchenkenner sprechen von einem Lehrstück, wie KI-gesteuerte Tools für Account-Übernahmen missbraucht werden können.

Weitere Schwachstellen und Datenlecks

Die Liste der Vorfälle ist lang:

Anzeige: Während Kali365 mit Device-Code-Phishing M365-Konten knackt, steigt die Gefahr von Datenlecks und Erpressung. Unternehmen, die ihre OAuth-Tokens nicht schützen, riskieren den Verlust vertraulicher Daten. Dieser Report zeigt in 5 Schritten, wie Sie Ihre Konten absichern – bevor Angreifer zuschlagen. Absicherungs-Leitfaden jetzt sichern

• SolarWinds Serv-U: Das CISA warnte am 5. Juni vor der aktiven Ausnutzung der Sicherheitslücke CVE-2026-28318. Angreifer können spezielle POST-Anfragen nutzen, um Denial-of-Service-Angriffe durchzuführen. Über 12.000 Server sind noch exponiert. Bundesbehörden müssen den Hotfix bis zum 19. Juni einspielen.
• Atlas Menu: Ein Datenleck im Mai 2026 legte die Daten von 64.000 Nutzern von Cheats für GTA V und CS2 offen. Betroffen: E-Mail-Adressen, IP-Adressen und bcrypt-gehashte Passwörter.
• Carnival Corporation: Der Kreuzfahrt-Riese bestätigte einen Angriff auf fast 6 Millionen Reisende. Ein Social-Engineering-Angriff auf ein Mitarbeiterkonto führte zum Diebstahl von Namen, Adressen und Passnummern.
• Polyfill.io-Domain: Seit Anfang Juni erscheinen verdächtige Login-Aufforderungen auf den Webseiten von Toshiba und Muji sowie auf Samsung Smart-TVs. Auslöser ist eine reaktivierte Domain, die bereits früher für Schadcode bekannt war.
• iOS Coruna Exploit: Am 6. Juni 2026 warnte Googles Threat Analysis Group vor einem Exploit-Kit namens „Coruna", das iOS-Versionen 13.0 bis 17.2.1 angreift. Ziel: Kryptowährungs-Seed-Phrasen und Wallet-Daten über gefälschte Finanzseiten stehlen.

Was jetzt zu tun ist

Unternehmen sollten Device-Code-Authentifizierungsflüsse wo möglich einschränken. Für Privatnutzer gilt: Betriebssysteme aktuell halten, bei Login-Aufforderungen Dritter Vorsicht walten lassen – und niemals Recovery-Keys auf Anfrage herausgeben. Die Angriffswelle zeigt: Die Grenzen zwischen digitaler und physischer Bedrohung verschwimmen zunehmend.