Microsoft 365: 81 Millionen Angriffsversuche in zwei Wochen
02.07.2026 - 20:17:17 | boerse-global.de
Juli die Einführung von WhatsApps Usernamen-Funktion gestoppt. Grund sind massive Bedenken wegen möglichen Betrugs und Identitätsdiebstahls. Das teilte das IT-Ministerium mit.
Bereits vor dem offiziellen Start hatten Nutzer Usernamen von prominenten Politikern und Stars reserviert. Für die über 500 Millionen WhatsApp-Nutzer in Indien birgt das erhebliche Risiken. Die Funktion hätte es ermöglicht, statt Telefonnummern frei wählbare Namen zu verwenden – ein Paradies für Identitätsbetrüger.
Weltweite Betrugswelle erreicht neue Dimension
Der Stopp kommt nicht von ungefähr. Laut einem Google-Sicherheitsbericht vom Juni 2026 erreichten die weltweiten Betrugsschäden im Jahr 2025 die astronomische Summe von 580 Milliarden Euro. Kriminelle nutzen zunehmend das Vertrauen in bekannte Marken aus Technologie, Einzelhandel und Behörden, um Sicherheitsvorkehrungen zu umgehen.
Besonders betroffen: Microsoft und die Krypto-Plattform Crypto.com. Seit Mai 2026 registrierte die Polizei in Singapur mindestens 30 Fälle, bei denen sich Betrüger als technischer Support oder Polizeibeamte ausgaben. Die Schadenssumme: über eine Million Euro.
81 Millionen Angriffsversuche in zwei Wochen
Die Bedrohungslage für Unternehmen ist dramatisch. Cybersicherheitsforscher von Huntress entdeckten zwischen dem 12. und 26. Juni 2026 sage und schreibe 81 Millionen Login-Versuche auf Microsoft-365-Konten. Die Angreifer nutzten eine Sicherheitslücke im Azure-Befehlszeilentool, um die Zwei-Faktor-Authentifizierung zu umgehen. 78 Konten in 64 Organisationen wurden geknackt – bei 15 der betroffenen Firmen war die Sicherheitsfunktion zwar aktiviert, aber falsch konfiguriert.
Das FBI warnt zudem vor der Phishing-Plattform „Kali365", die seit April 2026 Microsoft-365-Nutzer angreift. Die Masche: Die Plattform missbraucht den Gerätecode-Login, um OAuth-Token zu stehlen. Damit haben Angreifer Zugriff auf Outlook, Teams und OneDrive – ganz ohne Passwort.
Falsche Polizisten und Fake-Rabatte
81 Millionen Login-Versuche auf Microsoft-365-Konten in nur zwei Wochen – und bei 15 der betroffenen Firmen war die 2FA zwar aktiviert, aber falsch konfiguriert. Der Report zeigt, wie Sie Ihre 2FA richtig einstellen und sich gegen Kali365 & Co. wappnen. Jetzt kostenlosen Sicherheits-Report anfordern
Die Betrugswelle erfasst auch den Einzelhandel. Bitdefender-Forscher entdeckten mehrere Kampagnen rund um den US-Unabhängigkeitstag am 4. Juli. Per SMS und Messaging-Apps geben sich Kriminelle als Ketten wie Costco oder Publix aus – und locken mit angeblichen Investitionsmöglichkeiten und falschen Sonderangeboten.
Besonders perfide: Kriminelle nutzen die Identität von Strafverfolgungsbehörden, um Ransomware zu verbreiten. Eine Phishing-Welle gab sich als Interpol-Einheit zur Cyberkriminalität aus. Die Mails zielen auf kleine und mittlere Unternehmen in Europa, Asien und dem Nahen Osten. Der Anhang: eine passwortgeschützte Datei mit Erpressungssoftware, getarnt als Video.
Die Einzelschäden sind enorm. In Florida verlor ein 68-Jähriger im März 250.000 Euro – Betrüger hatten gefälschte Justizdokumente und offizielle Siegel verwendet, um angebliche Kautionen zu fordern. Allein 2025 verursachten Regierungs-Impersonationen Schäden von umgerechnet 920 Millionen Euro.
iOS-Nutzer im Visier
Googles Threat Intelligence Group entdeckte zudem das „Coruna"-Exploit-Kit für iOS. Es wird über betrügerische Finanz- und Krypto-Websites verbreitet und zielt auf verschiedene iOS-Versionen ab. Die Software stiehlt Seed-Phrasen und Wallet-Daten von Apps wie MetaMask und Trust Wallet.
Erste Erfolge im Kampf gegen Betrug
Die Phishing-Plattform Kali365 stiehlt OAuth-Token, ohne dass ein Passwort nötig ist – und gibt Angreifern Vollzugriff auf Outlook, Teams und OneDrive. Erfahren Sie in diesem Report, wie Sie den Gerätecode-Login absichern und Ihre Token schützen. Kali365-Abwehrleitfaden jetzt sichern
Es gibt auch Lichtblicke. Coinbase fror kürzlich drei Millionen Euro ein, die mit südostasiatischen Betrugsringen in Verbindung standen. Das US-Justizministerium beschlagnahmte hunderte gefälschte Investment-Websites.
Google setzt neue Abwehrmechanismen ein: Device Bound Session Credentials (DBSC) und eine verschärfte Entwickler-Verifizierung für Android. WhatsApp selbst verteidigt seine Usernamen-Funktion. Man habe ein Reservierungssystem für öffentliche Personen und erkenne betrügerische Konten automatisch. Der indische Stopp zeigt jedoch: Das Vertrauen der Behörden ist erschüttert.
