Microsoft 365: Angreifer nutzen Passkey-Betrug für Kontenzugriff
Veröffentlicht am: 11.09.2026 um 23:03 Uhr | Redaktion boerse-global.de
In einem am 9. September 2026 veröffentlichten Bericht beschreibt Microsoft detailliert eine Serie von Cloud-Intrusionen, die gezielt auf Microsoft-365-Konten abzielen.
Seit Mai 2026 beobachtet Microsoft Security Research Social-Engineering-Kampagnen, bei denen Angreifer das Thema Passkeys und Single Sign-On (SSO) als Vorwand nutzen, um Sicherheitsbarrieren zu umgehen. Dabei konzentrieren sich die Akteure zunehmend auf die direkte Kontaktaufnahme mit Mitarbeitern über deren private Endgeräte.
Social Engineering über private Endgeräte
Die Angreifer geben sich in den untersuchten Fällen als Mitarbeiter des IT-Helpdesks aus. Die Kontaktaufnahme erfolgt nicht ausschließlich über offizielle Kanäle, sondern verstärkt per Anruf, SMS oder Microsoft-Teams-Nachrichten auf privaten Mobilgeräten der Angestellten (Bring Your Own Device). Die Betrüger behaupten, dass dringende Aktualisierungen der Passkey-, Multi-Faktor-Authentifizierungs- (MFA) oder SSO-Einstellungen erforderlich seien.
Ziel dieser Täuschung ist es, die Opfer auf gefälschte Anmeldeseiten zu leiten. Dort kommen Techniken wie Adversary-in-the-Middle-Phishing (AiTM) oder Device-Code-Flows zum Einsatz.
Jon Baker von AttackIQ ordnete die Methodik dahingehend ein, dass Passkeys in diesem Szenario lediglich als Köder dienten, jedoch nicht die technologische Schwachstelle darstellten. Da die Kampagne primär auf psychologischer Manipulation basiert, existiert kein technischer Patch im herkömmlichen Sinne.
Wer sich mit den neuen Sicherheitsstandards zum passwortlosen Login befasst, sollte die Technologie hinter den Kulissen verstehen, um nicht auf betrügerische Köder hereinzufallen. Dieser kostenlose Report zeigt, wie Sie die neue Methode bei Diensten wie Amazon oder WhatsApp sicher einrichten und sich vor Missbrauch schützen. Was hinter Passkeys steckt und wie Sie sie sicher nutzen
Erlangung dauerhafter Zugriffsrechte und Datendiebstahl
Sobald ein Konto kompromittiert wurde, sichern die Angreifer ihren Zugriff langfristig ab. Sie registrieren eigene MFA-Methoden, darunter Telefonnummern, Authenticator-Apps oder Einmalpasswörter (OTP), um eine sogenannte dauerhafte Persistenz in den übernommenen Konten zu etablieren. Laut dem Microsoft-Bericht vom 9. September 2026 folgen auf ungewöhnliche Anmeldevorgänge unmittelbar diese Registrierungen neuer Sicherheitsmerkmale.
Im weiteren Verlauf nutzen die Akteure die Microsoft Graph API, um Informationen über Nutzer, Gruppen und Websites zu sammeln. Der Abfluss von Daten aus SharePoint, OneDrive und Exchange Online erfolgt dabei hochgradig automatisiert, aber unauffällig. Mittels des Tools python-httpx werden Daten in kleinen Chargen von weniger als 1.000 Dateien pro Stunde exfiltriert. Diese Prozesse können sich über mehrere Stunden bis hin zu Tagen erstrecken.
Angesichts von Millionen gehackter Konten pro Quartal wird deutlich, dass herkömmliche Passwörter oft ein unnötiges Risiko für die digitale Sicherheit darstellen. Erfahren Sie in diesem Gratis-Ratgeber, wie Sie Ihre Konten durch moderne Verfahren so absichern, dass Hacker keine Chance mehr haben. Kostenlosen PDF-Report für maximale Konten-Sicherheit herunterladen
Überwachung und Identifizierung der Bedrohungsakteure
Microsoft ordnet die Aktivitäten den Bedrohungsgruppen Storm-3121 (auch bekannt als ShinyHunters oder Falcon) sowie Storm-3032 (Helix) zu. Es bestehen zudem Überschneidungen mit der von Google identifizierten Gruppierung UNC6671. Bisher hat Microsoft keine bekannten Unternehmens-Breaches explizit diesen spezifischen Aktivitäten zugewiesen; die genaue Anzahl der betroffenen Organisationen bleibt unbeziffert.
Zur Abwehr und Identifizierung der Kampagne hat die Organisation RH-ISAC am 9. September 2026 eine Liste von Indicators of Compromise (IOCs) bereitgestellt. Dazu gehören unter anderem betrügerische Domains wie passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com und integratedsso[.]com. Sicherheitsverantwortliche werden zudem angehalten, auf ungewöhnliche API-Aktivitäten und die unerwartete Registrierung neuer MFA-Methoden zu achten.
Mehr zum Thema bei BleepingComputer: „Passkey-themed phishing attacks lead to Microsoft 365 data theft“
