Microsoft 365: Hacker umgehen MFA mit AiTM-Relay-Phishing
Veröffentlicht am: 20.08.2026 um 16:52 Uhr | Redaktion boerse-global.de
In einem aktuellen Fall von Internetkriminalität ist es Angreifern gelungen, die Multi-Faktor-Authentifizierung (MFA) von Microsoft 365 zu umgehen und erhebliche Finanztransaktionen eines Unternehmens zu manipulieren. Durch den Einsatz einer hochentwickelten Phishing-Methode übernahmen die Täter das Konto eines Mitarbeiters aus der Finanzabteilung, um über einen längeren Zeitraum Zahlungsströme unbemerkt umzuleiten.
Die Methode: AiTM-Relay-Phishing und Session-Diebstahl
Der Angriff nahm seinen Anfang mit einer gezielten Phishing-E-Mail, die ein Thema aus dem Bereich Human Resources (HR) vorgab. Das Ziel des Angriffs war die Multi-Faktor-Authentifizierung, die gemeinhin als sichere Barriere gegen unbefugte Zugriffe gilt.
Die Kriminellen nutzten jedoch ein sogenanntes Adversary-in-the-Middle-Relay (AiTM). Dabei wird der Anmeldevorgang des Nutzers in Echtzeit über einen zwischengeschalteten Server der Angreifer geleitet.
Nachdem das Opfer die MFA-Aufforderung erfolgreich bestätigt hatte, erbeutete das AiTM-System das daraus resultierende Session-Cookie. Da dieses Cookie die bereits erfolgte Authentifizierung bestätigt, konnten die Angreifer die MFA-Hürde vollständig umgehen.
Mit diesem gestohlenen Token verschafften sie sich direkten Zugriff auf die Cloud-Umgebung des betroffenen Unternehmens, insbesondere auf Exchange Online, SharePoint sowie das Postfach der Kreditorenbuchhaltung (Accounts Payable).
Zweiphasiger Betrug über einen Zeitraum von 30 Tagen
Die Angreifer agierten nach der Übernahme des Kontos äußerst methodisch. Berichten zufolge erstreckte sich der Betrug über einen Zeitraum von insgesamt 30 Tagen. Dabei gingen die Täter in zwei distinkten Phasen vor. Zunächst erfolgte eine externe Imitation von Lieferanten. In diesem Zeitraum von etwa drei Wochen wurden elf E-Mails versandt, um die Zahlung von rund 20 legitimen Rechnungen zu beeinflussen.
Der beschriebene Fall zeigt, wie professionell Kriminelle heute Schwachstellen in Unternehmen ausnutzen, um Zahlungsströme zu manipulieren. Dieses kostenlose Anti-Phishing-Paket bietet eine detaillierte Analyse der psychologischen Taktiken von Angreifern und zeigt in vier Schritten, wie Firmen sich effektiv schützen. Kostenloses Anti-Phishing-Paket für Unternehmen jetzt herunterladen
In der zweiten Phase gingen die Kriminellen dazu über, intern die Identität der Kreditorenbuchhaltung zu imitieren. Ziel beider Phasen war es, Zahlungen mittels gefälschter ACH-Anweisungen (Automated Clearing House) auf Konten unter der Kontrolle der Angreifer umzuleiten.
Um die Manipulationen vor dem rechtmäßigen Kontoinhaber und der IT-Sicherheit zu verbergen, erstellten die Täter drei versteckte Postfachregeln. Diese automatisierten Regeln sorgten dafür, dass ein- und ausgehende E-Mails im Zusammenhang mit den Zahlungsanweisungen sofort archiviert und markiert wurden, sodass sie im regulären Posteingang nicht auftauchten.
Erkennung durch die „unmögliche Reise“
Trotz der sorgfältigen Verschleierung konnte der Vorfall schließlich identifiziert werden. Den Ausschlag gab ein Sicherheitsalarm wegen einer sogenannten „unmöglichen Reise“. Das System registrierte Anmeldeversuche für dasselbe Benutzerkonto aus Amsterdam und Los Angeles innerhalb von nur einer Minute. Da diese geografische Distanz in der kurzen Zeitspanne physisch nicht zu bewältigen ist, löste dies eine Untersuchung aus.
Sicherheitsexperten weisen im Zusammenhang mit diesem Vorfall auf spezifische Indikatoren hin (Indicators of Compromise, IoC), die auf ähnliche Kampagnen hindeuten. Dazu gehören unter anderem die Domains „cs@bitcrazy[.]com“, „mauthcopilot[.]com“ sowie die URL „portalmyadminsigninapps.experiencewithreliability[.]de/0xrcY/“.
Wer sich mit der Absicherung von Unternehmensstrukturen befasst, muss heute auch neue gesetzliche Anforderungen und KI-gestützte Risiken berücksichtigen. Ein aktuelles Gratis-E-Book liefert fundierte Informationen zu modernen Cyberbedrohungen und zeigt auf, wie IT-Sicherheit ohne hohe Investitionen gestärkt werden kann. Gratis-E-Book: Cyber Security Trends für Unternehmen
Zur frühzeitigen Erkennung solcher Angriffe raten Fachleute für Cybersicherheit zu einer verstärkten Überwachung bestimmter Systemereignisse. Besonders kritisch seien Aktivitäten wie die Erstellung neuer Posteingangsregeln (New-InboxRule), das endgültige Löschen von Elementen (SoftDelete) sowie eben jene Anomalien beim Anmeldeort.
Der Fall verdeutlicht, dass MFA zwar eine wichtige Sicherheitsmaßnahme bleibt, aber durch spezialisierte AiTM-Angriffe nicht mehr als unüberwindbar angesehen werden kann.
