Microsoft 365: Phishing-Plattform Greatness PhaaS greift Millionen an
Veröffentlicht am: 05.08.2026 um 19:42 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben neue, koordinierte Phishing-Kampagnen identifiziert, die gezielt Nutzer von Microsoft 365 ins Visier nehmen. Die Angreifer nutzen dabei die Identität des Kommunikationsdienstleisters RingCentral und missbrauchen legitime Login-Portale, um Sicherheitsvorkehrungen zu umgehen und unbefugten Zugriff auf Unternehmenskonten zu erlangen.
Greatness PhaaS als technologische Basis
Hinter den beobachteten Angriffen steht die Plattform „Greatness PhaaS“. Dieser Phishing-as-a-Service-Anbieter ist bereits seit Mitte 2022 aktiv und stellt Kriminellen die notwendige Infrastruktur für komplexe Angriffe zur Verfügung. Das entsprechende Abonnement für diesen Dienst wird nach aktuellen Erkenntnissen über einen Telegram-Kanal für 289 US-Dollar pro Monat vertrieben. Dieser Kanal verzeichnet mittlerweile über 3.250 Abonnenten.
Die Plattform hat sich darauf spezialisiert, Microsoft-365-Konten mittels AiTM- (Adversary-in-the-Middle) und Device-Code-Phishing zu kompromittieren. Dabei konzentrieren sich die Aktivitäten vorwiegend auf Zielregionen wie die USA, Kanada, Großbritannien, Australien und Südafrika. Neben den Microsoft-Diensten wurden durch Forscher von ZeroBEC auch Versuche beobachtet, Konten bei iCloud, Yahoo und Google Workspace anzugreifen.
Umgehung von Filtern durch RingCentral-Spoofing
Die aktuelle Kampagne nutzt einen Sicherheitsvorfall bei RingCentral aus, der sich in der Zeit nach dem 28. Juli ereignete. Die Angreifer versenden dabei gefälschte E-Mails, die Voicemail-Benachrichtigungen von RingCentral vortäuschen. Ein wesentlicher Erfolgsfaktor dieser Methode ist die Umgehung technischer Prüfmechanismen wie SPF, DKIM und DMARC. Dies gelingt den Angreifern, da die gespooften E-Mails häufig von Ausnahmeregelungen in sogenannten Safe-Sender-Listen (Whitelists) profitieren, wodurch sie von den Sicherheitsfiltern der Unternehmen nicht blockiert werden.
Der beschriebene Missbrauch von Identitäten zeigt, wie raffiniert Cyberkriminelle heute vorgehen, um technische Hürden zu umgehen. Dieser kostenlose Report enthüllt die aktuellen Methoden der Angreifer und erklärt, wie Sie Ihr Unternehmen proaktiv gegen solche Bedrohungen absichern. Anti-Phishing-Paket jetzt gratis herunterladen
Technisch kombinieren die Akteure AiTM-Proxying mit dem Missbrauch von OAuth-Berechtigungen und dem Device-Code-Flow. Ziel dieser Vorgehensweise ist der Diebstahl von Authentifizierungs-Token. Diese gestohlenen Token werden anschließend über eine Infrastruktur aus virtuellen privaten Servern (VPS) oder VPN-Diensten wiederverwendet. Auf diese Weise verschaffen sich die Angreifer Zugriff auf Outlook, Microsoft Teams, SharePoint und OneDrive. Analysen zeigen, dass der Zugriff auf die kompromittierten Konten oft über einen Zeitraum von mehr als zwei Wochen bestehen bleibt.
Empfohlene Schutzmaßnahmen für Unternehmen
Aufgrund der Komplexität der Angriffe raten Sicherheitsforscher zu umfassenden Abwehrmaßnahmen. Ein zentraler Punkt ist die regelmäßige Überprüfung und Bereinigung der Safe-Sender-Listen, um den Missbrauch von Whitelist-Ausnahmen zu verhindern. Zudem sollten Administratoren bestehende OAuth-Berechtigungen (Consents) auf Unregelmäßigkeiten prüfen und diese im Zweifelsfall widerrufen.
Angesichts immer neuer Cyberrisiken und gesetzlicher Anforderungen müssen Unternehmen ihre IT-Sicherheit kontinuierlich anpassen. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und Ihre Firma ohne teure Investitionen langfristig schützen. Gratis-E-Book zur Cyber-Security sichern
Ein weiterer wichtiger Schritt ist die blockierung des Device-Code-Flows, sofern dieser für den Geschäftsbetrieb nicht zwingend erforderlich ist. Um den Diebstahl von Login-Daten effektiv zu verhindern, wird zudem der Einsatz von Multi-Faktor-Authentifizierung (MFA) empfohlen, die speziell gegen Phishing-Methoden wie das AiTM-Proxying resistent ist.
