OAuth-Spoofing: Hacker prüfen Millionen Passwörter unbemerkt

Angreifer nutzen gefälschte OAuth-Apps in Microsoft Entra ID, um Millionen Zugangsdaten zu validieren, ohne Sicherheitswarnungen auszulösen.

Sicherheitsforscher haben eine raffinierte Technik entdeckt, die Angreifern erlaubt, gestohlene Zugangsdaten zu überprüfen – ohne die üblichen Alarmglocken schrillen zu lassen.

Die als „OAuth-Client-ID-Spoofing" bekannte Methode nutzt eine Schwachstelle in Microsofts Authentifizierungssystem Entra ID (ehemals Azure Active Directory). Proofpoint-Experten enthüllten, dass Kriminelle fingierte OAuth-Anwendungen einsetzen, um gültige Benutzernamen und Passwörter zu identifizieren. Der entscheidende Trick: Die Anmeldung wird nie vollständig abgeschlossen, wodurch herkömmliche Sicherheitsmonitore nichts bemerken.

So funktioniert die unsichtbare Prüfung

Die Angreifer verwenden den sogenannten ROPC-Flow (Resource Owner Password Credentials), um mit Microsofts OAuth-2.0-Schnittstelle zu kommunizieren. Sie schicken Authentifizierungsanfragen mit gefälschten Client-IDs und werten die Fehlercodes aus, die das System zurückgibt. Drei Codes sind dabei besonders aufschlussreich:

• AADSTS50034: Der Benutzername existiert nicht
• AADSTS50126: Der Benutzername ist gültig, das Passwort falsch
• AADSTS700016: Die Zugangsdaten sind korrekt – nur die gefälschte App-ID ist nicht registriert

Besonders tückisch: In den Anmeldeprotokollen von Entra ID erscheint bei diesen Versuchen oft ein leerer Anwendungsname. Automatische Warnsysteme, die auf verdächtige Aktivitäten bekannter Apps achten, erkennen die Angriffe daher nicht.

Millionen Konten im Visier

Proofpoint dokumentierte zwei groß angelegte Kampagnen. Die erste, UNK_pyreq2323 genannt, lief von Januar bis März 2026. Die Täter setzten über 700.000 gefälschte Client-IDs ein und griffen mehr als eine Million Konten in rund 4.000 verschiedenen Mandanten an. Die Folge: 28 Prozent der betroffenen Accounts wurden gesperrt. Die Angreifer nutzten dabei Infrastruktur von Amazon Web Services.

Eine zweite Welle mit dem Namen UNK_OutFlareAZ wurde bereits im Dezember 2025 beobachtet. Sie war noch größer: 3,7 Millionen gefälschte Client-IDs gegen über zwei Millionen Nutzer. Hier kam Cloudflare als Infrastruktur zum Einsatz. Jede Anfrage erhielt eine zufällige UUIDv4, um die Erkennung zusätzlich zu erschweren.

Anzeige

Wer seine Cloud-Überwachung auf blinde Flecken prüfen will, findet in diesem Report die wichtigsten Erkennungsmethoden – von Log-Analyse bis ROPC-Deaktivierung. Jetzt kostenlosen Security-Report anfordern

Die unterschiedlichen Methoden deuten darauf hin, dass mehrere unabhängige Gruppen diese Technik inzwischen nutzen.

OAuth-Missbrauch betrifft auch andere Plattformen

Während Proofpoint sich auf Microsoft konzentrierte, entdeckten auch die hauseigenen Sicherheitsexperten von Microsoft ähnliche Angriffsmuster. Die Gruppe ShinyHunters soll von Mitte 2025 bis Mitte 2026 Salesforce-Umgebungen attackiert haben. Dabei kombinierten die Angreifer Vishing (Telefonbetrug zur Einholung von OAuth-Zustimmungen) mit Kompromittierungen von Drittanbieter-Tools wie Salesloft, Gainsight und Klue, um CRM-Daten zu stehlen.

Microsoft hat als Reaktion die Sicherheitsupdates für Defender for Cloud Apps erweitert – mit verbesserter Telemetrie und Verbindungszuordnung für Salesforce.

So schützen sich Unternehmen

Sicherheitsexperten raten zu folgenden Maßnahmen:

Anzeige

Bereits über eine Million Konten in 4.000 Mandanten wurden durch OAuth-Spoofing angegriffen. Prüfen Sie, ob Ihre Logs leere Anwendungsnamen oder den Fehlercode AADSTS700016 enthalten – und sichern Sie sich die Schritt-für-Schritt-Anleitung zur Abwehr. OAuth-Spoofing-Checkliste jetzt sichern

• Protokolle prüfen: Nach Anmeldungen ohne oder mit leerem Anwendungsnamen suchen
• Fehlercode überwachen: Besonders der Code AADSTS700016 gilt als Warnsignal für kompromittierte Zugangsdaten
• ROPC-Flow deaktivieren: Wo nicht zwingend nötig, sollte dieser Authentifizierungsweg abgeschaltet werden

Die Technik ermöglicht es Angreifern, Zugangsdaten nahezu unsichtbar zu validieren. Das Erkennen dieser „blinden Flecken" in der Cloud-Überwachung ist entscheidend, um spätere Account-Übernahmen zu verhindern.