Microsoft 365: Angreifer umgehen MFA mit gestohlenen Session-Tokens

Sicherheitsforscher des IT-Sicherheitsdienstleisters Huntress haben eine zehnwöchige Angriffswelle auf Microsoft 365 analysiert, bei der Cyberkriminelle gezielt Multifaktor-Authentifizierungen (MFA) umgingen.

Wie das Unternehmen in Berichten vom 22. und 23. Oktober 2026 darlegt, erbeuteten die Angreifer gültige Session-Tokens über Phishing-Verfahren und Social Engineering. Anschließend spielten sie diese Tokens erneut ein, um ohne Passworteingabe auf Postfächer von Unternehmen zuzugreifen.

Ablauf der Kampagne und Infrastruktur

Die analysierte Kampagne erstreckte sich über den Zeitraum vom 14. Juli bis zum 22. September 2026. Den Auswertungen von Huntress zufolge verzeichneten die Systeme insgesamt 497 erfolgreiche Anmeldungen bei mehr als 200.000 Fehlversuchen, verteilt auf 79 betroffene Organisationen.

Die Täter nutzten Adversary-in-the-Middle- (AiTM) und Device-Code-Phishing, um Benutzer nach erfolgreicher MFA-Bestätigung abzufangen. Die gestohlenen Session-Tokens wurden über Server des Hamburger Hosters 1337 Services GmbH erneut eingespielt. Dabei erfolgte das Replay in dokumentierten Fällen extrem schnell: An einem Vorfall am 21. Juli vergingen lediglich zwölf Minuten zwischen der regulären MFA und dem Replay, bei einem weiteren Fall am 22. September nur vier Minuten. Die Angreifer setzten dabei sechs IP-Adressen aus dem Subnetz 193.26.115.0/24 ein, die in vier verschiedenen Phasen aktiv wurden.

Rekord-Schäden durch Phishing zeigen, wie wichtig eine proaktive Abwehr für jedes Unternehmen geworden ist. In diesem kostenlosen Anti-Phishing-Paket erfahren Sie in 4 Schritten, wie Sie Ihr Unternehmen wirksam gegen moderne Zugriffsmethoden schützen. Kostenloses Anti-Phishing-Paket herunterladen

Rund um den 11. September 2026 trat eine neue Angreifer-Adresse in Erscheinung, die innerhalb von vier Tagen hunderte Anmeldeversuche bei etwa 30 Organisationen unternahm. An einem einzelnen Tag im September zählte Huntress 303 erfolgreiche Sign-ins über 29 Organisationen hinweg.

Persistenz und Manipulation in Microsoft Entra

Nach dem erfolgreichen Eindringen sicherten die Angreifer ihren Zugang systematisch ab. In Entra-Verzeichnissen wurden mindestens 48 unautorisierte Geräte mit dem Namenspräfix „DESKTOP-" gefolgt von acht Hexadezimal-Zeichen registriert. In 19 Organisationen löschten die Täter bestehende MFA-Methoden und hinterlegten innerhalb von drei Stunden neue Authenticator-Apps oder eigene Telefonnummern.

Zusätzlich richteten die Eindringlinge versteckte Postfachregeln mit kurzen Bezeichnungen wie „.", „sss" oder „iT" ein. Mindestens ein kompromittiertes Postfach wurde missbraucht, um eine betrügerische Gehaltsabrechnungs-E-Mail an einen externen Buchhalter zu versenden. Nach derzeitigem Kenntnisstand führte dieser Versuch jedoch zu keiner Auszahlung.

Wer sich mit aktuellen Sicherheitsrisiken befasst, erkennt schnell, dass herkömmliche Schutzmaßnahmen allein oft nicht mehr ausreichen. Dieser kostenlose Report klärt auf, welche neuen Bedrohungen und rechtlichen Pflichten Unternehmer jetzt kennen müssen, um ihre IT-Sicherheit zukunftssicher aufzustellen. Gratis Cyber-Security-E-Book jetzt sichern

Während Microsofts Schutzsystem Entra ID Protection die genutzten Replay-Adressen staatlichen Akteuren oder Cybercrime-Gruppen zuordnete, verzichtete Huntress auf eine konkrete Attribution.

Wirksamkeit von Schutzmaßnahmen und Abwehr

Die Analyse zeigt deutliche Lücken bei der Konfiguration von Sicherheitsrichtlinien auf. Zwar blockierten Conditional-Access-Regeln 1.052 Anmeldeversuche, dies geschah jedoch lediglich in vier der betroffenen Organisationen.

Huntress verweist zudem auf die zunehmende Verbreitung spezialisierter Phishing-Kits für Microsoft 365. Neben EvilTokens, das auf Device-Code-Phishing über eine Cloud-Plattform setzte und dessen mutmaßlicher Betreiber nach einer Kooperation der Microsoft Digital Crimes Unit mit dem FBI festgenommen wurde, stehen Baukästen wie Knight Office und Kali365 im Fokus. Letzteres bietet Bedienoberflächen mit KI-Funktionen für den Infrastrukturaufbau, das Sammeln von Anmeldedaten und die Verankerung im Netzwerk.

Einer Schätzung von Huntress zufolge tritt bei einem von sechs Vorfällen im Bereich Identity Threat Detection and Response ein unautorisiertes Gerät auf. Zudem gaben 36 Prozent der befragten Teilnehmer an, Device-Code-Phishing bereits beobachtet zu haben.

Sicherheitsexperten betonen, dass ein bloßes Zurücksetzen von Passwörtern bei diesen Vorfällen unzureichend ist, da manipulierte MFA-Einstellungen bestehen bleiben. Empfohlen wird die Durchsetzung von Conditional Access mit ausnahmsloser MFA-Pflicht für alle Benutzer, Cloud-Anwendungen und Client-Typen.

Ergänzend sollten bestehende Sitzungen widerrufen, Refresh-Tokens entwertet, der Device-Code-Flow blockiert sowie Entra-Gerätelisten, hinterlegte MFA-Methoden, Windows-Hello-Verknüpfungen und Postfachregeln gründlich überprüft werden.