Phishing-Welle: Über eine Million gefälschte Rechnungen in drei Tagen

Cyberkriminelle geben sich vermehrt als interne IT-Mitarbeiter aus, um Zugriff auf Microsoft-365-Unternehmenskonten zu erlangen. Wie Microsoft Security Research mitteilt, fordern die Täter ihre Opfer unter dem Vorwand angeblicher Aktualisierungen für Passkeys, Multifaktor-Authentifizierung (MFA) oder Single-Sign-On (SSO) zur Preisgabe von Zugangsdaten auf. Das Sicherheitsteam verfolgt entsprechende Aktivitäten über mehrere betroffene Konten hinweg bereits seit Mai 2026.

Kontaktaufnahme über Teams, Anrufe und Kurznachrichten

Die Angreifer nutzen für ihre Täuschungsversuche verschiedene Kommunikationskanäle. Neben telefonischen Anrufen und SMS-Nachrichten kontaktieren sie Beschäftigte auch direkt über Microsoft Teams. Nach der erfolgreichen Kontaktaufnahme leiten sie die Betroffenen dazu an, Schritte auszuführen, über die die Angreifer eine eigene MFA-Methode im jeweiligen Konto registrieren können, um sich dauerhaften Zugriff zu sichern.

Nach Angaben von Microsoft Security Research kommt es dabei weder zu einem Diebstahl bestehender Passkeys noch zu einer technischen Umgehung biometrischer Sicherungen. Stattdessen setzt die Masche vollständig auf Social Engineering, um Nutzer zur Autorisierung fremder Geräte und Methoden zu verleiten.

Wer sich mit modernen Sicherheitsverfahren wie der passwortlosen Anmeldung befasst, sollte die korrekte Einrichtung genau kennen, um Angreifern keine Chance zu geben. Dieser kostenlose Report zeigt, wie Sie Passkeys bei Diensten wie Amazon, Microsoft und WhatsApp sicher nutzen. Was steckt hinter Passkeys – der Technologie, die Passwörter für immer ablösen soll?

Nach erfolgreichem Eindringen griffen die Angreifer auf Dienste wie SharePoint, OneDrive, Exchange Online sowie Microsoft Graph zu. Dabei wurden teilweise weniger als 1.000 Dateien oder E-Mails pro Stunde abgerufen, um Entdeckungsmechanismen nicht vorzeitig auszulösen.

Microsoft warnte im September vor zwei Social-Engineering-Kampagnen, die sich gegen Unternehmenskonten und Finanzsysteme richten. Bei diesen Kampagnen kommen neben gefälschtem IT-Support und Passkey-Täuschungen auch Device-Code-Phishing sowie sogenannte Adversary-in-the-Middle-Verfahren (AiTM) zum Einsatz, um unbefugten Zugriff auf Exchange Online, SharePoint und OneDrive zu erlangen.

Zunahme automatisierter und KI-gestützter Kampagnen

Die beobachteten Vorfälle reihen sich in eine breitere Welle gezielter Täuschungsangriffe ein. Zwischen dem 3. und 5. August 2026 registrierte Microsoft eine groß angelegte Kampagne, bei der Führungskräfte imitiert wurden. Dabei wurden mehr als eine Million betrügerische E-Mails an Finanz- und Buchhaltungsabteilungen verschickt. Diese enthielten gefälschte Rechnungen für Abonnements der Plattform ServiceNow und forderten Überweisungen über das ACH-Zahlungssystem in Höhe von 50.000 US-Dollar.

Nach Erhebungen von Microsoft Security Research gingen 87,7 Prozent dieser E-Mails an Nutzer in den Vereinigten Staaten, insbesondere in den Branchen Informationstechnik, Konsumgüter, Immobilien und Fertigung.

Das Microsoft Threat Intelligence Center wies darauf hin, dass die Täter mithilfe generativer künstlicher Intelligenz über eine Million einzigartige E-Mails innerhalb von drei Tagen erstellten, erkennbar an spezifischen Hinweisen wie einheitlichen Vorlagen, HTML-Kommentaren und auffälligen Kopfdaten.

Der Schutz vor raffinierten Täuschungsversuchen wie dem sogenannten CEO-Fraud wird für die Sicherheit in Unternehmen immer wichtiger. Ein neuer Gratis-Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt, wie man psychologische Manipulationstaktiken entlarvt. Diese 7 psychologischen Schwachstellen Ihrer Mitarbeiter nutzen Hacker gnadenlos aus

Zusätzlich beobachteten Sicherheitsforscher automatisierte Missbräuche von Schnittstellen. Die Threat Response Unit von eSentire dokumentierte für Ende August 2026 die sogenannte GhostCode-Kampagne.

Bei dieser nutzten Angreifer den OAuth-2.0-Device-Authorization-Grant aus, um innerhalb von 78 Sekunden neun erfolgreiche Programmierschnittstellen-Aufrufe bei Diensten wie Intune, Azure Active Directory und Microsoft Graph durchzuführen. Dabei wurden nach 28, 53 und 77 Sekunden drei Geräte registriert.

Die Intune-Registrierung übersteht laut den Analysten auch den Widerruf von Zugriffstoken, während das primäre Aktualisierungstoken standardmäßig 14 Tage gültig bleibt.

Empfehlungen zur Absicherung der Infrastruktur

Angesichts der anhaltenden Kampagnen empfiehlt Microsoft Security Research Unternehmen den Einsatz von Phishing-resistenter MFA. Zudem sollten Administratoren die Registrierung neuer Authentifizierungsmethoden streng einschränken und Anmeldungen über Device-Codes blockieren.

Ergänzend rät das Forschungsteam zu einer lückenlosen Überwachung von verdächtigen Anmeldeversuchen, neu hinzugefügten Authentifizierungsmethoden, Abfragen über Microsoft Graph sowie ungewöhnlichem Datenabfluss.