Outlook.com soll gefälschte @microsoft.com-Mails nicht erkennen

Nutzer von Outlook.com E-Mail-Konten sollten aktuell vorsichtig sein. Ein Bug im Sicherheitssystem soll es Betrügern ermöglichen, sich als Microsoft-Mitarbeiter auszugeben. Das macht Phishing-Angriffe relativ einfach.

Offen für Phishing

Auf den ersten Blick scheint die Aufregung um eine Schwachstelle, die der Sicherheitsforscher Vsevolod Kokorin meldete, etwas übertrieben zu sein. Denn E-Mail-Spoofing, also das Fälschen der Absenderadresse, ist angesichts der notorischen Unsicherheit des Mail-Protokolls SMTP nichts ungewöhnliches.

Allerdings setzen die großen Anbieter längst Verfahren ein, die genau dies verhindern und die Echtheit eines Absenders halbwegs sicherstellen sollen. Dies sollte insbesondere innerhalb der Dienste-Struktur eines Anbieters problemlos funktionieren. Vor allem in den Outlook-Konten sollten also nur E-Mails von @microsoft.com-Adressen ankommen, die auch wirklich aus dem Konzernnetz verschickt wurden.

Das ist laut Kokorin aber nicht der Fall, wie er kürzlich über seinen Twitter-Account mitteilte. Er habe das Unternehmen schon vor Monaten über seinen Fund informiert. "Microsoft hat nur gesagt, dass sie es nicht reproduzieren können, ohne irgendwelche Details zu nennen", erklärte der Sicherheitsforscher gegenüber dem US-Magazin TechCrunch. Auch eine genaue Demonstration des Vorgehens brachte die Sache nicht weiter.

Microsoft prüft erneut

Öffentlich machte Kokorin die Sache erst jetzt, nachdem jede Kommunikation mit Microsoft ins Leere gelaufen war. Die Reaktion in dem Social Network nahm durchaus einen beachtlichen Umfang an. Dies dürfte letztlich der Auslöser gewesen sein, dass die zuständigen Stellen bei Microsoft sich der Sache nun erneut annehmen wollen.

Wie genau das Spoofing in dem Fall funktioniert, legte der Sicherheitsforscher bisher nicht offen. Er wolle verhindern, dass dies zu schnell von Dritten ausgenutzt werden könne. Wahrscheinlich ist hier allerdings ein Prüfmechanismus in den Filtersystemen der E-Mail-Verarbeitung bei Microsoft falsch konfiguriert, sodass eine Spoofing-Erkennung nicht vernünftig funktioniert. Nutzer sollten daher vorsichtig sein, wenn sie von einem Absender kontaktiert werden, der sich als Microsoft-Mitarbeiter ausgibt.

Download Microsoft Outlook - Mail-Client für Android
Siehe auch: