Diebstahl von Microsoft 365-Logins:
Angreifer nutzen Link-Wrapping

Cyberkriminelle sind mit einer neuen, raffinierten Methode aufgefallen, um an Microsoft-365-Zugangsdaten zu gelangen: Sie missbrauchten Sicherheitsfunktionen, um schädliche Links zu tarnen - und damit selbst gut geschützte E-Mail-Systeme zu unterlaufen.

Nadine Dressler, 05.08.2025 12:00 Uhr

Sicherheit, Sicherheitslücke, Leak, Hacker, Security, Malware, Angriff, Hack, Bug, Kriminalität, Trojaner, Virus, Schadsoftware, Cybersecurity, Exploit, Cybercrime, Hacking, Ransomware, Hackerangriff, Phishing, Internetkriminalität, Spam, Erpressung, Warnung, Darknet, Hacker Angriff, Ddos, Hacker Angriffe, Hacken, Attack, Ransom, Hacks, Crime, Error, Russische Hacker, Viren, Gehackt, Schädling, China Hacker, Adware, Security Report, Malware Warnung, Security Bulletin, Promi-Hacker, Android Malware, Phisher, Secure, Breaking

Nachtrag 5. August: Wir haben dazu eine ausführliche Stellungnahme von Proofpoint erhalten, die ihr am Ende dieses Artikels findet.

Phishing mit Schutzschild

Entdeckt wurde die Methode von Cloudflares E-Mail-Security-Team. Demnach nutzten die Angreifer bereits kompromittierte E-Mail-Konten, um über sogenannte Link-Wrapping-Dienste vertrauenswürdige URL-Hüllen um ihre bösartigen Weiterleitungen zu legen. Eingehende Links werden von diesen Diensten auf sichere Domains umgeschrieben und automatisch gescannt - ein Feature, das hier zum Einfallstor wurde.

Missbrauch etablierter Schutzmechanismen

Konkret beobachteten die Sicherheitsforscher eine Kombination aus URL-Verkürzung, legitimer Link-Wrapping-Technologie und gestohlenen Zugängen. Die Angreifer verkürzten ihre Links zunächst mit gängigen URL-Shortenern, versendeten sie dann über kompromittierte Konten, die über Proofpoint oder Intermedia abgesichert waren - woraufhin die Links automatisch mit einer vertrauenswürdigen Domain versehen wurden.

Täuschend echte Tarnung

E-Mails mit scheinbar harmlosen URLs, die von Sicherheitslösungen nicht blockiert wurden und Empfängern keinen Verdacht weckten. Hinter den Links verbargen sich allerdings Phishing-Seiten, die Microsoft-365-Anmeldeseiten täuschend echt imitierten.

Die täuschenden Nachrichten trugen Betreffzeilen wie "Neue Voicemail", "Sicheres Dokument zum Abruf" oder "Neue Nachricht in Microsoft Teams". Besonders perfide: In manchen Fällen wurde vorgegeben, es handele sich um eine sichere "Zix"-Nachricht, das ist wiederum ein bekanntes Verschlüsselungssystem für vertrauliche Kommunikation.

Link-Wrapping wird von Anbietern wie Proofpoint zum Schutz von Nutzern eingesetzt. Dabei werden alle angeklickten URL über einen Scandienst geleitet, sodass bekannte bösartige Ziele zum Zeitpunkt des Klicks blockiert werden können.
Cloudflare über die aktuelle Bedrohung

Ein Klick auf die scheinbar legitime Schaltfläche "Antworten" führte letztlich auf eine gefälschte Log-in-Seite, die dazu diente, die Zugangsdaten der Nutzer abzugreifen. Infografik Computerkriminalität: Wo Cyberattacken ihren Ursprung haben

Computerkriminalität: Wo Cyberattacken ihren Ursprung haben

Ein neues Kapitel im Phishing-Arsenal

Die Technik des Missbrauchs legitimer Dienste ist nicht neu - viele Angreifer nutzen seit Jahren Cloud-Dienste wie Google Drive oder Dropbox als Tarnung. Neu ist jedoch die gezielte Ausnutzung von Link-Wrapping-Funktionen - also ausgerechnet jener Schutzmechanismen, die eigentlich vor solchen Angriffen schützen sollen.

Für IT-Administratoren und Sicherheitsverantwortliche ist das ein klares Alarmsignal: Wer sich bislang auf die automatische Erkennung bösartiger Links verlassen hat, muss umdenken. Besonders dann, wenn schadhafte Inhalte über vertrauenswürdige Domains hereinkommen - mit vermeintlicher Freigabe durch die eigene Sicherheitslösung.

Nachtrag 5. August. Uns hat eine Stellungnahme von Proofpoint erreicht, die das Problem noch einmal gut beleuchtet und erklärt, wie das Unternehmen darauf reagiert hat. Da heißt es:

Proofpoint ist bekannt, dass Angreifer die URL-Weiterleitungen und den URL-Schutz des Unternehmens derzeit in Phishing-Kampagnen missbrauchen. Dieses Vorgehen hat Proofpoint bei verschiedenen Sicherheitsdienstleistern beobachtet, die E-Mail-Schutz bzw. URL-Rewrites anbieten.

In diesen Kampagnen missbrauchen Angreifer entweder eine offene Weiterleitung, um auf eine umgeschriebene URL zu verlinken, oder kompromittieren ein E-Mail-Konto, das über eine Form von E-Mail-Schutz verfügt. Anschließend senden sie eine E-Mail mit einem Phishing-Link an das kompromittierte Konto. Der Sicherheitsdienstleister schreibt die URL um und der Angreifer stellt sicher, dass der Link nicht blockiert wird. Danach fügt der Angreifer die umgeschriebene URL in verschiedene Weiterleitungsketten ein. Proofpoint hat beobachtet, dass Angreifer diese Technik einsetzen und URLs mehrerer Sicherheitsanbieter - darunter Sophos und Cisco - missbrauchen.

Proofpoint erkennt diese Kampagnen mithilfe seiner KI-basierten Erkennungs-Engine, die Verhaltensanalysen nutzt, und sortiert die Nachrichten aus. Außerdem blockiert das Unternehmen die endgültige URL am Ende der Weiterleitungskette, um eine Ausnutzung zu verhindern.

Wenn Angreifer eine umgeschriebene URL eines Sicherheitsdienstes verwenden (einschließlich Proofpoint), wird die gesamte Angriffskette für jeden Empfänger der Kampagne blockiert, sobald der Sicherheitsdienst die endgültige URL blockiert. Dies gilt unabhängig davon, ob der Empfänger Kunde dieses Sicherheitsdienstes ist oder nicht.

Wie gut sind wir wirklich geschützt, wenn Schutzfunktionen selbst zum Risiko werden?

Zusammenfassung

Cyberkriminelle tarnen schädliche Links durch Link-Wrapping-Dienste
Angreifer missbrauchen vertrauenswürdige Domains und URL-Shortener
Kompromittierte E-Mail-Konten versenden getarnte Phishing-Links
Gefälschte Microsoft-365-Anmeldeseiten dienen zum Datendiebstahl
Sicherheitsmechanismen werden selbst zum Einfallstor für Angreifer
Traditionelle Schutzsysteme können diese raffinierte Angriffsmethode kaum erkennen

Siehe auch:

Thema:

Office

Kommentieren7

Hinweis einsenden

Weitere Nachrichten zum Thema Microsoft: Nutzer gerooteter Smartphones werden in Firmen gesperrtOffice-Ausfall: Microsoft 365-Dienste von Störung betroffen (Update)Stichtag erreicht: Microsoft löscht heute alle Authenticator-PasswörterMicrosoft sperrt LibreOffice-Entwickler ohne klare BegründungMicrosoft: Diese 40 Berufe sind am meisten/wenigsten von KIs bedroht