Microsoft enttarnt eine sehr ausgeklügelte Phishing-Kampagne

Microsoft hat eine neue, besonders ausgeklügelte Phishing-Kampagne enttarnt, die mithilfe von KI und legitimen Anmeldeverfahren Nutzerkonten kompromittiert und dabei ohne klassischen Passwortdiebstahl auskommt.

Christian Kahle, 09.04.2026 10:11 Uhr

Sicherheit, Hacker, Angriff, Kriminalität, Datendiebstahl, Cybercrime, Hackerangriff, Phishing, Internetkriminalität, Diebstahl, Hacker Angriff, Hacker Angriffe, Crime, Cyberkriminalität, Recht und Ordnung, Gefahr, Raub, Dieb, Einbrecher, Verbrecher, Schurke, Bösewicht, Kriminell

Statt Passwörtern werden Token geklaut

Nach Angaben des Unternehmens markiert dies einen deutlichen Wandel in der Vorgehensweise von Cyberkriminellen. Im Mittelpunkt der Angriffe steht ein "Phishing-as-a-Service"-Toolkit namens "EvilToken". Dieses ermöglicht es Angreifern, automatisiert und in großem Stil Authentifizierungsprozesse auszunutzen. Statt Passwörter zu stehlen, greifen die Täter gezielt gültige Zugriffstoken ab, die durch reguläre Anmeldevorgänge der Nutzer erzeugt wurden.

Laut dem Bericht des Microsoft Defender Security Research Teams beginnt die Attacke mit einer mehrtägigen bis mehrwöchigen Aufklärungsphase. In dieser identifizieren die Angreifer aktive E-Mail-Konten innerhalb von Organisationen. Anschließend versenden sie maßgeschneiderte Phishing-Nachrichten, die mithilfe generativer KI individuell auf die jeweilige Zielperson zugeschnitten sind. Inhalte wie Rechnungen oder Dokumente sollen Vertrauen schaffen und zur Interaktion verleiten.

Besonders perfide ist die technische Umsetzung: Die in den E-Mails enthaltenen Links führen über legitime Cloud-Dienste oder Weiterleitungen, wodurch Sicherheitsfilter leichter umgangen werden. Klickt ein Opfer auf den Link, wird ein echter Microsoft-Anmeldeprozess gestartet, bei dem ein Gerätecode eingegeben werden muss. Gibt der Nutzer diesen Code ein, autorisiert er unwissentlich den Zugriff der Angreifer - ganz ohne Preisgabe eines Passworts.

Große Unternehmen im Visier

Die Kriminellen nutzen anschließend die erlangten Zugriffstoken, um E-Mails einzusehen, interne Strukturen zu analysieren und gezielt Führungskräfte oder Finanzabteilungen anzugreifen. Die Untersuchung zeigt zudem, dass Cloud-Infrastrukturen solche Angriffe begünstigen. Täter können kurzfristig tausende Systeme starten und Kampagnen nahezu unbemerkt durchführen.

Große Organisationen gelten als besonders gefährdet. Microsoft warnt, dass herkömmliche Sicherheitsmodelle, die primär auf Passwörtern basieren, nicht mehr ausreichen. Stattdessen seien kontinuierliche Überwachung, strengere Identitätskontrollen und ein besseres Verständnis für den Missbrauch legitimer Technologien erforderlich, um solchen Bedrohungen wirksam zu begegnen. Experten empfehlen zudem, wo möglich auf Passkeys und Authenticator-Apps umzusteigen.

Größte Phishing-Kampagnen 2015-2026

2015

Carbanak-Bankraubkampagne: Spear-Phishing-E-Mails mit infizierten Office-Dokumenten erbeuten bis zu 1 Milliarde US-$ bei rund 100 Finanzinstituten in 30 Ländern
2016

DNC-Phishing (US-Wahlkampf): Spear-Phishing gegen E-Mail-Konten der Demokratischen Partei verschafft Angreifern Zugriff auf ~60.000 E-Mails des Clinton-Wahlkampfchefs John Podesta
2017

Google-Docs-Phishingwurm: Falsche Google-Dokument-Einladungen gewähren betrügerischen Apps Zugriff auf Gmail-Konten und verbreiten sich viral an Kontakte - rund 1 Million Konten betroffen
2018

"Mabna" Universitäts-Phishing (Iran): Staatlich gesteuerte Spear-Phishing-Kampagne kompromittiert mehr als 300 Universitäten in 22 Ländern und erbeutet ~31 Terabyte an Forschungsdaten
2019

Betrug an Facebook & Google: Business Email Compromise (BEC) durch gefälschte Lieferanten-E-Mails verleitet die Tech-Giganten zur Überweisung von insgesamt über 100 Mio. US-$
2020

COVID-19-Phishingwelle: Massenhafte Phishing-Angriffe nutzen Pandemie-Ängste aus - Google blockiert täglich rund 18 Millionen Malware- und Phishing-Mails mit COVID-Bezug
2021

"Nobelium"-/USAID-Kampagne: Russische APT-Gruppe versendet über kompromittierten E-Mail-Marketing-Account der US-Behörde USAID Phishing-Mails an ~3.000 Accounts von über 150 Organisationen
2021

FluBot (SMS-Phishing-Trojaner): Smishing-Kampagne verbreitet Banking-Trojaner über gefälschte Paket-Tracking-Links - zehntausende Geräte infiziert, allein >70.000 in Spanien und Finnland
2022

"0ktapus"-Phishingkampagne: SMS-Phishing mit gefälschten Okta-Anmeldeseiten erbeutet Zugangsdaten von fast 10.000 Nutzerkonten und kompromittiert über 130 Unternehmen wie Twilio, Cloudflare und DoorDash
2023

Phishing-Rekordjahr: Fast 5 Millionen Phishing-Attacken registriert - Allzeithoch und bisher schlimmstes Jahr für Phishing-Angriffe weltweit mit neuen Methoden wie KI-basierten Stimmen für Telefonbetrug
2024

Scattered Spider & Snowflake-Datenlecks: Durch hochentwickeltes Social Engineering (Vishing) und gestohlene Anmeldedaten verschaffen sich Angreifer Zugriff auf Cloud-Datenbanken von über 100 Großunternehmen (u. a. AT&T, Ticketmaster), bei denen kein MFA-Schutz aktiviert war
2025

KI-gestützte Phishing-Welle: Generative KI (LLMs) wird zum Standardwerkzeug für Cyberkriminelle, um massenhaft sprachlich fehlerfreie, hochpersonalisierte Spear-Phishing-Mails zu generieren, die regelbasierte Spamfilter problemlos umgehen
2026

Cloud- & KI-Trend-Phishing (Stand April): Komplexe Phishing-Kampagnen nutzen den Hype um neue KI-Tools (z. B. gefälschte KI-Browser-Downloads) und manipulierte Cloud-Dokumente als Köder, um über großflächiges Credential Harvesting gezielt Multi-Faktor-Authentifizierung (MFA) auszuhebeln

Zusammenfassung

Microsoft enttarnt eine ausgeklügelte Phishing-Kampagne mit KI-Einsatz
Das Toolkit namens EvilToken ermöglicht Phishing als Dienstleistung
Angreifer stehlen keine Passwörter, sondern greifen Zugriffstoken ab
Generative KI erstellt maßgeschneiderte Phishing-Mails für Zielpersonen
Opfer autorisieren unwissentlich den Zugriff durch einen Gerätecode
Cloud-Infrastrukturen begünstigen solche Angriffe in großem Umfang
Herkömmliche passwortbasierte Sicherheitsmodelle reichen nicht mehr aus

Siehe auch:

Themen:

Cloud Microsoft Defender

Kommentieren0

Hinweis einsenden

Weitere Nachrichten zum Thema FBI warnt vor neuer Phishing-Plattform zum Angriff auf Microsoft 365Polizei stoppt mobilen SMS-Blaster-Betrugsring, der für Chaos sorgteMicrosoft: Logins ohne Passwort für besseren Schutz vor PhishingPhishing-Opfer entschädigen? EU-Gutachter stellt sich gegen BankenEuropol zerschlägt eine der größten Phishing-Plattformen der Welt