Angreifer haben bei einer Microsoft-365-Kampagne 97 Konten in 79 Organisationen übernommen. Darüber berichtet The Hacker News unter Berufung auf den Sicherheitsanbieter Huntress. Die zwischen dem 14. Juli und dem 22. September 2026 beobachteten Angriffe richteten sich gegen bereits bestätigte Anmeldesitzungen. Eine zusätzliche Sicherheitsabfrage beim Einloggen verhinderte den Zugriff deshalb nicht zuverlässig.

Der Trick setzt nach der Anmeldung an. Wer sich erfolgreich ausweist, erhält digitale Nachweise, sogenannte Tokens. Damit kann ein Dienst weitere Zugriffe erlauben, ohne jedes Mal Passwort und zweiten Faktor abzufragen. Werden solche Nachweise gestohlen und sind sie nicht wirksam an das ursprüngliche Gerät gebunden, können Angreifer sie wiederverwenden. Microsoft erklärt diese Unterschiede zwischen Anmelde-, Zugriffs- und Sitzungstokens in seiner Sicherheitsdokumentation.

Laut Huntress lockten die Täter Opfer unter anderem auf Anmeldeseiten, die den echten Microsoft-Login weiterleiteten. Die Nutzer absolvierten dort auch die Mehrfaktorprüfung. Anschließend griffen die Täter die bestätigte Sitzung ab und nutzten sie von eigenen Rechnern. Daneben kam Gerätecode-Phishing zum Einsatz: Dabei bestätigt das Opfer auf einer echten Microsoft-Seite unwissentlich den Zugang eines Angreifers.

Huntress zählte 497 erfolgreiche Anmeldeereignisse und mehr als 200.000 fehlgeschlagene Versuche. Die Täter registrierten mindestens 48 fremde Geräte in den Unternehmensverzeichnissen. In 19 Organisationen wurden innerhalb von drei Stunden nach dem ersten erfassten Angreiferzugriff bestehende Mehrfaktormethoden entfernt und neue hinterlegt. Außerdem versteckten oder löschten manipulierte Posteingangsregeln Nachrichten. Ein gekapertes Konto wurde für eine E-Mail zu Gehaltszahlungen an einen externen Kontakt verwendet. Die Zahlen beschreiben die untersuchten Kundenumgebungen, keine Gesamtbilanz aller Microsoft-365-Nutzer.

Damit erklärt sich auch, warum ein Passwortwechsel allein zu kurz greift. Microsoft empfiehlt bei übernommenen Postfächern, den Zugriff zu sperren, Anmeldesitzungen zu widerrufen und verdächtige Geräte, Authentifizierungsmethoden sowie freigegebene Anwendungen zu prüfen und zu entfernen. Auch Weiterleitungen und Posteingangsregeln gehören kontrolliert. Bereits ausgegebene Zugriffstokens können je nach Anwendung noch bis zu ihrem Ablauf nutzbar bleiben, erläutert die Dokumentation zum Entzug von Zugriffsrechten.

Zum Schutz rät Microsoft zu phishingresistenten Anmeldeverfahren, abgesicherten Geräten und zusätzlichen Zugriffsregeln. Diese können etwa riskante Anmeldungen blockieren oder eine erneute sichere Anmeldung verlangen. Wo unterstützt, bindet „Token Protection“ Anmeldenachweise kryptografisch an ein Gerät. Der Schutz deckt allerdings nicht automatisch jede Anwendung und jede Zugriffsart ab.

Warum Passkeys gewöhnlichen Einmalcodes beim Phishingschutz überlegen sind, hat F-News bereits erklärt. Sie schützen die Anmeldung, ersetzen aber keine Absicherung einer laufenden Sitzung. Die jüngste Cloud-Störung mit Folgen für Revolut zeigte die technische Abhängigkeit zentraler Dienste von anderer Seite. Bei übernommenen Firmenpostfächern entscheidet sich die Sicherheit nach dem Login weiter: Wer neue Geräte oder Anmeldeverfahren hinzufügen darf, kann aus einem kurzen Zugriff einen dauerhaften machen.