Microsoft beschreibt zwei Betrugskampagnen: gefälschte Rechnungen und Zugriff auf Microsoft 365 über Passwörter

Microsoft hat technische Analysen zu zwei jüngsten Kampagnen veröffentlicht, die fortgeschrittene Social Engineering und legitime Infrastruktur Missbrauch kombinieren, um Unternehmen zu enttäuschen und die Kontrolle von Cloud-Konten zu übernehmen. Nach Angaben des Unternehmens umfassen die bestätigten Tatsachen eine massive Welle von betrügerischen E-Mails, die Banküberweisungen per ACH suchte und eine anhaltende Kampagne des Zugangs zu Unternehmensidentitäten mittels Köder im Zusammenhang mit Passkeys und Authentifizierungsflüssen. Dann erkläre ich, was passiert ist, wie technische Taktiken funktionieren, die ausgesetzt sind, welche wirklichen Konsequenzen abgeleitet werden können und welche konkreten Schritte von Unternehmen und Mitarbeitern unternommen werden sollten.

Verifizierte Fakten: Microsoft berichtete, dass zwischen dem 3. und 5. August 2026 mehr als eine Million Betrügereiposten an zu entrichtende Konten gesendet wurden, unter Verwendung von Senior Executive Supplanting (CEO / CFO) und behauptet Rechnungen für ein angebliches Jahresabonnement an ServiceNow. Das Unternehmen dokumentierte auch die Aktivität seit Mai 2026, bestehend aus Intrusionen in Microsoft 365 Umgebungen, in denen die Akteure ihre eigenen Authentifizierungsmethoden aufgezeichnet, Massen-Downloads über Microsoft Graph durchgeführt und E-Mail und Dateien von SharePoint / OneDrive extrahiert.

Wie die Rechnung Betrug funktioniert technisch (Campaign 1): Betreiber erfassen Domains, die legitim erscheinen, erstellen gefälschte Mail-Gewinde, die Rechnungen und Unterschriften von echten Führungskräften und senden Nachrichten über zuverlässige Drittanbieter-Mail-Lieferdienste, um Filter zu vermeiden. Microsoft zeigt an, dass die Botschaften entworfen wurden, um Verdacht zu reduzieren: eine Kombination aus Management-Supplanting, Lieferantenmarken und simulierten vorherigen Gesprächen. Darüber hinaus gibt es Beweise (nach Microsoft) der Verwendung von generischen IA-Tools zur Herstellung von großformatigen benutzerdefinierten Vorlagen und Texten.

Wie die Passkey- und Cloud Access Kampagne (Campaign 2) technisch funktioniert Die erste Phase ist die Vorforschung: Sammlung öffentlicher Informationen über Mitarbeiter und Organisationsstruktur. Dann kommt direktes Social Engineering per Telefon oder SMS an die persönliche Nummer des Mitarbeiters gerichtet, so dass er glauben, dass es von Hilfe-Desk kommt, um eine Passkey oder SSO-Konfiguration zu aktualisieren. Die Opfer werden auf falsche Websites umgeleitet, die Microsofts Login-Erfahrung nachahmen; durch AitM (Adversary-in-the-middle) oder Vize-Code Phishing fließt der Schauspieler erhält den Benutzer Zugriff zu autorisieren oder einen Fluss zu vervollständigen, der es dem Angreifer erlaubt, sich einzuloggen, ohne das Passwort direkt zu stehlen. Nach dem ersten Zugriff registriert der Schauspieler MFA-Methoden unter seiner Kontrolle (Telefonnummer, Authentifizierungs-App oder Software-Token), um temporären Zugriff in persistente zu konvertieren und Microsoft Graphh API verwenden, um High-Speed-Daten zu erfinden, herunterzuladen und zu filtern, IP-Infrastruktur und Adressen, um Erkennungen zu vermeiden.

Betroffene: mittlere und große Unternehmen mit einer Präsenz in den Vereinigten Staaten. Die USA waren das Ziel von Rechnungsbetrug, vor allem Sektoren wie IT-Dienstleistungen, Konsumgüter, Immobilien und diskrete Fertigung. In der Cloud-Access-Kampagne sind Opfer oft Nutzer mit geschäftlichen oder technischen Rollen mit Zugang zu Ressourcen in Microsoft 365; die Technik ist attraktiv für Akteure, die nach Konten mit Rechten für SharePoint, OneDrive oder sensible Informations-Mailboxen suchen.

Tatsächliche Konsequenzen Im ersten Fall ist das Risiko direktes Finanzmittel: betrügerische Genehmigung von ACH-Transfers und Verlust von Geldern. In der zweiten ist die Bedrohung die Datenexfiltration, Unternehmensspionage und Erpressung Vorbereitung (doppelte Auswirkungen: gestohlene Daten und mögliche Erpressung). Zudem erschwert die Beharrlichkeit durch MFA-gesteuerte Verfahren die Erholung und kann eine seitliche Bewegung innerhalb des Mieters ermöglichen.

Noch unsichere oder geschätzte Aspekte: Während Microsoft einige Aktivitäten zur Verfolgung von Akteuren wie Storm-3121 und UNS6671 und Notizen überschneiden sich mit Community-geprüften Kollektiven, die genaue Beziehung zwischen geteilten Gruppen, Affiliate und Phishing Panels ist nicht vollständig öffentlich bestätigt. Auch gibt es keine konsolidierte öffentliche Anzahl von Konten in der Graphh-Kampagne; Microsoft beschreibt Muster und Fälle, aber der Gesamtumfang des Engagements in Organisationen außerhalb der von dem Unternehmen untersuchten Vorfälle bleibt geschätzt.

Spezifische technische und organisatorische Maßnahmen (was Unternehmen tun sollten): strenge Zahlungskontrollen durchführen: Nicht-Band-Prüfung (call to bekannte number) für begünstigte Änderungen oder Zahlungszulassungen benötigen, Doppelsignatur in ACH-Überweisungen und Gelder bis zur Überprüfung aufbewahren. Bewerben Sie sich verstärkte Authentifizierungsrichtlinien: Blockieren Sie die Registrierung neuer MFA-Methoden ohne administrative Genehmigung, begrenzen Sie die Standard-Telefon- als- MFA-Registrierung und priorisieren Sie Hardware-sichere Faktoren (FIDO2 / Passkeys mit Attestation). Konfigurieren Sie bedingte Zugriffsrichtlinien, um zu beschränken, wo und wie MFA autorisiert werden kann und deaktivieren Sie automatische Registrierungsmethoden für privilegierte Konten. Überwachung und Korrelation von Microsoft Graph-Aktivität: aktive Warnungen nach Massenentdeckungsmustern, nachhaltige Downloads oder Zugriffe von Proxy-Infrastrukturen und Behandlung von Graphh-Anrufen auf aggregierte Weise (Behavior, nicht nur einzelne Anrufe). Verwenden Sie Domain Lock / Monitoring-Listen, die Lieferanten imitieren und Phishing-Prävention Regeln auf dem Mail-Gateway und auf Defender für Office 365 konfigurieren. Revocate Sitzungen und Kraft-Reauthentik nach Erkennung von Änderungen in Authentifizierungsmethoden und führen Rotation von privilegierten Anmeldeinformationen nach Ereignissen.

Besondere Empfehlungen für Mitarbeiter und Finanzabteilungen: Erlauben Sie niemals nur per Post Transfers; wenn eine Rechnung oder eine dringende Bestellung ankommt, bestätigen Sie durch den bekannten Kanal (verified corporate phone). Befolgen Sie keine Links per SMS oder dringende Signale, indem Sie "aktualisieren Sie Ihren Passkey" ohne Überprüfung der IT-Bereich. Wenn Sie einen Help-Desk-Anruf erhalten, der MFA-Änderung fordert, hängen Sie auf und rufen Sie die offizielle interne Nummer an. Fokussierte Schulungen bei der Vereisung und Überprüfung von digitalen Signaturen und Post-Headern können Risiken reduzieren.

Nützliche Ressourcen und zusätzliche Lesung: Microsoft veröffentlicht Analyse und Minderung auf seinem Security-Blog ( Microsoft Security Blog), und öffentliche Agenturen bieten praktische Anleitungen zu Business Email Commitments und Strategien zur Verteidigung gegen Phishing und Identitätsmissbrauch (siehe zum Beispiel den CISA-Leitfaden für BEC https: / / www.cisa.gov / Ressourcen-tools / business-email-compromise) Um Risiken und bewährte Praktiken auf Passkeys zu verstehen, bietet das UK National Cybersecurity Centre eine nützliche Einführung: https: / / www.ncsc.gov.uk / Anleitung / passkeys-starters-guide.

Kurz gesagt, diese Vorfälle zeigen zwei konvergente Trends: die Nutzung der legitimen Infrastruktur und die Kapazität der Lieferung, um Postkontrollen zu umgehen, und die Raffinesse der Sozialtechnik, die auf den Abbau moderner Authentifizierungsmechanismen abzielt. Um die Wahrscheinlichkeit und Wirkung dieser Kampagnen zu verringern, ist eine Mischung von technischen Kontrollen (Blockungen auf MFA-Registrierung, Graph-Überwachung, strenge Zahlungsrichtlinien) und menschlichen Prozessen (off-band-Verifikation und gezielte Schulungen bei der Betrachtung und gezielte Phishing) erforderlich.