Eine Phishing-Kampagne gegen über 340 Microsoft 365-Organisationen in den USA, Kanada, Australien, Neuseeland und Deutschland ist seit dem 19. Februar 2026 aktiv, mit neuen Fällen, die sich beschleunigen. Am 6. April veröffentlichte der Microsoft Security Blog eine detaillierte Analyse der Operation, die generative KI und vollständige End-to-End-Automatisierung nutzt, um Business-E-Mail-Konten in einem Ausmaß zu kompromittieren, das frühere Gerätecode-Angriffe nie erreichten. Für Marketing- und Growth-Teams, die auf Microsoft 365 für tägliche E-Mail-Operationen angewiesen sind, ist die Bedrohung unmittelbar: gestohlene Token werden für E-Mail-Exfiltration und Persistenz verwendet, oft durch böswillige Posteingangsregeln, die Kommunikationen umleiten oder verbergen.
Was macht diesen Angriff anders
Gerätecode-Authentifizierung ist ein legitimer OAuth-Flow, der für Geräte mit begrenzten Schnittstellen konzipiert ist, wie Smart-TVs oder Drucker. Bei diesem Modell wird einem Benutzer ein Kurzcode präsentiert und er wird angewiesen, diesen in einem Browser auf einem separaten Gerät einzugeben, um die Authentifizierung abzuschließen. Bedrohungsakteure haben diese Eigenschaft ausgenutzt, um traditionelle MFA-Schutzmaßnahmen zu umgehen, indem sie die Authentifizierung von der ursprünglichen Sitzung entkoppeln.
Was diese Kampagne von 2026 von früheren Versuchen unterscheidet, ist die KI-Schicht. Diese Kampagne entfernt sich von statischen, manuellen Skripten zu einer KI-gesteuerten Infrastruktur mit mehreren End-to-End-Automatisierungen. Die kritische technische Innovation ist die dynamische Code-Generierung: bei älteren, statischen Phishing-Versuchen würde der Bedrohungsakteur einen vorgenerierten Code in die E-Mail einfügen, was nur ein enges Erfolgsfenster schafft. Der Zielbenutzer musste die E-Mail öffnen, durch Umleitungen navigieren und die Authentifizierung all das abschließen, bevor der standardmäßige 15-Minuten-Timer abgelaufen ist. Wenn der Benutzer die E-Mail erst 20 Minuten nach dem Versand öffnete, würde der Angriff automatisch fehlschlagen.
Die dynamische Code-Generierung umgeht das 15-Minuten-Ablauf-Fenster, indem sie die Code-Generierung genau in dem Moment auslöst, in dem der Benutzer mit dem Phishing-Link interagiert, und gewährleistet, dass der Authentifizierungsflow gültig bleibt. Sobald ein Opfer den Code auf Microsofts legitimer Anmeldeseite eingibt, erbt die Sitzung des Angreifers die Berechtigungen des Benutzers, umgeht MFA und erreicht persistenten Zugriff.
Umfang und Geschwindigkeit der Kampagne
Die Zahlen sind bemerkenswert. "Seit dem 15. März 2026 haben wir beobachtet, dass jeden Tag 10 bis 15 distinct Kampagnen gestartet werden," sagte Tanmay Ganacharya, VP of Security Research bei Microsoft, gegenüber The Register. "Jede Kampagne wird im großen Stil verteilt und targeting Hunderte von Organisationen mit hochgradig variierten und einzigartigen Payloads, was pattern-basierte Erkennung schwieriger macht."
Bau, Nonprofit-Organisationen, Immobilien, Fertigung, Finanzdienstleistungen, Gesundheitswesen, Jura und Regierung gehören zu den prominenten Zielsektoren. Kein Sektor ist tabu. Die Werkzeuge hinter der Kampagne, EvilTokens, werden seit Mitte Februar 2026 als Phishing-as-a-Service-Kit verkauft und ermöglichen es Käufern, MFA zu umgehen und sich still als das Opfer gegenüber den Microsoft 365-Anwendungen der Organisation zu authentifizieren.
Laut dem französischen Cybersecurity-Unternehmen Sekoia: "EvilTokens bietet ein schlüsselfertiges Microsoft-Gerätecode-Phishing-Kit und eine Reihe fortgeschrittener Funktionen zur Durchführung von BEC-Angriffen, einschließlich Zugriffsbewaffnung, E-Mail-Harvesting, Aufklärungsfähigkeiten, eine eingebaute Webmail-Oberfläche und KI-gestützte Automatisierung."
Wie Angreifer Finanz- und Geschäftsführungskonten targeting
Die Kampagne behandelt alle kompromittierten Konten nicht gleich. Eine Aufklärungsphase findet typischerweise 10 bis 15 Tage vor dem eigentlichen Phishing-Versuch statt. Angreifer nutzen dann KI, um hyperpersonalisierte Phishing-E-Mails zu erstellen, die zur Rolle des Ziels passen, mit Themen wie Angebotsanfragen, Rechnungen und Fertigungsabläufen.
Um automatisierte URL-Scanner und Sandboxes zu umgehen, verlinken Bedrohungsakteure nicht direkt auf die endgültige Phishing-Site. Stattdessen nutzen sie eine Reihe von Umleitungen durch kompromittierte legitime Domains und serverlose Plattformen mit hohem Ansehen. Microsoft beobachtete eine starke Abhängigkeit von Vercel, Cloudflare Workers und AWS Lambda zur Hosting-Umleitung-Logik. Durch die Nutzung dieser Domains vermischt sich Phishing-Traffic mit legitimen Enterprise-Cloud-Traffic und verhindert einfache Domain-Blocklist-Trigger.
Nach der ersten Kompromittierung registrierten Eindringlinge in einigen Fällen neue Geräte innerhalb von 10 Minuten, um ein Primary Refresh Token für langfristige Persistenz zu generieren. In anderen Fällen warteten sie Stunden, bevor sie sensitive E-Mail-Daten stahlen oder Posteingangsregeln erstellten, zum Beispiel Nachrichten mit "Gehalt" oder "Rechnung" in der Betreffzeile weiterleiteten.
Aktivität nach der Kompromittierung zeigt einen konsistenten Fokus auf Finanz-bezogene Personas, mit automatisierter E-Mail-Exfiltration beobachtet in diesen Konten, bestätigte Ganacharya.
Warum Standard-MFA dies nicht stoppt
Das ist der Teil, der die meisten Teams überrascht. Dieser Angriff erntet Microsoft 365-Zugriffstokens ohne dass Opfer Anmeldedaten auf einer Look-alike-Site eingeben müssen, was die Authentifizierungsinteraktion von echter Anmeldung nicht zu unterscheiden macht. Multifaktor-Authentifizierung bietet keinen Schutz: das Opfer schließt die MFA-Herausforderung selbst im Namen des Angreifers ab, und die resultierenden Refresh-Token bleiben auch nach einem Password-Reset bestehen, was Abhilfe erschwert.
Im Gegensatz zum herkömmlichen Credential Harvesting leitet diese Technik Opfer durch legitime Microsoft-Authentifizierungsseiten, was es für Security Operations Center erheblich schwieriger macht, die Kompromittierung in Echtzeit zu erkennen.
Dieser Angriff stellt eine direkte Eskalation der Storm-2372-Kampagne dar, die Microsoft im Februar 2025 dokumentiert hat, die sich auf manuelle Social Engineering über Messaging-Apps und Teams-Einladungen stützte. Die Kampagne von 2026 verlagert sich auf industrialisierte Automatisierung und KI-Integration über Aufklärung, Köder-Generierung, Infrastruktur-Spinning und Ausbeutung hinweg.
Was Business-Teams jetzt tun sollten
Phishing-resistente MFA-Methoden, speziell FIDO2-Hardware-Schlüssel und zertifikatbasierte Authentifizierung, blockieren diesen Angriff, weil sie Authentifizierung an das physische Gerät binden. Standard-TOTP-Codes und Push-Benachrichtigungen nicht.
Der Microsoft Security Blog und unabhängige Analysten empfehlen drei Prioritätsmaßnahmen:
- Gerätecode-Flow in Microsoft Entra ID einschränken. Conditional Access-Richtlinien können den Gerätecode-Authentifizierungsflow für Benutzer blockieren, die keine legitime geschäftliche Notwendigkeit dafür haben.
- Nach Erstellung von Posteingangsregeln nach der Kompromittierung überwachen. Microsoft Defender XDR und Entra ID Protection enthalten jetzt Erkennungen für anomale Gerätecode-Authentifizierung, einschließlich verdächtiger Anmeldungen und Posteingangsregel-Erstellung kombiniert mit Graph API-Aufklärung nach der Kompromittierung.
- Finanz- und Geschäftsführungsteams gezielt trainieren. Rollenspezifische Köder, die reale Arbeitsabläufe, tatsächliche Jobtitel und glaubwürdigen geschäftlichen Kontext referenzieren, sind eine grundlegend andere Bedrohungskategorie als generisches Phishing. Standardisiertes Awareness-Training allein ist nicht ausreichend.
Für jede Organisation, die Microsoft 365 als E-Mail-Rückgrat nutzt, geht die operative Auswirkung eines kompromittierten Posteingangs weit über Datenverlust hinaus. Verfälschte Versendungshistorien, manipulierte Weiterleitungsregeln und gehackte Abrechnungs-Threads können Sender-Reputation und Zustellbarkeit für Monate beschädigen. E-Mail-Sicherheit als Identitätsproblem zu behandeln, nicht nur als Content-Filtering-Problem, ist jetzt eine geschäftskritische Anforderung.
