Betrüger haben einen Weg gefunden, Phishing-E-Mails direkt von msonlineservicesteam@microsoftonline.com zu versenden, derselben Adresse, die Microsoft für legitime Sicherheitswarnungen wie Zwei-Faktor-Authentifizierungscodes nutzt. Nach Angaben von TechCrunch hat die Anti-Spam-Organisation The Spamhaus Project bestätigt, dass der Missbrauch bereits seit "mehreren Monaten" aktiv ist und von einer Adresse ausgeht, die Microsoft normalerweise nur für kritische Kontobenachrichtigungen reserviert.
Für Unternehmen, die Email-Marketing-Kampagnen durchführen, hat das Auswirkungen, die über Cybersecurity hinausgehen. Wenn eine vertrauenswürdige Absenderadresse mit Spam assoziiert wird, erodiert das das Vertrauen der Empfänger in den gesamten E-Mail-Kanal, einschließlich Ihrer legitimen Kampagnen.
Wie der Exploit funktioniert
Der Angriff basiert nicht auf einem Bruch in Microsofts Servern oder einer Softwareschwachstelle. Nach Sicherheitsforschern von Abnormal AI basiert der Angriff nicht auf einem kompromittierten Konto oder einem Code-Fehler. Stattdessen nutzt er Standard-Konfigurationsoptionen von Tenants, speziell das Feld "Tenant-Name", um betrügerische Meldungen direkt in eine System-Benachrichtigungsvorlage einzuschleusen.
Das praktische Ergebnis ist technisch beunruhigend. Da die E-Mail von Microsofts eigenen hochreputierten Servern stammt, besteht sie authentisch die SPF-, DKIM- und DMARC-Prüfungen und umgeht damit sichere E-Mail-Gateways, die auf Sender-Authentifizierung setzen. Mit anderen Worten: Die Standard-Technologien, auf die Email-Marketer und IT-Teams verlassen, um schädliche Nachrichten zu filtern, flaggen diese Meldungen einfach nicht.
Abnormal AI analysierte 2.000 einzigartige Nachrichten über mehr als 250 missbrauchte Microsoft 365 Tenants und fand eine hochorganisierte "Burn-and-Churn"-Operation, bei der Angreifer die Erstellung wegwerfbarer Tenants automatisieren, um Angriffe mit spezifischen Vermeidungstechniken durchzuführen. Eine Taktik, die Abnormal AI "Subject Line Hijack" nennt, injiziert 60 oder mehr Zeichen von Betrügertexten in das Tenant-Name-Feld, um legitimen Systemtext von der Anzeige zu verdrängen, kombiniert mit Unicode-Zeichenersetzungen, um optische Zeichenerkennung und Keyword-Blocker zu umgehen.
Wie der Spam tatsächlich aussieht
Einige dieser E-Mails haben Betreffzeilen, die offiziellen Betrugswarnungen ähneln, während andere behaupten, dass eine private Nachricht auf einer Web-Adresse im E-Mail-Text auf den Empfänger wartet. In mindestens einem erfassten Beispiel, das auf Spam-Meldungsplattformen gemeldet wurde, wurde eine Nachricht von msonlineservicesteam@microsoftonline.com mit einer Betreffzeile gesendet, die behauptete, eine PayPal-Bitcoin-Bestellung von 699,99 USD sei erkannt worden.
Winbuzzer berichtet, dass Spamhaus den Anpassungspfad kritisierte, der dies ermöglicht, und erklärte: "Automatisierte Benachrichtigungssysteme sollten diese Art von Anpassungen nicht zulassen."
Laut Berichten richten Betrüger anscheinend neue Microsoft-Konten ein, als würden sie neue Kunden sein, und nutzen diesen Zugang, um E-Mails zu versenden, die scheinbar von Microsoft selbst stammen. Microsoft scheint das Problem bisher noch nicht gelöst zu haben.
Die breitere Phishing-Landschaft 2026
Dieser Vorfall steht nicht isoliert da. Winbuzzer berichtet, dass Microsoft im ersten Quartal 2026 allein 8,3 Milliarden Email-basierte Phishing-Bedrohungen erkannt hat, wobei 78% dieser Bedrohungen als Link-basiert klassifiziert wurden, was erklärt, warum eine vertrauenswürdige Benachrichtigungsadresse für Angreifer so wertvoll ist, die böswillige URLs pushen.
Das Muster des Missbrauchs legitimer Infrastruktur beschleunigt sich. Der Microsoft Security Blog hat Kampagnen dokumentiert, bei denen bösartige, aber standardskonforme Anwendungen legitime Fehlerbehandlungsabläufe missbrauchen, um Benutzer von vertrauenswürdigen Identitätsanbietern zu von Angreifern kontrollierten Infrastrukturen umzuleiten, und vermerkt, dass Angreifer zunehmend Vertrauensbeziehungen und Protokollverhalten angreifen, wenn Organisationen ihre Abwehr gegen Credential-Diebstahl verstärken.
Separat dokumentiert SC Media, wie Angreifer Amazon SES, einen weiteren legitimen und vertrauenswürdigen Dienst, nutzen, um bösartige E-Mails zu versenden, die SPF-, DKIM- und DMARC-Prüfungen umgehen. Der Exploit von Microsofts Benachrichtigungsadresse ist Teil einer systematischen Verschiebung hin zur Nutzung der Infrastruktur vertrauenswürdiger Marken als Lieferkanal.
Was das für Email-Marketer und Business Owner bedeutet
Die Auswirkungen auf die Zustellbarkeit gehen in zwei Richtungen. Erstens werden Ihre Empfänger gerade jetzt trainiert, Mails von bekannten Absendern zu misstrauen. Wenn sich eine legitim aussehende Microsoft-Sicherheitsmitteilung als Spam herausstellt, werden Empfänger skeptischer gegenüber allen automatisierten E-Mails, einschließlich Ihrer Transaktionsmails und Newsletter.
Zweitens geht die technische Lektion zum Kern, wie Email-Authentifizierung tatsächlich funktioniert. Abnormal AI verdeutlicht den Punkt: Das Erkennen und Blockieren dieser Art von Missbrauch erfordert, über die Absenderadresse oder Authentifizierungsergebnisse hinauszugehen, um die wahre Absicht und den Kontext des Nachrichteninhalts zu verstehen, auch wenn er von einer vertrauenswürdigen Quelle wie Microsoft stammt.
Winbuzzer skizziert das Dilemma, vor dem Administratoren und Benutzer stehen: Das komplette Blockieren der Absenderadresse könnte auch legitime Passwort-Zurücksetzer, Anmeldewarnungen und andere normale Wiederherstellungsmails unterbrechen, wodurch eine einfache Phishing-Abwehr zur Wahl zwischen strengerer Filterung und normalem Kontenzugriff wird.
Für Teams, die Email-Programme betreiben, sind mehrere praktische Schritte jetzt relevant:
- Überprüfen Sie Ihre Zulassungslisten. Die meisten Organisationen haben Zulassungslistenregeln, um Filtering für E-Mails von
msonlineservicesteam@microsoftonline.comzu umgehen und sicherzustellen, dass Mitarbeiter legitime MFA-Codes erhalten. Überprüfen Sie, ob dieses pauschale Vertrauen angesichts der aktuellen Bedrohung noch angemessen ist. - Wechseln Sie zu verhaltensbasierter Erkennung. Statische Zulassungslisten reichen nicht mehr aus. Organisationen sollten verhaltensbasierte Ansätze einführen, die lernen, wie normale Systembenachrichtigungen für jeden Tenant aussehen, und Anomalien kennzeichnen.
- Erzwingen Sie DMARC mit
p=reject. Red Sift weist darauf hin, dass effektive Email-Sicherheit 2026 die Durchsetzung von Domain-Level-Richtlinien erfordert, und dass DMARC mitp=rejectdie wirkungsvollste Kontrolle ist, um Domain-Spoofing und Brand-Impersonation im Maßstab zu stoppen. - Schulen Sie Ihr Team. Der Microsoft Security Blog empfiehlt, in Benutzertraining und Phishing-Simulationen zu investieren, einschließlich der Simulation von Phishing-Nachrichten in realistischen Angriffsszenarien.
Winbuzzer bestätigt, dass öffentlich unklar bleibt, ob Microsoft den missbrauchten Benachrichtigungskanal bereits gesperrt hat. Bis das geschehen ist, behandeln Sie jede Microsoft-Benachrichtigungs-E-Mail, die finanzielle Dringlichkeit, Aufforderungen, eine Support-Nummer anzurufen, oder Links zu Nicht-Microsoft-Domains enthält, als Warnsignal, unabhängig davon, was die Absenderadresse zeigt.
