Phishing-Kampagnen, die sich gegen Microsoft-365-Nutzer richten, werden immer schwerer zu erkennen, da Angreifer zunehmend auf Microsofts legitime Authentifizierungsinfrastruktur statt auf gefälschte Anmeldeseiten setzen. Laut new research from Check Point , ermöglicht dieser Wandel Bedrohungsakteuren, das Vertrauen der Nutzer in Microsofts Dienste zu nutzen, während viele der Anzeichen, die traditionell mit Phishing-Websites assoziiert werden, vermieden werden.
Anstatt zu versuchen, Benutzernamen und Passwörter über gefälschte Anmeldeseiten zu stehlen, missbrauchen die beobachteten Kampagnen Microsofts Gerätecode-Authentifizierungsprozess – eine Funktion, die für Geräte entwickelt wurde, die keine vollständige Anmeldeoberfläche leicht anzeigen oder komplexe Benutzereingaben akzeptieren können. Da Opfer während des Anmeldeprozesses auf authentische Microsoft-Domains verwiesen werden, sind sie weniger wahrscheinlich, die Anfrage zu hinterfragen, und Sicherheitsmaßnahmen, die auf der Identifizierung betrügerischer Webseiten basieren, haben möglicherweise weniger Möglichkeiten zum Eingreifen.
Check Point stellte fest, dass Angreifer potenzielle Opfer zuerst über Phishing-E-Mails kontaktieren, die als legitime Geschäftskommunikation erscheinen sollen. Anstatt die Empfänger zu bitten, ein Konto zu verifizieren oder ein Passwort zurückzusetzen, ermutigen die Nachrichten sie, einen scheinbar routinemäßigen Authentifizierungsschritt durchzuführen. Das Opfer wird angewiesen, einen Gerätecode über Microsofts echtes Anmeldeportal einzugeben, ohne zu wissen, dass eine vom Angreifer initiierte Sitzung und nicht eine mit seinem eigenen Gerät verknüpfte Sitzung autorisiert wird.
Sobald die Genehmigung erteilt wurde, kann der Angreifer Authentifizierungstoken erhalten, die Zugang zur Microsoft-365-Umgebung des Opfers ermöglichen, ohne das Passwort des Kontos zu benötigen. Je nach erteilten Berechtigungen und Kontokonfiguration kann dieser Zugriff es dem Bedrohungsakteur ermöglichen, E-Mails einzusehen, mit Cloud-Ressourcen zu interagieren und den Zugriff zu behalten, bis die ausgestellten Token ablaufen oder widerrufen werden.
Die Forschung zeigt, wie sich diese Technik von herkömmlichem Phishing unterscheidet. Anstatt die Fähigkeit eines Nutzers, eine gefälschte Website zu erkennen, zu untergraben, nutzen die Angreifer eine legitime Funktion genau so aus, wie sie eigentlich funktionieren sollte, wodurch die Social-Engineering-Komponente des Angriffs weitaus wichtiger ist als technische Täuschung. Daher könnten Nutzer glauben, sie würden sich bei einer normalen Microsoft-Anmeldung anmelden, weil jede Seite, auf die sie stoßen, Microsoft gehört.
Laut Check Point spiegelt die zunehmende Nutzung vertrauenswürdiger Cloud-Dienste bei Phishing-Operationen eine breitere Entwicklung der Cyberkriminalität wider. Da Organisationen ihre Fähigkeit verbessern, gefälschte Domains und geklonte Login-Portale zu erkennen, verlagern sich Angreifer zunehmend darauf, legitime Plattformen und Authentifizierungsworkflows zu missbrauchen, um dasselbe Ziel zu erreichen und gleichzeitig die Wahrscheinlichkeit einer Erkennung zu verringern.
Die Forscher empfehlen, dass Organisationen das Bewusstsein für Gerätecode-Phishing unter den Mitarbeitern erhöhen und die Authentifizierungsaktivität auf unerwartete Geräteautorisierungen genau überwachen. Nutzer sollten vorsichtig sein, wenn sie unerwünschte Anfragen erhalten, einen Gerätecode einzugeben, selbst wenn die Anmeldeseite auf einer echten Microsoft-Domain gehostet wird. Sicherheitsteams sollten auch tokenbasierte Authentifizierungsereignisse überprüfen und ungewöhnliche Autorisierungsaktivitäten untersuchen, da das Fehlen einer gefälschten Website nicht mehr garantiert, dass eine Anmeldeanfrage legitim ist.