Auf den Punkt: Eine Phishing-Kampagne umgeht klassische Login-Spoofing-Erkennung, indem sie Opfer über die echte Microsoft-Anmeldeseite zur Erteilung von OAuth-Berechtigungen an eine angreiferkontrollierte App verleitet.
Check Point Research hat eine Phishing-Kampagne identifiziert, die über 200 E-Mails an Mitarbeitende von rund 120 Organisationen weltweit versendet hat. Statt einer gefälschten Login-Seite nutzten die Angreifer die legitime Microsoft-Anmeldung, um Opfer zur Freigabe von Berechtigungen für eine bösartige Anwendung zu bewegen.
Nach Angaben von Check Point Research wurden mehr als 200 Phishing-E-Mails an Beschäftigte von rund 120 Organisationen weltweit verschickt. Der zentrale Unterschied zu klassischen Credential-Phishing-Angriffen: Die Kampagne verzichtete auf eine nachgebaute, gefälschte Microsoft-Login-Seite. Stattdessen wurden die Opfer direkt auf die echte Microsoft-Anmeldeseite weitergeleitet. Im Anschluss an die reguläre Authentifizierung forderte die Kampagne die Nutzer auf, einer von den Angreifern kontrollierten Anwendung Zugriffsberechtigungen zu erteilen.
Für CISOs ist diese Vorgehensweise relevant, weil sie gängige Abwehrmechanismen unterläuft. Klassische Anti-Phishing-Filter und Awareness-Trainings sind häufig darauf ausgelegt, gefälschte Domains, abweichende URLs oder untypische Login-Formulare zu erkennen. Da hier die tatsächliche Microsoft-Infrastruktur zum Einsatz kommt, entfallen viele dieser Erkennungsmerkmale. Der Angriff verlagert sich vom Diebstahl von Zugangsdaten auf den Missbrauch von OAuth-Consent-Mechanismen: Nutzer authentifizieren sich korrekt, erteilen aber im nächsten Schritt einer schädlichen Drittanwendung Berechtigungen, etwa auf Postfächer, Dateien oder andere über Microsoft Graph zugängliche Ressourcen.
Für die Praxis bedeutet dies, dass Organisationen ihre Kontrollen um Application-Consent-Richtlinien in Entra ID (vormals Azure AD) ergänzen sollten. Dazu zählen die Einschränkung von nutzerseitigem Consent auf verifizierte Publisher, die Einführung von Admin-Consent-Workflows für neue Anwendungen sowie ein regelmäßiges Audit bereits erteilter App-Berechtigungen. Security-Teams sollten zudem Monitoring-Regeln etablieren, die ungewöhnliche OAuth-Grant-Aktivitäten erkennen, da diese in klassischen Login-Logs unauffällig erscheinen können.
Quelle: www.security-insider.de · Erschienen 5. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.