Auf den Punkt: Eine AitM-Phishing-Kampagne kapert Microsoft-365-Konten über residente Proxys, um gezielt Finanz- und Payroll-Mitarbeitende zu identifizieren und deren E-Mail-Kommunikation abzugreifen.
Sicherheitsforscher warnen vor einer breit angelegten, E-Mail-basierten Phishing-Kampagne, die mittels Adversary-in-the-Middle-Technik (AitM) Microsoft-365-Konten übernimmt. Ziel ist die Identifikation von Mitarbeitenden in Finanzprozessen sowie das systematische Absammeln zugehöriger E-Mail-Korrespondenz.
Die identifizierte Kampagne nutzt AitM-Phishing, um Anmeldedaten und Sitzungscookies von Microsoft-365-Nutzern in Echtzeit abzufangen. Damit umgehen die Angreifer klassische Multi-Faktor-Authentifizierung, da sie die vollständige Session nach erfolgreichem Login übernehmen, statt nur Passwörter zu stehlen. Nach der Kontoübernahme durchsuchen die Angreifer gezielt Postfächer nach Personen, die in Gehaltsabrechnungs- und Finanzworkflows involviert sind, und sammeln entsprechende E-Mail-Kommunikation.
Ein zentrales Merkmal der Kampagne ist der Einsatz residenter Proxys, um bösartige Anmeldevorgänge als gewöhnlichen Consumer-Traffic zu tarnen. Dadurch werden IP-basierte Anomalieerkennungen und geografische Zugriffskontrollen erschwert, da die Anmeldungen scheinbar aus regulären Wohn-IP-Bereichen stammen statt aus bekannten Rechenzentren oder VPN-Ausgängen, die klassische Detektionsregeln typischerweise markieren.
Für CISOs ist relevant, dass diese Kampagne gezielt auf Finanz- und Payroll-Verantwortliche abzielt, mit dem naheliegenden Folgeziel von Business-E-Mail-Compromise (BEC) und betrügerischen Überweisungen oder Gehaltsumleitungen. Die Kombination aus AitM-Technik und residenten Proxys unterläuft viele Standard-Detektionsmechanismen, die auf ungewöhnliche IP-Adressen oder unmögliche Reisezeiten setzen.
Als Gegenmaßnahmen empfiehlt sich der Einsatz phishing-resistenter Authentifizierung wie FIDO2/WebAuthn, die gegen AitM-Angriffe grundsätzlich robuster ist als klassische MFA-Verfahren. Zusätzlich sollten Conditional-Access-Richtlinien verschärft, Sitzungstoken-Lebensdauern verkürzt und das Monitoring auf ungewöhnliche Postfachregeln sowie Zugriffe auf Finanz- und HR-bezogene E-Mails ausgeweitet werden. Eine gezielte Sensibilisierung von Mitarbeitenden in Finanz- und Payroll-Funktionen für diese spezifische Angriffsform ist angeraten.
Quelle: thehackernews.com · Erschienen 7. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.