Mit Passkeys verliert Credential Stuffing an Effizienz, weshalb Angreifer auf schwächer geschützte Verifikationsstufen ausweichen und CISOs diese nachgelagerten Phasen stärker absichern müssen.
Angreifer nutzen den echten Microsoft-Authentifizierungsfluss als Angriffsvehikel und umgehen damit klassische Anti-Phishing-Kontrollen durch sozialtechnische Köder.
Angreifer missbrauchen Microsofts Device-Code-Flow durch Phishing-Köder, um legitime Authentifizierungsabläufe auszunutzen und so M365-Konten zu kompromittieren.
Vier ManageEngine-Produkte enthalten eine kritische Schwachstelle, die Angreifern ohne Authentifizierung Account-Übernahmen über manipulierte SSO-Mechanismen ermöglicht.
Russische Nachrichtendienstler phishen nicht nur Signal-Konten, sondern auch deren Backup-Recovery-Keys — ein einmalig erbeuteter Schlüssel ermöglicht dauerhaften Zugriff auf alle Nachrichten und Kontoübernahme.
Phishing und Session-Hijacking machen Account-Übernahmen zur Standardbedrohung; Device Trust und kontinuierliche Verifizierung reduzieren das Risiko deutlich.
EvilTokens missbraucht OAuth 2.0-Geräteflows, um 2FA-geschützte Microsoft-365-Konten zu kompromittieren, indem es Nutzer zur Autorisierung von Geräten täuscht.
Eine deaktivierte Authentifizierungsschutzmaßnahme in Microsoft-Office-Apps für Android eröffnet Angreifern den Zugriff auf Microsoft-365-Konten und Daten.
