Microsoft Entra ID: Kaspersky wehrt mehr als 31.000 Betrugs-Mails ab

Sicherheitsexperten von Kaspersky haben zwischen dem 1. August und dem 18. September 2026 mehr als 31.000 betrügerische E-Mails abgewehrt, die offizielle Authentifizierungsdienste von Microsoft für Cyberangriffe ausnutzten. Wie das Unternehmen analysierte, missbrauchten die Angreifer dabei legitime Adressen wie login.microsoftonline.com, um Empfänger auf Schadseiten oder zu Malware-Downloads weiterzuleiten.

Kaspersky veröffentlichte dazu am 7. Oktober 2026 detaillierte Befunde über den Missbrauch von OAuth-Weiterleitungen im Identitätsdienst Microsoft Entra ID. Wie aus den Sicherheitsberichten hervorgeht, umgehen die Cyberkriminellen gängige Sicherheitsfilter, indem sie echte Microsoft-Infrastruktur als Sprungbrett für ihre Täuschungsversuche vorschalten.

Ausnutzung von Microsoft Entra ID und Fehlerumleitungen

Für die Angriffe registrierten die Täter nach Angaben von Kaspersky zunächst ein reguläres Microsoft-Konto und erstellten anschließend eine eigene Anwendung im Microsoft Entra Admin Center. In dieser Konfiguration hinterlegten sie eine sogenannte Redirect-URI, die direkt auf ihre bösartige Zielseite verwies.

Im Anschluss versendeten die Angreifer Microsoft-Weiterleitungslinks mit der zugehörigen Anwendungs-Identifikationsnummer (Application ID). Durch Parameter wie „prompt=none“ und die Angabe ungültiger Berechtigungsbereiche (Scope) provozierte das System bei Nutzern mit aktiver Microsoft-Sitzung einen Fehler.

Statt eines regulären Logins leitete Microsoft Entra den Webbrowser daraufhin automatisch samt Fehlercode an die vom Angreifer hinterlegte Adresse weiter.

Angesichts immer raffinierterer Täuschungsmanöver in der digitalen Kommunikation wird der Schutz der eigenen Konten immer wichtiger. Dieser kostenlose Ratgeber zeigt, wie Sie Passkeys bei Diensten wie Microsoft oder WhatsApp einrichten, um Hackern keine Chance mehr zu lassen. Passkeys als sichere Alternative jetzt kostenlos entdecken

Andrey Kovtun, Manager der Email Threats Protection Group bei Kaspersky, erklärte dazu, dass betrügerische Links hierbei nicht im Namen des Unternehmens gefälscht, sondern über dessen offizielle Dienste ausgeliefert werden, was die Glaubwürdigkeit bei den Opfern massiv steigere.

Missbrauch legitimer Verifizierungsmails

Neben manipulierten OAuth-Links beobachtete Kaspersky eine zweite Angriffsmethode: Hierbei erstellten die Kriminellen eigene Test-Tenants mit Trial-Lizenzen bei Microsoft. Als Organisationsnamen hinterlegten sie gezielte Ködertexte.

Indem sie die E-Mail-Adresse des potentiellen Opfers als Backup-Postfach für das neu erstellte Konto angaben, veranlassten sie Microsoft dazu, eine echte, automatisierte Verifizierungsnachricht an das Ziel auszulösen. Diese offizielle Systemnachricht enthielt dann den bösartigen Ködertext der Angreifer.

Wer sich mit der Sicherheit von Unternehmensdaten befasst, sollte die psychologischen Manipulationstaktiken moderner Cyberkrimineller kennen. Ein spezialisiertes Anti-Phishing-Paket liefert wertvolle Einblicke und praktische Schritte, um gefälschte Systemnachrichten und Betrugsversuche effektiv zu stoppen. Kostenloses Anti-Phishing-Paket jetzt herunterladen

Als thematische Aufhänger nutzte die Angriffswelle laut Kaspersky unter anderem gefälschte Benachrichtigungen zu E-Signaturen, angebliche Aufzeichnungen von Teams-Meetings, Benachrichtigungen zum Zurücksetzen von Microsoft-365-Kennwörtern sowie politische Themen. Teilweise setzten die Täter auch präparierte PDF-Anhänge ein und übertrugen die Zieladresse des Opfers im Parameter für den Systemstatus.

Nach Einschätzung von Kaspersky zielen diese Kampagnen auf sämtliche Organisationen ab, die Microsoft 365 nutzen. Insbesondere Unternehmen, die sich primär auf die Reputationsprüfung von Webadressen verlassen, seien gefährdet, da die Authentifizierungs-Domains von Microsoft bei Filtern als vertrauenswürdig eingestuft werden.

de | wissenschaft | 70325768 |