Darum gehts
- Das Bacs warnt vor einer weltweiten Phishing-Welle über Microsoft-Systeme
- Betrüger umgehen Zwei-Faktor-Authentifizierung mit gefälschten Login-Seiten
- Angreifer verschickten über 600 Phishing-Mails nach einer Kontoübernahme
Die E-Mail sieht unverdächtig aus. Ein Arbeitskollege teilt ein Dokument über Sharepoint – Microsofts Plattform für den Dateiaustausch in Firmen. Der Link führt tatsächlich zum Hersteller. Man erhält einen Sicherheitscode, tippt ihn ein. Alles ganz normal. Doch dann schnappt die Falle zu.
Das Bundesamt für Cybersicherheit (Bacs) warnt aktuell vor einer weltweiten Phishing-Welle. Auch Schweizer Firmen und Privatpersonen sind betroffen. Das Gemeine: Die Betrüger nutzen echte Microsoft-Systeme für ihren Angriff.
So funktioniert die Masche
Am Anfang steht ein gekapertes Konto. Cyberkriminelle übernehmen das Microsoft-Konto einer beliebigen Person und laden damit ein präpariertes Dokument auf Sharepoint hoch. Dann teilen sie es mit potenziellen Opfern. Microsoft verschickt daraufhin automatisch eine Benachrichtigung. Das E-Mail, das bei den Opfern landet, ist also keine Fälschung.
Wer auf den Link klickt, landet auf dem echten Sharepoint und sieht das geteilte Dokument. Doch statt einer PDF-Datei wartet dort nur ein Bild mit einem weiteren Link: «Hier klicken für das PDF.» Und genau hier wird es gefährlich. Denn dieser Link führt auf eine gefälschte Login-Seite. Während das Opfer dort sein Passwort eingibt, loggen sich die Angreifer im Hintergrund gleichzeitig mit den Angaben bei Microsoft ein. Das Opfer erhält den Zwei-Faktor-Code, tippt ihn auf der Fake-Website ein, und die Betrüger fangen ihn in Echtzeit ab. Damit wird die Zwei-Faktor-Authentisierung ausgehebelt. Innerhalb von Sekunden ist das Konto gekapert. Der Bund nennt das «Real-Time-Phishing».
Das sagt Microsoft dazu
Microsoft kennt das Problem. In einem aktuellen Sicherheitsbericht beschreibt der Konzern einen Fall aus der Energiebranche. Nach der Übernahme eines Kontos verschickten die Angreifer über 600 Phishing-Nachrichten an dessen Kontakte. Die Attacke breitete sich so wie eine Lawine auf mehrere Unternehmen aus.
Besonders tückisch: Die gelernten Faustregeln gegen Phishing greifen hier nicht mehr. «Prüfe den Absender» – dieser ist echt. «Schau auf die URL» – diese führt im ersten Schritt tatsächlich zu Microsoft. Und «achte auf Rechtschreibfehler» – gibt es keine, KI übersetzt heute nahezu fehlerfrei. Das Bacs empfiehlt: Passwörter nie über Links aus E-Mails eingeben. Bei unerwarteten Dokumenten den Absender über einen anderen Kanal kontaktieren, etwa per Telefon. Und: Mitarbeitende regelmässig über neue Maschen informieren.
Wer bereits in die Falle getappt ist, muss mehr tun als nur das Passwort ändern. Microsoft warnt, dass Angreifer oft Posteingangsregeln erstellen, um ihre Spuren zu verwischen. Betroffene sollten deshalb aktive Sitzungen beenden, verdächtige Regeln löschen und ihre Zwei-Faktor-Einstellungen überprüfen.