Microsoft: Gefälschte IT-Helpdesk-Anrufe hebeln Passkeys aus

Der Anruf klingt harmlos: Jemand aus der IT möchte, dass Sie die Einrichtung Ihres Passkeys abschließen, und zwar dringend. In einem am 9. September veröffentlichten Bericht beschreibt Microsoft Security Research genau diesen Anruf als ersten Zug einer Serie von Cloud-Angriffen, die das Unternehmen nach eigenen Angaben seit Mai 2026 verfolgt.

Laut Microsoft nehmen die Angreifer zunächst telefonisch Kontakt auf und schicken anschließend einen Link – häufig per SMS an die private Mobilnummer – zu einer Seite, die nach Formulierung des Unternehmens "einer legitimen Microsoft-Anmeldung stark ähnelt". Manche Links kommen stattdessen als Teams-Nachricht von Kolleginnen und Kollegen, deren Konten bereits übernommen wurden. Microsoft berichtet zudem von Domains nach Mustern wie company-name.integratedsso[.]com.

Der Passkey-Rahmen ist dabei vor allem eine Erzählung des Anrufers. "Trotz der häufigen Verwendung passkey-bezogener Köder ist die Passkey-Registrierung oft nicht das eigentliche Ziel des Akteurs", schreibt Microsoft. Was die gefälschte Seite tatsächlich ausführt, ist Adversary-in-the-Middle-Phishing oder ein Device-Code-Anmeldefluss – beides liefert dem Angreifer eine funktionierende Sitzung statt eines Passworts. Die Täter recherchieren ihre Ziele laut Microsoft vorab und sammeln "vermutlich Informationen über Beschäftigte und Organisationsstrukturen aus öffentlichen Quellen wie sozialen Netzwerken und beruflichen Profilplattformen".

Das ist deshalb relevant, weil Passkeys und MFA-Abfragen breit als phishing-resistent vermarktet werden – kryptografisch sind sie das auch. Microsofts Darstellung zielt auf den Schritt daneben: den Menschen, der zur Bestätigung überredet wird. Ist der Zugang erst da, machen die Angreifer ihn dauerhaft, indem sie laut Microsoft "eine MFA-Methode unter ihrer Kontrolle registrieren, typischerweise eine neue Telefonnummer, eine Authenticator-App oder ein softwarebasiertes Einmalpasswort-Token (OTP)". Danach durchsuchen sie über Microsoft Graph Nutzer, Gruppen, Berechtigungen, Sites und Postfachinhalte, bevor sie in großem Umfang aus SharePoint Online und OneDrive for Business herunterladen; einzelne Vorfälle reichen über REST-APIs bis in Exchange Online. Ein von Microsoft genannter Automatisierungsfingerabdruck ist der User Agent python-httpx bei Zugriffen mit hohem Volumen.

Den Erstzugriff schreibt Microsoft den Gruppen Storm-3121, die das Unternehmen mit ShinyHunters- und Falcon-Erpressung verbindet, sowie Storm-3032 zu, die sich demnach von der BlackFile-Gruppe abgespalten hat und nun unter der Erpressungsmarke Helix auftritt. Empfohlen werden phishing-resistente MFA über Conditional Access, das Widerrufen aktiver Sitzungen und Refresh-Tokens bei bestätigter Kompromittierung, aktivierte Microsoft-Graph-Aktivitätsprotokolle und Postfachüberwachung sowie Schulungen gegen Voice-Phishing, das auf die MFA-Registrierung zielt.

Davon getrennt – und Microsoft stellt es ausdrücklich als eigene Kampagne dar – berichtete The Hacker News am 13. September, das Unternehmen habe zudem mehr als eine Million betrügerische E-Mails offengelegt, die zwischen dem 3. und 5. August 2026 verschickt wurden. Die Absender gaben sich als CEOs aus und forderten ACH-Überweisungen für erfundene ServiceNow-Abonnements, überwiegend bei US-Unternehmen aus IT-Dienstleistungen, Konsumgütern, Immobilien und der Fertigung.

Offen bleibt, wie groß die Passkey-Kampagne ist. Der Bericht nennt keine betroffenen Organisationen und keine Zahl kompromittierter Konten. Die eigentliche Frage ist damit, ob die Masche auf die hier genannten Erpressergruppen beschränkt bleibt oder zum Standardweg um MFA herum wird.