Security · 30.9.2026
Eine neue Phishing-Welle zielt auf Führungskräfte ab, um Microsoft-365-Sitzungen zu übernehmen und legitime Fernwartungstools für dauerhaften Zugriff zu missbrauchen.
Eine gezielte Phishing-Kampagne nimmt derzeit gezielt Führungskräfte (C-Suite) ins Visier, um deren Microsoft-365-Sitzungen zu stehlen. Sicherheitsanalysten von ANY.RUN beobachteten Angriffe, bei denen Sitzungs-Token entwendet und anschließend legitime Remote-Monitoring-und-Management-Tools (RMM) im Netzwerk der Opfer installiert wurden. Durch diese Kombination umgehen die Angreifer klassische Sicherheitsvorkehrungen und sichern sich einen dauerhaften, unauffälligen Fernzugriff auf die Unternehmensinfrastruktur.
Obwohl die analysierten Angriffe primär auf Organisationen in den USA abzielten, stellt diese Taktik eine unmittelbare Bedrohung für Unternehmen im DACH-Raum dar. Da viele hiesige Betriebe ebenfalls intensiv Microsoft 365 nutzen, ist das Risiko von Session-Hijacking hoch. Die Methode ist besonders tückisch: Ist das Sitzungs-Token erst einmal gestohlen, nützt auch eine herkömmliche Zwei-Faktor-Authentisierung (2FA) via SMS oder App nichts mehr, da die Anmeldung bereits als legitim gilt. Der anschließende Missbrauch von legitimen RMM-Werkzeugen erschwert zudem die Erkennung durch Endpoint-Detection-and-Response-Systeme (EDR), da diese Tools im Administrator-Alltag häufig regulär eingesetzt werden.
Um sich gegen diese hochentwickelten Angriffe zu schützen, müssen Administratoren und IT-Verantwortliche ihre Sicherheitsrichtlinien anpassen. Zu den wichtigsten Maßnahmen gehören:
Der Diebstahl von Microsoft-365-Sitzungen in Kombination mit dem Missbrauch legitimer Administrationswerkzeuge zeigt, dass herkömmliche Sicherheitsgrenzen verschwimmen. Nur durch ein mehrschichtiges Sicherheitskonzept, das auf identitätsbasierter Abwehr und proaktiver Verhaltensanalyse beruht, können Unternehmen im DACH-Raum solche Angriffe effektiv abwehren.
Quelle: The Hacker News