Cybersecurity-Analysen von Proofpoint zeigen eine deutliche Zunahme von Angriffen, bei denen Angreifer den OAuth-Gerätecode-Autorisierungsablauf von Microsoft 365 missbrauchen. Die Methode verlagert Phishing weg von Passwortdiebstahl hin zur Manipulation vertrauenswürdiger Authentifizierungsverfahren – mit potenziell vollständigem Kontozugriff als Ergebnis.
Foto: Tada Images - stock.adobe.com
Mit Social Engineering verleiten Angreifer Nutzer dazu, sich mit legitimen Anmeldedaten an Anwendungen anzumelden. Der Dienst generiert daraufhin ein Token, das abgefangen und zur Übernahme des Microsoft-365-Kontos genutzt wird. Proofpoint beobachtete solche Abläufe bereits in gezielten Szenarien, inzwischen jedoch in einer deutlich breiteren Streuung. Seit September 2025 registrieren die Analysten weit verbreitete Kampagnen mit Gerätecode-Missbrauch – eine Entwicklung, die als ungewöhnlich beschrieben wird.
Mehrere Bedrohungsakteure setzen laut Analyse derzeit Kampagnen um, darunter der finanziell motivierte Akteur TA2723 sowie die Gruppe UNK_AcademicFlare, die als vermutlich mit Russland verbunden beschrieben wird. Die Angriffe nutzen den legitimen Microsoft-Ablauf zur Geräteautorisierung – per URL-Weiterleitung oder über eingebettete QR-Codes. Dadurch sollen Opfer einen Gerätecode auf der Microsoft-Verifizierungsseite eingeben, häufig unter dem Vorwand eines Einmalpassworts. Nach Validierung erhält der Angreifer Zugriff auf das Microsoft-365-Konto.
Einige Nachrichten geben sich dabei als Aufforderung zur Token-Reautorisierung aus, andere arbeiten mit verschiedenen Ködern. Erfolgreiche Zugriffe ermöglichen Datendiebstahl, laterale Bewegungen und persistente Kompromittierungen.
Proofpoint ordnet die Verbreitung auch neuen Werkzeugen zu. Kits wie SquarePhish2 und Graphish sollen Angriffe automatisieren, den Einsatz von Gerätecodes skalierbar machen und technische Einstiegshürden senken. SquarePhish wurde 2022 von Dell Secureworks veröffentlicht; eine aktualisierte Version SquarePhish2 erschien 2024 auf GitHub.
Die Angriffskette beginnt typischerweise mit einer Phishing-Mail, die einen QR-Code enthält. Nutzer scannen ihn, gelangen auf einen vom Angreifer kontrollierten Server und werden anschließend auf die legitime Microsoft-Seite weitergeleitet. Der Server initiiert parallel den OAuth-Autorisierungsprozess. Eine zweite Mail liefert den Gerätecode zur Eingabe. Alternativ kann eine automatische Weiterleitung zur Verifizierungsseite erfolgen. Das Tool fragt kontinuierlich ab, wann Zugriff gewährt wurde. Laut Beschreibung sind für den Einsatz keine tiefgreifenden technischen Kenntnisse erforderlich.
Graphish, ein kostenlos verbreitetes Phishing-Kit, nutzt Azure-App-Registrierungen und Reverse-Proxy-Konfigurationen für Adversary-in-the-Middle-Angriffe. Dazu gehören gefälschte Domains mit SSL-Zertifikaten, um legitime Anmeldeseiten zu imitieren. Erfasste Zugangsdaten und erfolgreich absolvierte MFA-Prüfungen ermöglichen anschließend die Übernahme von Sessions. Das Tool enthält zudem Anleitungen, um Unternehmensbeschränkungen zu umgehen.
Proofpoint bewertet die aktuelle Welle als Weiterentwicklung im Phishing-Bereich: Angriffe lösen sich von Passwortdiebstahl und setzen stärker auf das Ausnutzen legitimer Authentifizierungsprozesse. Gestützt wird diese Entwicklung durch die Verfügbarkeit von Werkzeugen, die die Kurzlebigkeit von Gerätecodes umgehen und groß angelegte Kampagnen ermöglichen.
Die Analysten beobachten schnelle Verbreitung in mehreren Bedrohungsclustern, einen Missbrauch legitimer Abläufe sowie hohe potenzielle Tragweite bei erfolgreichen Angriffen – bis hin zum vollständigen Zugriff auf Microsoft-365-Konten.
Mehr Details stellt Proofpoint in seinem englischsprachigen Blog zur Verfügung.
