Kundenportal
Kundenportal

Security Alert · Phishing

Microsoft 365: Phishing-Kits stehlen Zugangs-Token über die Device-Code-Anmeldung

!Risiko hochVeröffentlicht Aktualisiert
Risikostufe
Hoch
Kategorie
Phishing
Betroffene Systeme
Organisationen mit Microsoft 365, in denen Benutzer die Device-Code-Anmeldung nutzen dürfen
Abhilfe verfügbar
Kein Patch nötig: Device-Code-Anmeldung per Conditional Access einschränken
Quelle
The Hacker News

Was ist passiert?

Zwei aktive Phishing-Kits, SkyW4lker und Mir0Auth, missbrauchen die legitime Device-Code-Anmeldung von Microsoft. Bei SkyW4lker kommen die Opfer über E-Mails, die sich als Verträge, Rechnungen oder Geschäftsangebote ausgeben, und über vorgeschaltete Seiten mit CAPTCHA-Prüfung auf die echte Microsoft-Anmeldeseite. Dort kann die Eingabe eines Gerätecodes den Angreifern unbefugten Zugriff auf das Konto verschaffen. Bei Mir0Auth enthalten die Mails PDF-Anhänge, die auf gefälschte DocuSign-Seiten weiterleiten. Über verschleierte Skripte und versteckte Anmeldeanfragen erlangen die Angreifer Zugangs-Token für Microsoft 365.

Beide Kits arbeiten laut Quelle ohne gestohlene Passwörter. Bei SkyW4lker wird die Mehr-Faktor-Anmeldung nicht umgangen: Der Nutzer schließt die echte Anmeldung selbst ab und autorisiert damit unwissentlich das Gerät des Angreifers. Die Quelle ist ein Beitrag des Anbieters ANY.RUN und beruht auf dessen Sandbox-Analysen und nennt für SkyW4lker 618 Analysen zwischen Juni und dem 21.10.2026, davon 46 Prozent aus den USA. Eine öffentliche Warnung von Microsoft oder einer Behörde zu diesen beiden Kits haben wir nicht gefunden.

Wer ist betroffen?

Organisationen mit Microsoft 365, in denen Benutzer die Device-Code-Anmeldung nutzen dürfen und Mails mit Vertrags-, Rechnungs- oder DocuSign-Bezug öffnen. Die Quelle beschreibt vor allem Aktivität gegen US-Unternehmen; Hinweise auf Fälle in Deutschland nennt sie nicht.

Wie hoch ist das Risiko?

Hoch. Das ist die redaktionelle Einschätzung von BDT, keine Einstufung einer Behörde oder von Microsoft. Grundlage ist ein einzelner Quellenbericht, der von einem Sicherheitsanbieter (ANY.RUN) stammt und als Beitrag in The Hacker News erschien. Danach sind die Kits aktiv, und ein erfolgreicher Angriff gibt Zugriff auf das Konto, ohne dass ein Passwort gestohlen werden muss. Das gilt vor allem, wenn die Device-Code-Anmeldung für normale Benutzerkonten uneingeschränkt erlaubt ist. Wo sie per Conditional Access eingeschränkt ist, sinkt das Risiko deutlich.

So schützen Sie sich

  1. Die Device-Code-Anmeldung in Microsoft Entra Conditional Access auf wirklich benötigte Szenarien beschränken oder blockieren.
  2. Verdächtige Device-Code-Anmeldungen überwachen. Bei Verdacht die Microsoft-365-Sitzungen des Kontos widerrufen.
  3. Mitarbeitende informieren: Einen Gerätecode nur eingeben, wenn man die Anmeldung selbst an einem Gerät gestartet hat. Unerwartete Aufforderungen nach E-Mails zu Verträgen, Rechnungen oder DocuSign-Dokumenten nicht befolgen.

Quellen

Mehr zum Thema

Akuter Verdacht oder Fragen zu Ihren Systemen?

Bestandskunden und technische Fälle: Unser Support prüft mit Ihnen.

support@blured.deZum Kundenportal

Absicherung neu planen? beratung@blured.de

Stand: 09.11.2026

© 2026 BDT Group GmbH · blured.de