Phishing mithilfe von Gerätecodes: Die neue Front gegen Microsoft 365

PCHardwarePro » Windows » Phishing mithilfe von Gerätecodes: Die neue Front gegen Microsoft 365

El Phishing mithilfe von Gerätecodes Dies hat sich zu einem der besorgniserregendsten Angriffe auf Unternehmen entwickelt, die mit Microsoft 365 und Entra ID arbeiten. Es handelt sich hierbei nicht um eine typische, billige E-Mail, die versucht, Ihr Passwort zu stehlen, sondern um eine deutlich subtilere Methode: Der Angreifer verschafft sich Zugang, indem er einen völlig legitimen Microsoft-Authentifizierungsprozess ausnutzt und den Benutzer dazu bringt, seine eigene Sitzung zu autorisieren.

Laut aktuellen Forschungsergebnissen Barracuda, Microsoft und ProofpointDiese Art von Angriffen nimmt alarmierend schnell zu, angetrieben durch Automatisierung, Phishing-as-a-Service (PhaaS)-Modelle und den Missbrauch von OAuth. Die Folgen sind gravierend: Kontoübernahme, E-Mail-Exfiltration, langfristige Persistenz und laterale Ausbreitung innerhalb der Organisation – und das alles ohne den Diebstahl herkömmlicher Passwörter oder das Auslösen vieler üblicher Warnmeldungen.

Was ist Geräte-Code-Phishing und warum ist es so gefährlich?

Ausgangspunkt ist die Gerätecode-AuthentifizierungsablaufOAuth ist ein völlig legitimer Prozess, den Microsoft für Geräte mit eingeschränkten Funktionen entwickelt hat: Fernseher, Drucker, Spielekonsolen oder Systeme, bei denen die Eingabe vollständiger Anmeldeinformationen umständlich ist. Der typische Ablauf ist einfach: Das Gerät zeigt einen Code an, der Benutzer ruft eine Microsoft-URL auf einem anderen Computer oder Mobilgerät auf, gibt den Code ein und autorisiert den Zugriff.

Das Problem entsteht, wenn die Angreifer beschließen um sich diesen Mechanismus anzueignenAnstatt eine gefälschte Website einzurichten, um Passwörter zu stehlen, initiieren sie selbst den Geräteauthentifizierungsprozess mit Microsoft, erhalten einen echten Gerätecode und bringen das Opfer dann dazu, diesen auf der legitimen Microsoft-Seite einzugeben, in dem Glauben, dass es seine Identität bestätigt, ein Dokument unterzeichnet oder auf eine wichtige Ressource zugreift.

Sobald der Benutzer den Vorgang abgeschlossen hat, generiert Microsoft die gültige OAuth-Token (einschließlich eines Aktualisierungstokens) und übermittelt diese an das Gerät, das den Vorgang initiiert hat … also an den Angreifer. Passwörter müssen nicht abgefangen oder die Multi-Faktor-Authentifizierung im herkömmlichen Sinne umgangen werden: Der Benutzer selbst bestätigt die Sitzung des Angreifers.

Barracuda-Untersuchungen haben einen mehr als vierwöchigen Zeitraum festgestellt 7 Millionen Angriffsversuche Anhand dieses Musters wird deutlich, dass es sich nicht mehr um ein einmaliges Experiment handelt, sondern um eine industrialisierte, skalierbare und sich schnell ausbreitende Technik gegen E-Mail- und Identitätsumgebungen in der Cloud.

Erschwerend kommt hinzu, dass diese Taktik besonders effektiv ist, weil Es stützt sich auf legitime Links Und es sind keine gefälschten Anmeldeseiten erforderlich. Die Phishing-E-Mail kann eine echte Microsoft-URL enthalten, und der Nutzer landet auf einer authentischen Website, wo er den Code eingibt. Dies erschwert die Erkennung sowohl für E-Mail-Filter als auch für das Opfer, das eine vertrauenswürdige Domain sieht und unvorsichtig wird.

Modellwechsel: vom Diebstahl von Passwörtern zum Missbrauch von Vertrauensflüssen

Jahrelang haben wir Phishing mit dem klassischen Bild in Verbindung gebracht: gefälschte Seite + gestohlene ZugangsdatenBeim Phishing über Gerätecode ist die Veränderung radikal. Angreifer müssen nicht mehr die Microsoft-Website kopieren oder Sie dazu bringen, Ihren Benutzernamen und Ihr Passwort in ein gefälschtes Formular einzugeben. Ihr Ziel ist es, Sie dazu zu bringen, eine von ihnen initiierte Sitzung zu bestätigen, indem sie einen echten Authentifizierungsprozess ausnutzen.

Microsoft hat groß angelegte Kampagnen dokumentiert, bei denen Angreifer die dynamische Generierung von GerätecodesDadurch wird der Code mit den Klicks des Opfers synchronisiert, um seine Gültigkeit zu erhalten. Wenn das Opfer also die Microsoft-Verifizierungsseite aufruft und den Code eingibt, ist das zugehörige Token weiterhin gültig und der Angreifer kann es sofort einlösen.

Nachdem die Angreifer Zugriff darauf erlangt hatten, nutzten sie Microsoft Graph, um Folgendes zu tun: Anerkennung der OrganisationDies umfasst das Überprüfen von Postfächern, den Zugriff auf Dateien in OneDrive oder SharePoint und, besonders wichtig, das Erstellen schädlicher Regeln in Exchange Online, um Nachrichten weiterzuleiten, auszublenden oder zu filtern. Diese Posteingangsregeln sind ein typischer Persistenzmechanismus bei Business-E-Mail-Compromise-Angriffen (BEC).

CISA warnt schon lange davor, dass MFA nicht gleich MFA ist und dass traditionelle Methoden anfällig sein können. moderne Phishing-KampagnenMüdigkeit oder Täuschung. Deshalb setzt es sich für die Förderung phishingresistenter Authentifizierung ein, basierend auf Standards wie FIDO/WebAuthn und Passkeys, die den Spielraum für den Missbrauch wiederverwendbarer Anmeldeinformationen oder betrügerischer Genehmigungen drastisch reduzieren.

Proofpoint seinerseits betont, dass dieser Trend einen Meilenstein in der Entwicklung des PhishingsDer Fokus verlagert sich vom direkten Passwortdiebstahl hin zum Missbrauch von OAuth-Abläufen und vertrauenswürdigen Authentifizierungsverfahren, gerade in einer Zeit, in der Unternehmen verstärkt auf Multi-Faktor-Authentifizierung (MFA) setzen. Alles deutet darauf hin, dass der Missbrauch von OAuth- und Gerätecode-Abläufen parallel zu diesem Wandel weiter zunehmen wird.

In einem typischen Szenario, wie es von Microsoft und anderen Anbietern beschrieben wird, folgt der Angriffsablauf einer Reihe klar definierter und weitgehend automatisierter Schritte. Die Gefahr besteht darin, dass Jede Phase stützt sich auf scheinbar legitime Elemente.Dies führt dazu, dass viele Benutzer und Systeme ihre Wachsamkeit vernachlässigen.

1. Zielauswahl und -profilierung. Der Angreifer greift nicht wahllos an. Typischerweise identifiziert er Konten mit potenziellen betrieblichen oder finanziellen Auswirkungen: Finanzen, Einkauf, Management, Systemadministration usw. Vor dem Start der Kampagne überprüft er, welche Konten existieren, und sammelt Informationen, um den Köder anzupassen (Rechnungen, Rechtsdokumente, interne Benachrichtigungen usw.).

2. Versenden des Phishing-Köders. Der erste Kontaktpunkt ist üblicherweise eine E-Mail mit einem Button, einem Textlink oder sogar einem integrierter QR-Code im Nachrichtentext oder in einer angehängten PDF-Datei. In einigen Fällen nutzen Angreifer generative KI, um hochprofessionelle Nachrichten zu erstellen, die gut formuliert sind und deren Themen auf den Kontext des Opfers zugeschnitten sind (geteiltes Dokument, Vertragsprüfung, ausstehende Unterschrift, Microsoft-Benachrichtigung usw.).

3. Weiterleitungen und Übergangsseiten. Wenn das Opfer klickt, landet es nicht immer direkt auf einer gefälschten Seite. Häufig wird der Datenverkehr über legitime Cloud-Dienste, Domains mit akzeptablem Ruf oder temporäre Infrastruktur geleitet. die Spur verwischenZiel ist es, einen Punkt zu erreichen, an dem der Gerätecode-Authentifizierungsablauf aktiviert wird, ohne allzu viel Verdacht zu erregen.

4. Gerätecode-Generierung. In diesem Moment fordert die Infrastruktur des Angreifers eine Anfrage von Microsoft an. Echtzeit-GerätecodeIm Gegensatz zum Versenden eines vorab generierten Codes (der ablaufen könnte, bevor der Benutzer ihn verwenden kann) maximiert die dynamische Generierung, die mit dem Klick des Benutzers synchronisiert ist, die Gültigkeitsdauer des Codes und erhöht die Erfolgsquote.

5. Den Code als OTP präsentieren. Der Nutzer sieht den Code auf einer Zwischenseite, in einer zweiten E-Mail oder sogar eingebettet in ein Dokument, begleitet von Anweisungen wie „Geben Sie diesen Code als Einmalpasswort ein, um Ihr Konto zu bestätigen.“ Somit ist der Gerätecode getarnt als Legitimer OTPund das Opfer wird zur offiziellen Verifizierungs-URL von Microsoft weitergeleitet.

6. Einbindung des Codes auf der eigentlichen Microsoft-Seite. Hier ist der entscheidende psychologische Trick: Die Domain und die Seite sind echt, sie gehören Microsoft, also … Sicherheitsgefühl Das Risiko ist maximal. Wenn der Nutzer bereits angemeldet ist oder den Vorgang mit seiner üblichen Zwei-Faktor-Authentifizierung abschließt, bestätigt er unwissentlich die Sitzung, die der Angreifer auf seiner Seite geöffnet hat. Er gibt sein Passwort zwar nirgends ungewöhnlich ein, wurde aber dennoch getäuscht.

7. Tokenausgabe und -speicherung. Nach erfolgreicher Autorisierung stellt Microsoft die entsprechenden OAuth-Token (Zugriffstoken und Aktualisierungstoken) aus. Der Angreifer empfängt diese Token in seiner Infrastruktur und beginnt, sie zu verwenden, um … Zugriff auf E-Mails, Dateien und andere RessourcenDank des Refresh-Tokens können Sie Ihre Sitzung auch dann erneuern, wenn sich Ihr Kontopasswort ändert, und so einen dauerhaften Zugriff erhalten, ohne sofort Verdacht zu erregen.

Bei den analysierten Vorfällen wurde festgestellt, dass die Angreifer Aufklärungsarbeit mit Microsoft Graph leisteten, Kalender konsultierten, die Kontaktliste erlangten und … erstellten. Regeln für schädliche Postfächer Bestimmte E-Mails auszublenden, sie extern weiterzuleiten oder Warnmeldungen zu löschen, all dies passt perfekt zu Szenarien von BEC (Business Email Compromise), Finanzbetrug und Wirtschaftsspionage.

Einer der Gründe für den sprunghaften Anstieg von Phishing-Angriffen mithilfe von Gerätecodes ist dessen Industrialisierung innerhalb des Phishing-as-a-Service (PhaaS)-ModellsMan muss kein Technikexperte mehr sein, um eine anspruchsvolle Kampagne aufzusetzen: Es gibt Kits, Services und Tools, die den gesamten Prozess nahezu automatisieren.

Barracuda erwähnt Plattformen wie das Kit Böse TokenDiese Kits wurden entwickelt, um OAuth-Abläufe auszunutzen und den Erwerb gültiger Zugriffstoken zu erleichtern. Sie umfassen typischerweise die automatische Codegenerierung, E-Mail-Vorlagen, Infrastrukturmanagement und Dashboards zur Überwachung kompromittierter Opfer.

Proofpoint seinerseits hat die Verwendung von Tools wie beispielsweise SquarePhish2 und GraphishDarüber hinaus werden in Hackerforen Schadsoftware und -anwendungen angeboten, die die Ausweitung und Automatisierung von Phishing-Kampagnen mithilfe von Gerätecodes ermöglichen. Diese Lösungen senken die technischen Einstiegshürden erheblich: Auch unerfahrene Akteure können mit wenigen Klicks hochwirksame Angriffe starten.

Bezüglich der beteiligten Gruppen wurden Kampagnen durchgeführt von TA2723 und unter anderem von der prorussischen Gruppe UNK_AcademicFlare. Proofpoint merkt zudem an, dass diese Technik zuvor bei Red Teaming und gezielten Angriffen eingesetzt wurde, sich in jüngster Zeit aber auf umfassendere und systematischere Operationen ausgeweitet hat.

Die Kernaussage der Sicherheitsanbieter ist eindeutig: Gerätecode-Phishing Es ist keine Seltenheit mehrEs gehört zum Standardrepertoire vieler Gruppen, darunter auch solcher mit wirtschaftlichen und geopolitischen Motiven, und wird sich weiterentwickeln, da traditionelle, phishingresistente Authentifizierungsmethoden immer verbreiteter werden.

Für Organisationen, deren täglicher Betrieb auf Microsoft 365, Entra ID, Exchange Online, Teams, OneDrive und anderen föderierten SaaS-Anwendungen basiert, ist diese Art von Angriff nicht nur ein technisches Problem: Es hat direkte Auswirkungen auf das schlagende Herz. des Unternehmens. Ein einziger erfolgreicher Angriff kann zum Diebstahl sensibler Informationen, zu Finanzbetrug und zu Reputationsschäden führen.

Sobald der Angreifer durch Phishing des Gerätecodes gültige Token erlangt hat, kann er damit arbeiten. offenbar legitimer ZugriffAus Sicht vieler Systeme ist nichts „Ungewöhnliches“ daran: Ein authentifizierter Benutzer mit gültigen Anmeldeinformationen und erfolgreicher Zwei-Faktor-Authentifizierung ruft seine E-Mails ab, prüft Dokumente oder greift auf Unternehmensanwendungen zu. Die Grenze zwischen normaler und missbräuchlicher Nutzung verschwimmt zunehmend.

Zu den häufigsten Auswirkungen gehören der Massenzugriff auf Postfächer, die Exfiltration sensibler E-Mails und AnhängeDer Diebstahl von Dokumenten in SharePoint/OneDrive, die Identifizierung der für Zahlungen und Autorisierungen Verantwortlichen und darauf aufbauend die Vorbereitung sehr glaubwürdiger BEC-Betrügereien auf der Grundlage realer E-Mail-Verläufe.

Darüber hinaus ermöglicht die durch Aktualisierungstoken und Postfachregeln erreichte Persistenz dem Angreifer Folgendes: im Rahmen der Umgebung bleiben Selbst wenn das Unternehmen mit Passwortänderungen reagiert, bleibt die Sicherheitslücke über einen längeren Zeitraum bestehen. Ohne eine gründliche Überprüfung von Sitzungen, Tokens und Austauschregeln kann ein Angreifer leicht einen Zugangspunkt aufrechterhalten.

All dies trägt zu einem Kontext bei, in dem Identität das Hauptschlachtfeld ist. Zugriffsmodelle, die darauf basieren Wiederverwendbare Anmeldeinformationen und schwache MFA Diese Strategien sind zunehmend unvereinbar mit Angriffskampagnen, die auf den Missbrauch legitimer Datenflüsse, Token und Einwilligungen abzielen. Aus diesem Grund setzen sich CISA und andere Organisationen so vehement für ausgereiftere Identitätsarchitekturen und phishingresistente Authentifizierungsmethoden ein.

Ein weiteres Problem besteht darin, dass nur wenige Organisationen eine Warnmeldung erhalten, die wörtlich „Gerätecode-Phishing erkannt“ besagt. Was üblicherweise erscheint, ist eine Reihe von … verstreute Symptome Einzeln betrachtet mögen sie wie Störgeräusche erscheinen, doch zusammen ergeben sie ein Bild der Identitätsbindung.

Zu den besorgniserregenden Anzeichen gehören atypische Zugriffe in OAuth-Protokollen oder Authentifizierungen, die außerhalb der normalen Muster der Organisation liegen; Anomale Aktivitäten in Exchange Onlinewie beispielsweise die Erstellung oder verdächtige Änderung von Posteingangsregeln; die Verwendung von Tokens von ungewöhnlichen Standorten, IP-Bereichen oder Infrastrukturen; Benutzer, die behaupten, ihre Identität "verifiziert" oder einen Code bei Microsoft eingegeben zu haben, ohne sich genau daran zu erinnern, warum; oder E-Mails, die weitergeleitet, versteckt oder verschwunden sind, obwohl der Zugriff legitim erscheint.

Darüber hinaus ist es wichtig, etwas ganz klarzustellen: Ein MFA ist keine absolute GarantieCISA betont, dass einige traditionelle Sicherheitsmaßnahmen weiterhin anfällig für Täuschungs-, Abhör- oder Ermüdungsangriffe sind. Phishing-Angriffe auf Gerätecode „brechen“ die Multi-Faktor-Authentifizierung (MFA) zwar nicht, umgehen sie aber: Sie verleiten den Benutzer dazu, sie im falschen Kontext anzuwenden, wodurch die Sitzung des Angreifers legitimiert wird.

Es reicht auch nicht aus, sich auf ein "gutes Antivirenprogramm" zu verlassen, nur Passwörter zu überprüfen oder sich beruhigt zu fühlen, weil der Benutzer am Ende auf einer Microsoft-Seite landet. Der Wert dieses Angriffs liegt genau in der Ausnutzung legitimer Datenströme.Daher greifen viele herkömmliche Sicherheitsmaßnahmen bei der Erkennung nicht. Die Nutzung von Microsoft 365 ist nicht das Problem, aber auch nicht automatisch die Lösung.

In diesem Sinne muss eine Organisation, die dieses Risiko ernst nehmen will, es aus folgender Perspektive betrachten: Identitäts- und OAuth-Sicherheitnicht nur im Bereich des E-Mail-Phishing-Schutzes. Der Ansatz muss Authentifizierungsprozesse, Tokens, Einwilligung, Anwendungsüberwachung und Nutzerverhalten umfassen.

Die Abwehr solcher Angriffe erfordert eine Kombination aus Architekturänderungen, Konfigurationsanpassungen und gezielten Sensibilisierungskampagnen. Eine allgemeine Kampagne wie „Klicken Sie nicht auf verdächtige Links“ reicht nicht aus. Es bedarf… das Problem an mehreren Fronten angehen und mit klaren Prioritätskriterien.

Erstens ist es ratsam Priorisieren Sie phishingresistente AuthentifizierungsmethodenCISA empfiehlt, wann immer möglich auf FIDO/WebAuthn und Passkeys umzusteigen. Diese Methoden beseitigen zwar nicht vollständig das Risiko des Missbrauchs von OAuth-Abläufen, reduzieren aber die Abhängigkeit von Passwörtern. SMS und temporäre Codes sichtbare Genehmigungen oder Genehmigungen, die zu leicht zu manipulieren sind.

Zweitens ist es wichtig, die Verwendung des Gerätecode-AblaufsViele Unternehmen benötigen diesen Workflow nicht flächendeckend. Sinnvoller ist es, die Anwendungen und Benutzergruppen zu identifizieren, die ihn tatsächlich benötigen, ihn auf diese Fälle zu beschränken und ihn, wenn möglich, ganz zu deaktivieren, wo er keinen Mehrwert bietet. Proofpoint hebt dies als effektivste Maßnahme hervor: die Deaktivierung des Gerätecode-Workflows, wenn er nicht unbedingt erforderlich ist.

Es ist außerdem unerlässlich, die Fähigkeiten von ID eingeben und bedingten Zugriff gewährenMicrosoft empfiehlt risikobasierte Anmelderichtlinien, automatische Reaktionen auf ungewöhnliche Zugriffsversuche, den Widerruf verdächtiger Sitzungen und die Verwendung konformer oder registrierter Geräte für bestimmte Abläufe, einschließlich OAuth. Dies steht im Einklang mit einer umfassenderen Strategie für Identitäts- und Zugriffsmanagement (IAM) und Cloud-Sicherheit, die darauf abzielt, die Reichweite eines kompromittierten Tokens zu reduzieren.

Ein weiterer entscheidender Aspekt ist die Verbesserung der Überwachung von Exchange Online und Microsoft GraphDa viele Kampagnen E-Mails als Hauptziel haben, ist es sinnvoll, die Erstellung von Posteingangsregeln, unerwartete externe Weiterleitungen, stille Postfachänderungen und ungewöhnliche Datenzugriffe über Graph sorgfältig zu überwachen. Defender XDR, Defender für Office 365 und Entra ID Protection können wertvolle Hinweise liefern, wenn sie aktiv konfiguriert und überwacht werden; siehe unsere umfassender Leitfaden zur Bedrohungsforschung und -analyse.

Schließlich sollte die Sensibilisierung auf eine ganz bestimmte Botschaft ausgerichtet sein:Geben Sie keine Microsoft-Codes ein und validieren Sie keine Sitzungen. „die von nicht verifizierten Links oder Dokumenten stammen, selbst wenn die Landingpage von Microsoft stammt und völlig legitim erscheint.“ Diese Nuance ist entscheidend, denn viele Nutzer glauben, dass bei einer offiziellen Domain keine Täuschung mehr möglich ist.

Um all diese Ideen in konkrete Maßnahmen innerhalb eines mittelständischen Unternehmens umzusetzen, ist die Zusammenarbeit mit einem hilfreich. Checkliste übersichtlich gestalten Dies ermöglicht die Risikobewertung und Priorisierung von Maßnahmen. Basierend auf Empfehlungen von Microsoft, CISA, Barracuda und Proofpoint können unter anderem die folgenden Arbeitsbereiche in Betracht gezogen werden:

• Prüfen Sie, ob der Gerätecode-Ablauf wirklich notwendig ist. in der Organisation und, falls ja, in welchen konkreten Szenarien (spezielle Geräte, Besprechungsräume, Legacy-Systeme usw.).
• Sehen Sie sich den Anwendungskatalog an die OAuth verwenden und insbesondere den Fluss von Gerätecodes zulassen oder erfordern, um ihn auf das unbedingt Notwendige zu beschränken.
• Bewerten Sie den aktuellen Einsatz von MFA.Welcher Prozentsatz ist resistent gegen Phishing, wo werden noch schwache Methoden eingesetzt und welche kritischen Gruppen (Finanzen, Einkauf, Management, IT) müssen so schnell wie möglich auf FIDO2/Passkeys oder gleichwertige Systeme umsteigen?
• Stärkung der Richtlinien für bedingten Zugang bei Entraeinschließlich Anmelderisiken, Anforderungen an kompatible Geräte und Blockierung von OAuth-Abläufen, die als nicht notwendig erachtet werden.
• Überwachen Sie Postfachregeln, Weiterleitungen und anomale Aktivitäten. Konfigurieren Sie in Exchange Online spezifische Warnmeldungen für Änderungen, die auf eine mögliche Persistenz oder Exfiltration hinweisen.
• Überprüfen Sie die Sichtbarkeit in Defender XDR, Defender für Office und Entra ID Protection, um sicherzustellen, dass Muster im Zusammenhang mit OAuth und Gerätecodemissbrauch erkannt werden.
• Überprüfung privilegierter und hochriskanter Kontendurch Anwendung verstärkter Kontrollen (strenge MFA, strengere Zugangsbedingungen, zusätzliche Überwachung).
• Schulung der wichtigsten Anwender und Teams in diesem spezifischen Angriffsmuster, mit praktischen Beispielen für verdächtige E-Mails, Code und Genehmigungsprozesse, und wie Phishing-E-Mails in Outlook melden.
• Erstellen Sie einen Reaktionsplan Bei Verdacht auf Missbrauch des Gerätecodeablaufs: Sitzungswiderruf, Ungültigmachung von Aktualisierungstoken, Überprüfung der Mailbox, Analyse der Graphaktivität und Überwachung der letzten Zugriffe und deren Art Microsoft-Konto reparieren.

Die Integration dieser Checkliste in ein Microsoft 365-Audit oder eine spezifische Sicherheitsüberprüfung trägt dazu bei, Theorie in Praxis umzusetzen. greifbare Veränderungen in Benutzerkonfiguration, Prozessen und Gewohnheiten.

Im Rahmen dieses Gesprächs Passkeys und FIDO/WebAuthn-Authentifizierung Sie sind nicht nur ein „zusätzlicher Komfort“ für den Benutzer. Sie begegnen direkt der Realität von Angriffen wie dem Phishing von Gerätecode, bei dem der Angreifer die Tatsache ausnutzt, dass der Benutzer etwas Wiederverwendbares im falschen Kontext kopiert, eingibt oder genehmigt.

Durch den Wegfall der Notwendigkeit, wiederverwendbare Passwörter oder Codes einzugeben, und durch die starke Verknüpfung der Authentifizierung mit dem richtigen Gerät und der richtigen Domäne werden Phishing-resistente Methoden Viele Türen schließen sich. Diese Angriffe beruhen darauf, die Person durch Täuschung dazu zu bringen, etwas Unangemessenes zu genehmigen. Sie sind zwar kein Allheilmittel, markieren aber einen bedeutenden architektonischen Wandel.

CISA stellt es klar: Phishing-resistente Authentifizierung muss die ReferenzzielDas heißt nicht, dass ein Unternehmen Passkeys an einem Nachmittag aktivieren und sie dann vergessen kann, sondern vielmehr, dass seine Identitätsstrategie sich von Modellen abwenden muss, die auf statischen Passwörtern, SMS, sichtbaren temporären Codes oder Genehmigungen basieren, die zu leicht zu manipulieren sind.

In der Praxis verläuft der Übergang in der Regel schrittweise: Er beginnt mit dem die wichtigsten Benutzer und SystemeDie Methoden werden kombiniert, während die Geräteflotte angepasst wird. Dies geht einher mit Änderungen an den Richtlinien für bedingten Zugriff, der Anwendungsverwaltung und der OAuth-Überwachung. Gleichzeitig werden die Schulungen intensiviert, um den Nutzern zu verdeutlichen, dass „Sicherheit“ nicht mehr nur bedeutet, „ein langes Passwort zu verwenden und die Zwei-Faktor-Authentifizierung zu aktivieren“.

Der von Microsoft, Barracuda und Proofpoint dargestellte Kontext ist eindeutig: Angreifer werden Sicherheitslücken weiterhin ausnutzen. legitime Datenflüsse, gültige Token und VertrauenskontexteGeräte-Code-Phishing ist eines der deutlichsten Beispiele dafür, wohin sich Identitätsdiebstahl entwickelt. Für Unternehmen, die auf Microsoft 365 setzen, stellt sich nicht mehr die Frage, ob sie über MFA verfügen, sondern ob ihr Zugriffsmodell modernen Angriffen standhält, die die Autorisierungslogik der Plattform ausnutzen.

In Verbindung stehender Artikel:

Mitarbeiter, Vorsicht vor Phishing: Ein vollständiger Leitfaden für Unternehmen und Mitarbeiter