Sprach-Phishing findet einen neuen Schwachpunkt: Ihr persönliches Telefon

Eine neue Angriffswelle zeigt, warum die Grenze zwischen privaten und beruflichen Geräten mehr denn je von Bedeutung ist. Berichten über Microsofts Erkenntnisse aus der Bedrohungsanalyse zufolge rufen Gruppen, die als Storm-3032 und Storm-3121 verfolgt werden, Mitarbeiter auf ihren persönlichen Telefonen an und schicken ihnen Textnachrichten, wobei sie sich als interne IT-Helpdesk-Mitarbeiter ausgeben. Sobald ein Mitarbeiter überzeugt ist, dass der Anruf legitim ist, führen die Angreifer ihn durch Schritte, die Zugriff auf Unternehmens-Konten von Microsoft 365 gewähren, wobei sie häufig Bring-Your-Own-Device-(BYOD)-Setups ausnutzen, bei denen persönliche Telefone auch zum Anmelden bei Arbeits-E-Mail, Teams und SharePoint verwendet werden.

Was diese Kampagne bemerkenswert macht, ist nicht nur die Voice-Phishing-Taktik selbst. Es ist das, was nach der Erlangung des ersten Zugangs geschieht. Diese Gruppen fungieren Berichten zufolge als Initial Access Brokers: Sie gelangen in ein Netzwerk, nutzen Microsofts Graph API, um zu erfassen, welche Daten und Systeme verfügbar sind, und identifizieren dann, welche Opfer wertvoll genug sind, um sie zu verkaufen oder weiterzugeben. Von dort aus wird der Zugang an Erpressergruppen weitergegeben, darunter ShinyHunters, ein Name, der in Fällen von Datendiebstahl und Erpressung zunehmend vertraut geworden ist.

Warum BYOD diesen Angriff so effektiv macht

Persönliche Geräte befinden sich außerhalb des Sicherheitsperimeters, den die meisten Unternehmen um Firmenhardware herum aufbauen. Ein Arbeitslaptop verfügt möglicherweise über Endpoint Detection, eingeschränkte App-Berechtigungen und IT-verwaltete Konfigurationen. Ein persönliches Telefon, das zum Prüfen von E-Mails oder für die Teilnahme an einem Teams-Anruf verwendet wird, hat all das typischerweise nicht. Es ist außerdem das Gerät, auf dem Mitarbeiter am ehesten ohne nachzudenken einen Anruf annehmen, da es dasselbe Telefon ist, das ihre Familie und Freunde nutzen.

Genau diese Vertrauenslücke ist es, die Voice-Phishing (manchmal auch Vishing genannt) ausnutzt. Angreifer müssen weder Verschlüsselung brechen noch eine Software-Schwachstelle finden. Sie brauchen einen Mitarbeiter, der glaubt, dass die Person am Telefon tatsächlich von der IT stammt und helfen will, nicht schaden. Berichten zufolge missbrauchen die Angreifer auch legitime Kollaborationsfunktionen wie den externen Zugriff in Microsoft Teams, um sich in die normale Geschäftskommunikation einzufügen, statt offensichtliche Warnsignale auszulösen.

Dieses Muster spiegelt einen breiteren Trend über mehrere Branchen hinweg wider. Beim Jack-Henry-Ransomware-Angriff nutzten Angreifer ebenfalls einen Telefonanruf statt eines technischen Exploits, um Fuß zu fassen, was unterstreicht, dass sprachbasierte Social Engineering zu einem bevorzugten Einstiegspunkt geworden ist, gerade weil sie traditionelle technische Verteidigungsmaßnahmen umgeht.

Der Graph-API-Aspekt: Zugang in Erkenntnisse verwandeln

Einmal in einem Konto, nutzen die Angreifer Berichten zufolge Microsofts Graph API, ein legitimes Werkzeug, das Entwickler zur Interaktion mit Microsoft-365-Daten verwenden, um die Umgebung einer Organisation zu kartieren. Dadurch können sie schnell identifizieren, welche Postfächer, Dateien oder Benutzerkonten am wertvollsten sind, und betreiben so effektiv Aufklärung mit der Infrastruktur des Ziels selbst. Statt in jedem Fall selbst Daten zu exfiltrieren, scheinen die Initial Access Brokers hochwertige Standorte an Erpressergruppen wie ShinyHunters weiterzugeben, die darauf spezialisiert sind, gestohlenen Zugang durch Datendiebstahl und Erpressungsforderungen zu monetarisieren.

Diese Arbeitsteilung – eine Gruppe bricht ein, eine andere kassiert – spiegelt wider, was in anderen jüngsten Datenschutzverletzungsfällen beobachtet wurde. Beim Napoleon-Perdis-Datenleck wurden gestohlene Kundendatensätze geleakt und von einem Bedrohungsakteur beansprucht, der unabhängig von demjenigen operierte, der ursprünglich auf die Daten zugegriffen haben mag, was veranschaulicht, wie kompromittierter Zugang und öffentliche Datenlecks oft von völlig getrennten Parteien behandelt werden.

Was das für Sie bedeutet

Wenn Ihr Arbeitgeber BYOD-Zugriff auf Microsoft 365, Teams oder Unternehmens-E-Mail erlaubt, sind Sie ein potenzieller Einstiegspunkt für diese Art von Angriff, unabhängig von Ihrer Jobbezeichnung oder Abteilung. Das Kernrisiko ist kein Fehler in Microsofts Software. Es ist die Annahme, dass ein Anrufer, der behauptet, vom „IT-Support" zu sein, auch tatsächlich derjenige ist, für den er sich ausgibt. Mitarbeiter sollten bei jedem unaufgeforderten Anruf oder jeder Textnachricht skeptisch sein, in der sie aufgefordert werden, Anmeldedaten zurückzusetzen, eine Anmeldeaufforderung zu genehmigen oder etwas zu installieren, selbst wenn der Anrufer sachkundig über interne Systeme klingt oder echte Mitarbeiternamen verwendet.

Organisationen sollten auch überdenken, wie BYOD-Geräte verifiziert und überwacht werden, da ein persönliches Telefon mit Zugriff auf Unternehmens-Cloud-Dienste zu einem direkten Weg in sensible Daten werden kann, ohne jemals einen firmeneigenen Laptop zu berühren.

Handlungsorientierte Erkenntnisse

  • Verifizieren Sie jeden IT-Helpdesk-Kontakt über einen bekannten internen Kanal, bevor Sie Maßnahmen ergreifen, niemals über die Nummer oder Methode, die der Anrufer angibt.
  • Aktivieren Sie Multi-Faktor-Authentifizierung, die mehr als nur ein einfaches Genehmigungs-Tippen erfordert, da MFA-Müdigkeit und Social Engineering oft Hand in Hand gehen.
  • Fragen Sie Ihren Arbeitgeber nach BYOD-Sicherheitsrichtlinien, einschließlich ob persönliche Geräte, die auf Microsoft 365 zugreifen, Conditional-Access-Regeln oder Geräte-Compliance-Prüfungen unterliegen.
  • Melden Sie verdächtige Anrufe oder Textnachrichten, die behaupten, von der IT zu stammen, sofort, auch wenn Sie nicht darauf reagiert haben, damit Sicherheitsteams die breitere Kampagne verfolgen können.

Voice-Phishing-Kampagnen wie diese sind erfolgreich, weil sie menschliches Vertrauen statt Software-Schwachstellen angreifen. Vorsichtig bei unerwarteten Anrufen zu bleiben und Anfragen über offizielle Kanäle zu bestätigen, bleibt eine der einfachsten und effektivsten verfügbaren Verteidigungsmaßnahmen.