Am 26. Oktober 2026 berichtete The Hacker News unter Berufung auf Huntress, dass Angreifer während einer Kampagne vom 14. Juli bis zum 22. September 2026 insgesamt 97 Microsoft-365-Konten in 79 Organisationen kompromittiert hätten. Huntress zählte außerdem 497 erfolgreiche Anmeldeereignisse bei mehr als 200.000 Anmeldeversuchen. Die Zahlen beschreiben unterschiedliche Größen: Konten und Organisationen einerseits, Anmeldeereignisse und Versuche andererseits.
Wie ein Sitzungstoken nach der MFA-Anmeldung erneut genutzt wird
Beim Token-Replay verwenden Angreifer ein gestohlenes Sitzungstoken erneut. Huntress zufolge leitete eine sogenannte Adversary-in-the-Middle-Seite (AiTM) die Anmeldedaten und MFA-Codes der betroffenen Person an Microsoft weiter. Nach der erfolgreichen Anmeldung fingen die Angreifer das ausgestellte Token ab und nutzten es auf einem eigenen Gerät. In diesem beschriebenen Ablauf war keine erneute MFA-Abfrage nötig, weil das Token bereits eine authentifizierte Sitzung repräsentierte.
Huntress nannte außerdem Phishing über die Gerätecode-Anmeldung und Social Engineering während legitimer Anmeldungen als weitere Wege, auf denen Angreifer an Tokens gelangen könnten.
Welche Änderungen und Spuren Huntress meldete
Huntress zufolge entfernten Angreifer in mindestens 19 Organisationen vorhandene MFA-Methoden und registrierten innerhalb von drei Stunden nach der ersten Anmeldung eine neue. Insgesamt meldete das Unternehmen 48 unerwünschte Geräteanmeldungen in Microsoft Entra ID. In einem Fall wurde am 21. Juli ein Authenticator mit dem Namen „iPhone 13“ weniger als 51 Minuten nach der Übernahme einer Sitzung aktiviert.
Zu den berichteten Spuren gehörten außerdem verborgene Posteingangsregeln, die Nachrichten zu Gehaltszahlungen, Einzahlungen oder Boni löschten oder umleiteten. Eine Regel markierte alle eingehenden Nachrichten als gelesen und löschte sie. Das betroffene Postfach verschickte anschließend Spam an Hunderte Empfänger; danach stufte Entra ID Protection das Konto als hochriskant ein.
Für die Reaktion auf einen vermuteten Kontozugriff empfahl Huntress, Sitzungen zu widerrufen und Passwörter zurückzusetzen. Administratoren sollten zudem registrierte Entra-Geräte und MFA-Methoden prüfen sowie unerwartete Posteingangsregeln und Enterprise-Anwendungen kontrollieren. Huntress riet außerdem, den Gerätecode-Ablauf über Conditional Access einzuschränken.
Welche Anmeldungen Microsoft Token Protection abdeckt
Microsoft Token Protection in Conditional Access bindet unterstützte Aktualisierungstokens kryptografisch an ein Gerät. Dafür ist ein Primary Refresh Token (PRT) erforderlich. Microsoft beschreibt den Schutz für unterstützte native Windows-Anwendungen, die Microsoft Teams, SharePoint und Exchange verbinden. Nicht registrierte Geräte ohne PRT fallen nicht unter dieses beschriebene Szenario.
Damit ist Token Protection kein universeller Schutz für jeden Anmeldetyp und jede Anwendung. Microsoft empfiehlt ergänzend, verwaltete Geräte abzusichern, Conditional Access für konforme Geräte einzusetzen, Identitäts- und Geräterisiken zu überwachen und für nicht abgedeckte Szenarien auch netzwerkbasierte Kontrollen zu nutzen. Die Lizenzanforderungen unterscheiden sich je nach Kontrolle. Den Gerätecode-Ablauf sollten Administratoren laut Microsoft nur zulassen, wenn er benötigt wird, da er für Phishing missbraucht werden oder den Zugriff von nicht verwalteten Geräten ermöglichen kann. Microsofts Hinweise zum Schutz von Tokens erläutern den Anwendungsbereich und weitere Schutzmaßnahmen.
Welche Anmeldedetails bei einem Verdacht helfen
Ein ungewöhnlicher Standort allein reicht nicht aus, um Token-Diebstahl festzustellen. Ein Teilnehmer einer Spiceworks-Diskussion empfahl, in den Authentifizierungsdetails der Anmeldung nachzusehen, ob MFA neu abgefragt oder als bereits erfüllt vermerkt wurde. Außerdem sollte die Geräte-ID mit einem bekannten Gerät abgeglichen werden. Microsoft führt die Erkennungen „Anomalous Token“, „Attacker in the Middle“ und „Unfamiliar sign-in properties“ auf. Diese Signale helfen bei der Einordnung einer Anmeldung; die Prüfung der Geräte und Posteingangsregeln ergänzt sie bei der Untersuchung eines möglichen Kontozugriffs.
