„`html
Was ist passiert?
Die Phishing-as-a-Service-Plattform EvilTokens kompromittierte in fünf Wochen über 340 Microsoft 365-Organisationen in fünf Ländern. Angreifer nutzten gefälschte OAuth-Consent-Screens, um Nutzer zur Authentifizierung auf microsoft.com/devicelogin zu verleiten. Nach erfolgreichem MFA-Abschluss erhielten die Opfer Zugriff auf ihre Konten – ohne zu bemerken, dass gleichzeitig OAuth-Token gestohlen wurden.
Hintergrund & Bedeutung
Diese Angriffsmethode umgeht traditionelle Multi-Faktor-Authentifizierung durch Social Engineering. Nutzer vertrauen der vermeintlich offiziellen Microsoft-URL und führen ihre MFA-Challenge durch, während im Hintergrund böswillige Anwendungen Zugriff auf ihre Daten erhalten. Die gestohlenen OAuth-Tokens ermöglichen Angreifern persistenten Zugriff auf E-Mails, Dateien und weitere Ressourcen – auch nach Passwortänderungen.
Das IAM-Sicherheitsmodell Zero Trust wird damit massiv in Frage gestellt. Selbst mit aktivierter MFA können Organisationen durch Token-Diebstahl kompromittiert werden, wenn Nutzer böswilligen OAuth-Consent-Prompts zustimmen.
Empfehlungen fuer IT-Teams
- OAuth-App-Genehmigungen kontrollieren: Einschränkung von Third-Party-Anwendungen durch App-Governance-Richtlinien
- Conditional Access optimieren: Anomalieerkennung bei ungewöhnlichen Anmeldeversuchen aktivieren
- Benutzer sensibilisieren: Schulungen zu OAuth-Phishing und legitimen Microsoft-Login-Prozessen durchführen
- Token-Sicherheit: Implementierung von Token-Lifecycle-Management und Refresh-Token-Rotation
- Security Monitoring: Audit-Logs auf unauthorisierte Consent-Gewährungen überwachen
Fazit
EvilTokens demonstriert, dass MFA allein nicht ausreicht. Eine mehrschichtige Verteidigung mit OAuth-Governance, Benutzer-Training und erweiterten Anomalie-Erkennungen ist essentiell, um solche modernen Phishing-Kampagnen abzuwehren.
Quelle: Original Artikel
„`