Im Zeitraum von 2024 bis 2026 geriet eine weitreichende Kampagne in den Fokus: Mirage2FA Microsoft 365. Dabei sollen tausende Unternehmen betroffen sein – besonders in den USA. Die Angreifer zielen auf Microsoft-365-Konten ab, indem sie legitime Login-Prozesse missbrauchen und die Zwei-Faktor-Authentifizierung (2FA) auf diese Weise umgehen.
Wichtig ist: Es geht nicht nur um gestohlene Passwörter. Die Studie beschreibt, dass Angreifer vor allem authentifizierte Sessions übernehmen können. Das schafft einen direkten Weg in das Unternehmensumfeld und erhöht die Wahrscheinlichkeit für weitere Manipulationen.
Was steckt hinter Mirage2FA Microsoft 365?
Bei Mirage2FA Microsoft 365 handelt es sich um eine Phishing-orientierte Service-Infrastruktur, die sich laut den vorliegenden Erkenntnissen wie ein „Phishing-as-a-Service“-Toolarium verhält. Angreifer richten sich dabei besonders auf Microsoft-365-Konten aus.
Das Vorgehen beruht auf dem Missbrauch von authentischen Login-Flows. Statt nur bei der Eingabe von Zugangsdaten „abzuschöpfen“, nutzen die Angreifer Mechanismen rund um Sessions, damit sich die Opfer nicht allein durch klassische MFA-Barrieren ausreichend schützen können.
Wie wird die 2FA umgangen?
Die Kernidee ist, dass der Zugriff über bereits authentifizierte Zustände erfolgen kann. Laut Forschung werden dafür vor allem Passwörter und Session-Cookies abgegriffen. Gelingt die Übernahme einer aktiven Microsoft-365-Session, können Angreifer Zugriff auf Dienste erhalten, die mit SSO (Single Sign-On) verbunden sind.
Damit entsteht eine gefährliche Situation: Selbst wenn 2FA grundsätzlich vorhanden ist, kann ein Angreifer durch die Übernahme einer laufenden Sitzung einen Weg in Richtung Identitätsmissbrauch schaffen. Die Studie beschreibt außerdem, dass es Hinweise auf 2FA-Bypass-Szenarien gibt.
Schadensbild: Session Theft statt nur Passwortdiebstahl
Ein zentrales Risiko bei Mirage2FA Microsoft 365 ist die Session Theft-Komponente. In der Auswertung werden mehr als 9.000 potenzielle Kompromittierungsereignisse genannt, die sich auf den Diebstahl von Cookies und Passwörtern beziehen sowie auf SSO-Logins und Fälle, in denen 2FA umgangen wurde.
Der Effekt geht über den Kontozugriff hinaus: Sobald eine Session gekapert ist, ergibt sich ein erweitertes Angriffsszenario. Angreifer können sich als legitime Benutzer ausgeben, Betrug betreiben und weitere Systeme innerhalb des Unternehmens erreichen. Dadurch steigen auch die Kosten für Eindämmung und Wiederherstellung.
Betroffene Regionen und Branchen
Die Reichweite von Mirage2FA Microsoft 365 wird als breit beschrieben: Neben den USA wurden auch in weiteren Ländern Aktivitäten beobachtet, unter anderem in Indien, Singapur, Vereinigtes Königreich, Kanada, Saudi-Arabien und Südafrika.
In der Gesamtsumme entfallen laut den Angaben 63,7% der Opfer auf US-basierte Organisationen. Insgesamt wird die Kampagne potenziell mit 4.532 eindeutigen Organisationen-Domänen in Verbindung gebracht.
Auch die Branchenverteilung ist nicht auf einen Bereich beschränkt. Zu den am häufigsten angegriffenen Bereichen zählen Technologie, Herstellung und Bildung.
Warum die Folgeschäden so teuer werden
Viele Vorfälle starten zwar mit einem kompromittierten Konto, enden aber nicht zwingend dort. Die Erkenntnisse weisen darauf hin, dass Folgezugriff möglich ist: Angreifer können auf per SSO verbundene Anwendungen sowie interne Workflows zugreifen.
Das erhöht die Angriffsfläche, erschwert die Containment-Strategie und verlängert die Zeit bis zur vollständigen Wiederherstellung. Gerade bei Session Theft ist es zudem schwieriger, allein über „Passwort zurücksetzen“ schnell die Lage zu beherrschen, weil die eigentliche Gefahr auch in den übernommenen Tokens und Sessions liegen kann.
So reduzieren Sie das Risiko in Ihrer Organisation
Für Unternehmen lässt sich aus den beschriebenen Mustern eine klare Richtung ableiten: Authentication stärken, verdächtiges Verhalten früh erkennen und Session Theft als Identitätsvorfall behandeln.
1) Angriffe früher erkennen – mit tiefer Analyse
Ein entscheidender Hebel ist die Fähigkeit, verdächtige Inhalte und Abläufe frühzeitig zu untersuchen, bevor es zur endgültigen Kontokompromittierung kommt. Dazu gehört laut Empfehlung, Analyseprozesse sicher in bestehende Workflows zu integrieren.
So können Security-Teams Phishing-Verhalten identifizieren, Einordnung gewinnen und potenzielle Auswirkungen besser abschätzen – noch bevor eine Session dauerhaft missbraucht wird.
2) Nicht nur IOCs betrachten: Kampagnenhintergrund aufdecken
Ein weiterer Punkt ist, Mirage2FA Microsoft 365 nicht als „einzelne Indikatoren“-Problem zu sehen. Stattdessen sollten wiederkehrende Loader, codierte Inhalte, auffällige WebSocket-Aktivitäten und zugehörige Infrastruktur gezielt untersucht werden.
Die Idee dahinter: Wenn Sie die Infrastruktur hinter der Kampagne verstehen, erkennen Sie Zusammenhänge, die über einzelne IPs oder Domains hinausgehen. Das macht Detektion und Response robuster – auch wenn sich Angreifer-Infrastruktur ständig anpasst.
3) Session Theft als Identitätsvorfall behandeln
Da der Angriff stark auf dem Übernehmen aktiver Zustände beruht, empfehlen die Erkenntnisse, die Betroffenen nicht nur über einen Passwortwechsel abzusichern. Stattdessen sollten kompromittierte Sessions und Tokens widerrufen werden.
Außerdem gilt: Die Untersuchung sollte sich auf Aktivitäten beziehen, die zur betroffenen Identität gehören. So lässt sich besser nachvollziehen, was nach der Session-Übernahme geschehen ist – und ob SSO-verbundene Dienste ebenfalls betroffen waren.
4) Bedrohungsdaten nutzen und Erkennungen aktualisieren
Ergänzend wird der Einsatz von Threat Intelligence als sinnvoll beschrieben. Real-time Threat-Feeds können neue bösartige Indikatoren liefern und vorhandene Verhaltensregeln unterstützen.
Damit können Analysten von verdächtigen URLs, Domains, IPs und Dateien auf weitere Infrastruktur und zugehörige Aktivitäten „durchpivotiieren“. Das Ziel: isolierte Hinweise zu verwertbaren Erkenntnissen verdichten, die auf Bedrohungsdaten basieren.
Was Sie jetzt konkret priorisieren sollten
Wenn Sie Mirage2FA Microsoft 365 in Ihrer Risikobetrachtung berücksichtigen, lohnt sich eine Prioritätenliste, die sich an den beschriebenen Mechanismen orientiert:
- Session- und Token-Zugriffe überwachen und verdächtige Zustandswechsel früh abfangen.
- Phishing- und Login-Verhalten nicht nur anhand statischer Indikatoren bewerten.
- Incident-Response für Identitätsvorfälle klar definieren, inklusive Maßnahmen zum Widerruf kompromittierter Sessions.
- Threat Intelligence regelmäßig in Analyse- und Detektionsprozesse einweben.
So stellen Sie sicher, dass ein Angriff nicht erst dann auffällt, wenn es bereits zu spät ist – besonders bei Taktiken, die über legitime Login-Abläufe und Session-Übernahme wirken.
Fazit
Mirage2FA Microsoft 365 zeigt, wie Phishing sich weiterentwickelt: Angreifer beschränken sich immer weniger auf reinen Credential-Diebstahl. Stattdessen zielen sie darauf ab, authentifizierte Microsoft-365-Sessions zu übernehmen und damit klassische Schutzmechanismen auszutricksen.
Mit potenziell tausenden betroffenen Organisationen – darunter viele aus den USA – sollten Unternehmen den Fokus auf phishing-resistente Authentifizierung, verhaltensbasierte Erkennung und eine Response legen, die Session Theft konsequent als Identitätsvorfall behandelt. So senken Sie das Risiko für Folgeschäden und reduzieren die Zeit bis zur vollständigen Eindämmung.
Quelle: https://thehackernews.com/2026/08/mirage2fa-surge-hits-4500-us-and-eu.html
