- Die Angreifer schlugen innerhalb weniger Stunden zu: Nach dem Ausfall am 12. November tauchten Phishing-E-Mails auf, die als Benachrichtigungen von Microsoft-Diensten getarnt waren und mit dringlichen Lockangeboten sowie einer einzigen Schaltfläche arbeiteten.
- Das tatsächliche Ziel ist verborgen: Die Klickverfolgung von SendGrid verschlüsselt das Ziel des Links, sodass Überprüfungen, die nur die sichtbare URL auswerten, diesen nicht erkennen.
- Mängel in der Vorlage verraten sie: Ein nicht ausgefüllter „DOMAIN“-Platzhalter, eine gefälschte Vorfall-ID und umständliche Formulierungen sind verlässliche Anzeichen. Mimecast blockiert die Links dieser Kampagne.
Blog
Angreifer nutzen den Ausfall von Microsoft 365 aus, indem sie mit gefälschten „zurückgehaltenen Nachrichten“ als Köder arbeiten
Von Mimecast – Forschung und Informationen zu Bedrohungen
Wichtige Punkte
Bereits wenige Stunden nach der Microsoft 365-Dienstunterbrechung am 12. November 2026 tauchten erste Phishing-E-Mails auf, die die Unterbrechung als Köder nutzten. Die Nachrichten geben sich als Microsoft-Servicebenachrichtigungen aus, mit Anzeigenamen wie „Service Health“, „Mail-Restore-Auth“ und „Health Status“ sowie Betreffzeilen, die mit „Outage –“, „Restore –“ oder „Strengthen-Security“ beginnen. Jede davon drängt den Empfänger dazu, auf eine Schaltfläche zu klicken, und die Links werden über das Klick-Tracking von SendGrid geleitet, um das tatsächliche Ziel zu verschleiern.
So sehen die E-Mails aus
Wir haben zwei Motive festgestellt, die hier jeweils anhand einer repräsentativen E-Mail dargestellt werden. Beide verwenden das Microsoft-Logo und den Tonfall einer Service-Mitteilung und setzen auf Dringlichkeit.
Thema 1, zurückgehaltene Nachrichten: „Nach dem Ausfall zurückgehaltene Nachrichten.“ Die in Abbildung 1.0 gezeigte E-Mail behauptet, der E-Mail-Verkehr über Exchange Online sei am 12. November 2026 unterbrochen worden, nennt eine Vorfall-ID (EX1550543) und teilt mit, dass vier Nachrichten zurückgehalten werden und innerhalb von 24 Stunden gelöscht werden, sofern sie nicht freigegeben werden. Die Schaltfläche trägt die Aufschrift „Nachrichten wiederherstellen“.
Thema 2, Sicherheitsproblem: „Sicherheitsproblem festgestellt“. Diese E-Mail, wie in Abbildung 2.0 dargestellt, trägt die Kopfzeile DOMAIN Support-Desk, besagt, dass ein Sicherheitsproblem in Ihrem Konto festgestellt wurde, und enthält eine Schaltfläche „Maßnahmen ergreifen“.
Verwandte Tags
- Email & Collaboration Security
