- Kampagne zum Diebstahl von Anmeldedaten, bei der sich die Angreifer als Benachrichtigungen zu Aufgaben in Microsoft Teams ausgeben
- Nutzung des E-Mail-Versanddienstes von SendGrid und der Vorlagen für Sicherheitsschulungen von CanIPhish
- Über 9.000 beobachtete Fälle zwischen Januar und Februar 2026
- In den USA ansässige Unternehmen aus verschiedenen Branchen, insbesondere aus den Bereichen Finanzwesen, freiberufliche Dienstleistungen, Fertigung und Gesundheitswesen
- Diebstahl von Zugangsdaten durch gefälschte Aufgabenbenachrichtigungen
Threat intelligence
Phishing-Kampagne unter dem Deckmantel von Microsoft Teams, die legitime Schulungsressourcen ausnutzt
Wichtige Punkte
Kampagnenübersicht
Das Mimecast Threat Research Team hat eine Phishing-Kampagne zur Erlangung von Zugangsdaten aufgedeckt, bei der legitime Schulungsunterlagen zur Sensibilisierung für Sicherheitsfragen missbraucht werden. Angreifer haben öffentlich zugängliche Vorlagen für Phishing-Simulationen von CanIPhish, einer seriösen Plattform für Sicherheitsschulungen, abgeändert, um überzeugende Köder im Microsoft-Teams-Design zu erstellen, die sich an geschäftliche Nutzer richten.
Angriffskette
Die Kampagne verfolgt einen mehrstufigen Ansatz, der darauf abzielt, das Vertrauen der Nutzer in vertraute Tools der Geschäftskommunikation auszunutzen:
1. Erstzustellung: E-Mails werden über die SendGrid-Infrastruktur unter Verwendung kompromittierter Konten versendet
2. Social-Engineering-Köder: Die Empfänger erhalten eine scheinbar von Microsoft Teams stammende Benachrichtigung über eine zugewiesene Aufgabe zur Überprüfung eines „ "-Fälligkeitsberichts“ (" ) im Zusammenhang mit Verbindlichkeiten oder Finanzunterlagen.
3. Missbrauch von Vorlagen: Angreifer haben HTML-Vorlagen aus den öffentlich zugänglichen Phishing-Simulationsbeispielen von CanIPhish bezogen. Diese Vorlagen, die ursprünglich für Sicherheitsschulungen konzipiert wurden, wurden wie folgt angepasst:
- Ersetzen Sie die Simulations-URLs durch die Domain, die zum Ausspähen von Zugangsdaten dient
- Passen Sie Firmennamen und Empfängerdaten für die jeweiligen Organisationen an
Die angepassten Vorlagen enthalten weiterhin Verweise auf den AWS-S3-Bucket von CanIPhish für Bilddateien (https://caniphish.s3.ap-southeast-2.amazonaws.com/), wodurch der Anschein der Legitimität weiter verstärkt wird.
" 4. Erfassung von Anmeldedaten: Benutzer , die auf die Schaltflächen „ "“ (In Teams öffnen), „" “ (In Teams öffnen) oder „ "“ (Im Browser öffnen) klicken, werden auf die unten angegebene Seite weitergeleitet, wo sie auf einen weiteren Link klicken müssen, um die Datei zu öffnen.
