Mirage2FA: 48 % der Ziele von Phishing-Angriffen auf Microsoft 365 potenziell kompromittiert

Eine seit zwei Jahren laufende Kampagne

Mirage2FA wird als Phishing-as-a-Service-Kampagne beschrieben, die auf einem kommerziellen Kit basiert. Sie zielt auf Microsoft-365-Konten ab, indem legitime Anmeldeflüsse missbraucht werden. Das Ziel ist nicht eine bestimmte Softwareversion, sondern die Konten und Dienste, die per Single Sign-on verbunden sind. Die am 25. August 2026 veröffentlichte Untersuchung von ANY.RUN zeigt, dass 48 % der ins Visier genommenen E-Mail-Adressen potenziell kompromittiert wurden. Die Kampagne ist seit 2024 aktiv und auch 2026 noch im Gange.

Die Zahlen sind signifikant: 4.532 E-Mail-Domains eindeutiger Organisationen werden potenziell mit der Kampagne in Verbindung gebracht, insgesamt etwa 4.500 Unternehmen, überwiegend aus den USA und Europa. Es wurden mehr als 9.000 potenzielle Kompromittierungsereignisse festgestellt, darunter Diebstahl von Cookies und Passwörtern, Anmeldungen per Single Sign-on und Umgehung der Zwei-Faktor-Authentifizierung.

Technik: Adversary-in-the-Middle zum Diebstahl authentifizierter Sitzungen

Das Herzstück des Angriffs ist die Adversary-in-the-Middle-Technik (AiTM). Der Angreifer schaltet sich zwischen das Opfer und den legitimen Microsoft-365-Dienst und fängt die Kommunikation ab. Anders als beim herkömmlichen Phishing, das nur auf den Diebstahl von Anmeldedaten abzielt, ist hier das Ziel die authentifizierte Sitzung: Sitzungscookies und Token werden in Echtzeit erfasst, während das Opfer mit einer gefälschten, aber funktionierenden Anmeldeseite interagiert.

Das Problem ist, dass dieser Ansatz die Zwei-Faktor-Authentifizierung umgeht. Das Opfer gibt das Passwort ein und schließt die MFA-Überprüfung ab, aber der Angreifer fängt das resultierende Sitzungscookie ab. Von diesem Zeitpunkt an kann er die bereits authentifizierte Sitzung nutzen, ohne die MFA erneut durchlaufen zu müssen. Die ausgenutzten Schwachstellen betreffen die Authentifizierung und die Sitzungsverwaltung, nicht die Schwäche eines einzelnen Passworts.

Wer betroffen ist: USA an der Spitze, gefolgt von Europa und Asien

Die geografische Verteilung der Opfer zeigt eine deutliche Dominanz der Vereinigten Staaten, die 63,7 % der Gesamtzahl ausmachen. Aktivitäten wurden auch in Indien, Singapur, Großbritannien, Kanada, Saudi-Arabien, Südafrika und anderen Ländern beobachtet. Die am stärksten betroffenen Branchen sind Technologie, Fertigung und Bildung.

Es handelt sich nicht um einen ungezielten Angriff: Die 4.532 eindeutigen E-Mail-Domains deuten auf ein gezieltes Vorgehen gegen bestimmte Organisationen hin, mit Schwerpunkt auf US-amerikanischen und europäischen Unternehmen. Die Vielfalt der Branchen und geografischen Regionen weist auf eine breit angelegte und hartnäckige Kampagne hin.

Folgen: gestohlene Sitzungen und SSO-Zugriff

Der Schaden beschränkt sich nicht auf den Diebstahl von Anmeldedaten. Mit gestohlenen Sitzungscookies und Passwörtern greifen die Angreifer auf geschäftliche E-Mail-Postfächer, vertrauenswürdige Konten und sensible Daten zu, indem sie bereits authentifizierte Sitzungen nutzen. Der Zugriff per Single Sign-on erweitert die Gefahr auf verbundene Anwendungen, interne Arbeitsabläufe und Cloud-Dienste, die mit Microsoft 365 integriert sind.

Die Kompromittierung birgt Risiken der Identitätsübernahme, des Betrugs und weiterer interner Angriffe. Eine entführte Sitzung ist schwerer zu erkennen und zu blockieren als ein verdächtiger Login mit gestohlenen Anmeldedaten: Der legitime Benutzer erscheint normal authentifiziert, während der Angreifer parallel agiert. Die Kosten für die Eindämmung steigen, weil der zu bereinigende Bereich nicht ein einzelnes Konto ist, sondern jeder verbundene SSO-Dienst.

Gegenmaßnahmen: Sitzungsdiebstahl als Identitätsvorfall behandeln

Die Gegenmaßnahmen erfordern einen Perspektivwechsel. Der erste Schritt besteht darin, kompromittierte Sitzungen und Token sofort zu widerrufen und eine Untersuchung der betroffenen Identität einzuleiten. Ein reines Zurücksetzen des Passworts reicht nicht aus: Wenn das Sitzungscookie noch gültig ist, behält der Angreifer auch nach der Änderung der Anmeldedaten Zugriff.

Es sollte eine phishing-resistente Authentifizierung eingeführt werden, die über die herkömmliche MFA auf Basis von Codes oder Push-Benachrichtigungen hinausgeht. Strengere Sitzungskontrollen sind erforderlich, etwa die Begrenzung der Token-Lebensdauer und die Überwachung anomaler Aktivitäten. Ziel ist es, den Wert eines gestohlenen Cookies zu verringern und es dem Angreifer zu erschweren, eine abgefangene Sitzung wiederzuverwenden.

Erkennung: interaktive Sandbox und Threat Intelligence

Um die Kampagne vor einer Kompromittierung abzufangen, isoliert die interaktive Sandbox von ANY.RUN verdächtige Anhänge und URLs und legt die Angriffsschritte offen: Weiterleitungen auf gefälschte Microsoft-365-Anmeldeseiten, Skripte, WebSocket-Aktivitäten. Laut Anbieter erkennt die Plattform Bedrohungen in 14 Sekunden und reduziert die mittlere Reaktionszeit (MTTR) um 21 Minuten pro Fall.

Die Untersuchung sollte nicht bei einzelnen Kompromittierungsindikatoren stehen bleiben. Wiederkehrende Loader, codierte Daten und verdächtige WebSocket-Aktivitäten können Verbindungen zur Kampagne aufdecken, auch wenn sich die Angreiferinfrastruktur ändert. Echtzeit-Threat-Intelligence-Feeds liefern aktualisierte Indikatoren, während der Threat Intelligence Lookup-Dienst Pivotierungen von URLs, Domains, IPs und verdächtigen Dateien zu verwandter Infrastruktur ermöglicht und dabei auf Daten von über 16.000 Organisationen zurückgreift.