Microsoft warnt vor Phishing-Angriffen, die auf Office 365-Benutzer abzielen

Microsoft warnt seine Office 365-Kunden vor einer weit verbreiteten Phishing-Kampagne, um Benutzernamen und Passwörter zu stehlen.

Das Microsoft 365 Defender Threat Intelligence-Team veröffentlichte seine Ergebnisse auf seinem Security-Blog, der detailliert beschreibt, wie die Angriffe durchgeführt werden und was die Leute tun können, um sich zu verteidigen.

Der Angriff funktioniert, indem er Office 365-Benutzer über eine Reihe von Links und Weiterleitungen zu einer Google reCAPTCHA-Seite führt. Benutzer werden auf eine gefälschte Anmeldeseite geleitet, auf der ihre Anmeldeinformationen gestohlen werden, wodurch sie kompromittiert werden.

Laut dem Intelligence Team verleiht die Google reCAPTCHA-Verifizierung Benutzern, die dazu verleitet werden, den gesamten Prozess für in Ordnung zu halten, ein falsches Gefühl der Legitimität.

Hacker verlassen sich auf ein Marketing-Tool, das als Open Redirect bekannt ist, eine E-Mail mit einem Link, der den Benutzer zu einer anderen Domain führt. Offene Redirectors wurden in der Vergangenheit missbraucht, um Benutzer auf bösartige Websites zu leiten.

Das Intelligence Team empfiehlt Benutzern, den Mauszeiger über den Link in einer E-Mail zu bewegen, um das Ziel zu überprüfen, bevor sie darauf klicken. Die Idee ist, dass der Benutzer sehen kann, ob der Domainname legitim ist und mit einer Website verknüpft ist, die er kennt und denen er vertraut.

Google hingegen ist anderer Meinung. In einem Post auf ihrer Bughunter University, einer Website, die sich der Suche nach Fehlern und Störungen widmet, reagiert Google auf die Vorwürfe, dass offene Weiterleitungen unsicher sind.

In dem Beitrag heißt es, dass die offenen Redirectors selbst zwar keine Schwachstelle darstellen, aber zugestehen, dass sie für andere Schwachstellen missbraucht werden können. Das Unternehmen lehnt den Rat ab, vor dem Klicken mit der Maus über den Link zu fahren, da dies nicht immer die genaueste ist und Benutzer die URL nach dem Verschieben normalerweise nicht überprüfen.

Google bietet jedoch keine anderen Ratschläge zur Verteidigung an, als sie zu kontaktieren.