{"id":275,"date":"2026-11-09T14:25:12","date_gmt":"2026-11-09T13:25:12","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/phishing-kampagne-nutzt-gefaelschte-events-von-ki-unternehmen-zur-kontouebernahme\/"},"modified":"2026-11-09T14:26:01","modified_gmt":"2026-11-09T13:26:01","slug":"phishing-kampagne-nutzt-gefaelschte-events-von-ki-unternehmen-zur-kontouebernahme","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/phishing-kampagne-nutzt-gefaelschte-events-von-ki-unternehmen-zur-kontouebernahme\/","title":{"rendered":"Phishing-Kampagne nutzt gef\u00e4lschte Events von KI-Unternehmen zur Konto\u00fcbernahme"},"content":{"rendered":"

Forscher des Sicherheitsunternehmens Push Security haben eine Phishing-Kampagne analysiert, die gef\u00e4lschte Registrierungsseiten f\u00fcr Events von OpenAI, SpaceX und Anthropic einsetzt. Die Angreifer haben es auf gesch\u00e4ftliche Microsoft- und Google-Konten abgesehen und locken Mitarbeitende mit Belohnungen wie kostenlosen Abonnements f\u00fcr ChatGPT Pro oder Grok Heavy.<\/strong><\/p>\n

Push Security beschreibt die Vorgehensweise der Angreifer in einer Analyse der Kampagne mit gef\u00e4lschten KI-Events<\/a>. Laut den Forschern erhalten die Opfer eine Einladung per E-Mail mit gek\u00fcrzten Links, die \u00fcber Redirects auf vertrauensw\u00fcrdige Domains unter anderem von Google, Zapier und X laufen. Auf diese Weise versuchen die Angreifer, Filter zu umgehen, die verd\u00e4chtige Domains pr\u00fcfen.<\/p>\n

Wer auf den Link klickt, landet laut Push Security zun\u00e4chst auf einer gef\u00e4lschten Cloudflare-Pr\u00fcfseite. Diese Seite blockiert automatisierte Sicherheitsscanner, sodass die eigentliche Phishing-Seite f\u00fcr Tools, die URLs analysieren, unsichtbar bleibt. Erst danach bekommt der Besucher die gef\u00e4lschte Eventseite zu sehen, die im Design den offiziellen Seiten der jeweiligen Unternehmen \u00e4hnelt.<\/p>\n

Anmeldung mit dem Arbeitskonto<\/h3>\n

Auf den gef\u00e4lschten Seiten wird der Besucher aufgefordert, sich mit seinem Arbeitskonto anzumelden, um einen Livestream anzusehen oder eine Belohnung einzul\u00f6sen. Die Forscher geben an, dass die Funktionsweise der Login-Buttons von der gew\u00e4hlten Plattform abh\u00e4ngt.<\/p>\n

Entscheidet sich ein Nutzer f\u00fcr \u201eContinue with Microsoft\u201c, zeigt die Phishing-Plattform Kali365 einen Code an, der auf der offiziellen Device-Login-Seite von Microsoft eingegeben werden muss. Sobald der Nutzer den Code best\u00e4tigt, erhalten die Angreifer Zugriff auf das Konto. Anschlie\u00dfend wird das Opfer auf eine zweite gef\u00e4lschte Seite weitergeleitet, die \u00fcber VoidProxy zus\u00e4tzlich das Passwort und das Session-Cookie abgreift.<\/p>\n

Der Button \u201eContinue with Google\u201c \u00f6ffnet ein Pop-up-Fenster, das auf VoidProxy l\u00e4uft. Diese Plattform arbeitet als Adversary-in-the-Middle-(AiTM-)Reverse-Proxy. Sie reicht den echten Anmeldevorgang von Google an den Nutzer durch und f\u00e4ngt gleichzeitig das Passwort, den Code f\u00fcr die Multi-Faktor-Authentifizierung (MFA) und die Session-Tokens ab. Mit diesen Tokens kann ein Angreifer eine Sitzung \u00fcbernehmen, ohne den MFA-Schritt erneut durchlaufen zu m\u00fcssen.<\/p>\n

Ein Betreiber hinter mehreren Kits<\/h3>\n

Push Security zufolge stammen die Kits f\u00fcr die Landingpages, von den Forschern ZoomMock und MSDRoot genannt, vom selben Betreiber. Dieser mietet Kali365 und VoidProxy als Dienst an, um MFA zu umgehen. Der Angreifer muss die Technik zum Abfangen von Anmeldedaten also nicht selbst entwickeln.<\/p>\n

Laut den Forschern wechseln die Angreifer in hohem Tempo Domains und Markenthemen und nutzen legitime Cloud-Infrastruktur. Push Security zufolge greifen Blacklists und URL-Filter deshalb oft zu kurz. Das Unternehmen, das selbst Sicherheit auf Browserebene anbietet, pl\u00e4diert f\u00fcr eine Erkennung im Browser, die das Verhalten einer Seite w\u00e4hrend des Ladens analysiert.<\/p>\n

Hinweise f\u00fcr Administratoren<\/h3>\n

Die Kampagne kombiniert zwei Techniken, die beide darauf abzielen, MFA zu umgehen: den Missbrauch des Device Code Flow bei Microsoft und das Abfangen von Session-Tokens \u00fcber einen Reverse Proxy. F\u00fcr Administratoren von Microsoft-365-Umgebungen ist es daher sinnvoll zu pr\u00fcfen, ob der Device Code Flow in der Organisation ben\u00f6tigt wird. \u00dcber Conditional Access k\u00f6nnen Sie diese Authentifizierungsmethode einschr\u00e4nken oder blockieren. Phishing-resistente MFA-Verfahren wie FIDO2-Schl\u00fcssel und Passkeys sind an die Domain gebunden, auf der sie registriert wurden, und funktionieren daher nicht \u00fcber einen AiTM-Proxy.<\/p>\n

Dar\u00fcber hinaus zeigt die Kampagne, dass Angreifer das Interesse an KI-Diensten ausnutzen. Belohnungen wie kostenlose Abonnements f\u00fcr ChatGPT Pro oder Grok Heavy sind ein wiedererkennbares Muster, das Sie in Awareness-Schulungen f\u00fcr Mitarbeitende aufgreifen k\u00f6nnen.<\/p>\n

Der vollst\u00e4ndige Bericht ist hier abrufbar: Analyse der Kampagne mit gef\u00e4lschten KI-Events<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"

Eine Phishing-Kampagne nutzt gef\u00e4lschte Eventseiten von OpenAI, SpaceX und Anthropic, um Gesch\u00e4ftskonten zu \u00fcbernehmen. Angreifer umgehen MFA \u00fcber Device-Code-Phishing und einen AiTM-Proxy.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169607,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/phishingcampagne-gebruikt-nepevenementen-van-ai-bedrijven-voor-accountovername\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/phishing-campaign-uses-fake-ai-company-events-to-take-over-accounts\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/11\/hero-1794230697977.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/11\/hero-1794230697977-768x432.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"Push Security entdeckt Phishing-Kampagne mit gef\u00e4lschten Events von OpenAI, SpaceX und Anthropic, die auf Microsoft- und Google-Konten zielt.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-275","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/275","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=275"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/275\/revisions"}],"predecessor-version":[{"id":276,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/275\/revisions\/276"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=275"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=275"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=275"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=275"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}