Seit April 2026 missbraucht die Hackergruppe O-UNC-066 den Passkey-Registrierungsprozess von Microsoft 365, um über Voice-Phishing an Unternehmensdaten zu gelangen. Die Angriffe richten sich branchenübergreifend gegen große Firmen und zeigen, wie sich Cyberkriminelle legitime Sicherheitsinitiativen zunutze machen.
In einem Experten-Statement geht Arkadiusz Krowczynski, Principal Product Acceleration Specialist bei Okta, auf eine branchenübergreifende Angriffswelle ein:
Die Einführung von Passkeys als passwortlose Authentifizierungsmethode soll die Sicherheit von Unternehmensaccounts erhöhen. Aktuelle Angriffsmuster zeigen jedoch, dass Cyberkriminelle diese Technologie als Einfallstor nutzen können.
Seit April 2026 führt die unter dem Namen O-UNC-066 bekannte Gruppierung gezielte Angriffe gegen Microsoft 365-Kunden durch. Die Ziele sind große Unternehmen aus den Bereichen Lebensmittel, Technologie, Gesundheitswesen, Automobil, Bauwesen und Luftfahrt. Primäres Ziel der Kampagnen ist der Diebstahl von Daten und die anschließende Erpressung der betroffenen Organisationen.
Der Angriffsvektor basiert auf der Ausnutzung legitimer Sicherheitsinitiativen. Seit Mai 2026 können Administratoren in entsprechenden IT-Umgebungen sogenannte Nudge-Kampagnen aktivieren, die Nutzer beim regulären Login auffordern, einen Passkey einzurichten. Die Angreifer registrieren bösartige Domains, die das Wort „Passkey“ enthalten, und rufen Zielpersonen direkt an. Am Telefon geben sie sich als interner IT-Support aus und überzeugen die Opfer von einer dringenden Passkey-Registrierung.
Werden die Nutzer auf die präparierten Links geleitet, landen sie auf zielgruppenspezifischen Subdomains, die die vertrauten Login-Seiten täuschend echt nachbilden – inklusive korrekter Firmenlogos und Hintergrundbilder. Das eingesetzte Phishing-Kit basiert auf einem manuell gesteuerten PHP-Panel. Über einen Heartbeat-Polling-Mechanismus lenkt der Angreifer das Opfer nahezu in Echtzeit durch die verschiedenen Authentifizierungsphasen.
Diese Infrastruktur ermöglicht eine dynamische Anpassung der gefälschten Webseite an die individuellen Multi-Faktor-Authentifizierungsanforderungen des Opfers. Ob zeitbasierte Einmalpasswörter, SMS-Codes oder Push-Benachrichtigungen mit Number-Matching – das System präsentiert exakt die Eingabemaske, die der Täter im Hintergrund für den echten Login-Versuch benötigt. Während der Anrufer das Opfer instruiert, werden die eingegebenen Daten im Panel des Angreifers sichtbar und zeitgleich im echten Firmenportal eingesetzt.
Der kritischste Teil des Angriffs ist die Registrierung. Das Phishing-Kit nutzt die mangelnde Vertrautheit der Endanwender mit dem systemseitigen Passkey-Enrollment-Prozess aus. Anstatt einen echten Systemdialog aufzurufen, präsentiert das Kit eine gefälschte Seite, die den Nutzer zur Speicherung eines „Recovery Keys“ auffordert. Dabei generiert es eine Liste von BIP-39-Wörtern und lässt das Opfer diese notieren. Zur Bestätigung muss das letzte Wort manuell eingegeben werden. Diese Phrasen haben keine Relevanz für den regulären Registrierungsprozess, sondern dienen ausschließlich der Ablenkung. Während das Opfer beschäftigt ist, hinterlegt der Angreifer unbemerkt seinen eigenen, kontrollierten Passkey im echten Konto des Opfers. Das Opfer geht davon aus, einen sicheren Passkey eingerichtet zu haben, während der Angreifer eine persistente Hintertür in das Unternehmensnetzwerk eingebaut hat, für die er weder das ursprüngliche Passwort noch das MFA-Gerät des Nutzers benötigt.
Sicherheitsexperten empfehlen Unternehmen, restriktive Enrollment-Prozesse zu etablieren. Die Registrierung neuer Passkeys oder MFA-Methoden sollte niemals ohne zusätzliche Verifizierung und aus unbekannten Netzwerken heraus möglich sein. Die Einrichtung muss auf vertrauenswürdige Umgebungen oder auf verifizierte, verwaltete Endgeräte beschränkt werden. Alternativ ist ein durch den Support ausgegebener, befristeter Zugangscode für das Hinzufügen neuer Faktoren notwendig.
Ergänzend ist ein engmaschiges Monitoring unerlässlich, das bei Anmelde-Registrierungen unter ungewöhnlichen Bedingungen Alarm schlägt. Ebenso entscheidend ist die Sensibilisierung der Belegschaft für Vishing-Taktiken: Mitarbeiter müssen wissen, wie echte Systemdialoge aussehen und dass der IT-Support niemals unaufgefordert anruft, um bei Login-Prozessen zu assistieren. Zudem sind strikte Helpdesk-Vorgaben erforderlich, bei denen Support-Anfragen ausschließlich über definierte Ticketsysteme abgewickelt und Nutzeridentitäten am Telefon stets durch sichere Rückruf-Routinen verifiziert werden.
Die Angriffswelle von O-UNC-066 unterstreicht, dass die Einführung moderner Authentifizierungsverfahren allein nicht ausreicht. Unternehmen müssen zusätzlich den Registrierungsprozess absichern und ihre Mitarbeiter gezielt für Voice-Phishing sensibilisieren.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de