Neuer Browser-in-Browser-Phishing-Angriff stiehlt Microsoft 365-Anmeldedaten

Sicherheitslage und Risiko

Dieser gestohlene Token funktioniert ähnlich wie ein Sitzungs-Cookie und gewährt dauerhaften Zugriff, ohne dass das Passwort des Opfers erneut erforderlich ist. Neue Phishing-Angriffe mittels „Browser-in-Browser"-Technik Der Angriff beginnt, wenn ein Opfer auf eine Seite gelangt, die sich wie ein legitimer Dienst mit Microsoft-Anmeldung ausnimmt.

Beim Klicken auf die Anmeldeschaltfläche wird ein gefälschtes Popup-Fenster vollständig innerhalb des Browser-Tab-Elements mittels HTML, CSS und JavaScript gerendert. Dieses Fenster zeigt eine nachgeahmte Adressleiste mit einer realistischen Microsoft-OAuth-URL, was ein falsches Sicherheitsgefühl erzeugt.

Im Gegensatz zu einem echten Browser-Popup, das ein eigenständiges Betriebssystemfenster darstellt, handelt es sich bei diesem gefälschten Fenster um ein DOM-Element, das im übergeordneten Tab eingefangen ist.

Die Angreifer sind jedoch noch einen

Die Angreifer sind jedoch noch einen Schritt weitergegangen: Sie haben das Fenster verschiebbar gemacht, wodurch sich das Gefühl eines echten Fensters erzeugt und einer der zuverlässigsten visuellen Hinweise, an denen Nutzer einen Betrug erkennen könnten, entzogen wird.

Durch OS- und Browser-Fingerprinting wird sichergestellt, dass das Popup exakt dem tatsächlichen System des Opfers entspricht; somit sehen Schriftart, Gestaltung und Verhalten völlig authentisch aus. Sobald die Zugangsdaten eingegeben wurden, werden diese stumm an einen vom Angreifer kontrollierten Server übermittelt.

Das Opfer wird danach oft auf die echte Microsoft-Anmeldeseite weitergeleitet, sodass es lediglich annimmt, das Passwort falsch eingegeben zu haben, und erneut versucht, ohne zu ahnen, dass sein Konto kompromittiert wurde. Die Gefahr von abgefangenen OAuth-Tokens Besonders alarmierend an diesem Angriff ist, was nach dem Diebstahl der Zugangsdaten geschieht.

Was die Studie zeigt

Wie der Sicherheitsforscher DLTA in Reaktion auf die Erkenntnis von Unit 42 feststellte, ist die eigentliche Beute die Abfangung des OAuth-Zustimmungszertifikats selbst.

Dieses Artefakt kann weiterhin wie eine Sitzungs-Cookie oder ein SSO-Refresh-Token funktionieren und dem Angreifer einen anhaltenden Zugriff auf Cloud-Umgebungen, E-Mail-Konten und verbundene Dienste gewähren.

Das bedeutet, dass selbst das Zurücksetzen eines Passworts den Zugriff eines Angreifers nicht sofort widerrufen, wenn dieser bereits über einen gültigen Sitzungstoken verfügt. Organisationen müssen nach aktiven Sitzungen von unbekannten Standorten oder Geräten suchen und verdächtige Tokens unverzüglich widerrufen.

Sicherheitslage und Risiko

Um geschützt zu bleiben, sollten Benutzer so weit wie möglich phishing-resistente Authentifizierungsmethoden wie Passkeys oder FIDO2-Hardware-Schlüssel aktivieren. Passwort-Manager fungieren ebenfalls als frühes Warnsignal, da sie Zugangsdaten nicht in eine gefälschte Popup-Fenster einfügen, die nicht mit dem Ursprung der echten Website übereinstimmt.

Bedingte Zugriffsrichtlinien, die Anmeldungen auf verwaltete Geräte beschränken, bieten eine weitere starke Schutzschicht. Tushar ist ein Senior-Berichter für Cybersicherheit und Datenschutzverletzungen. Er spezialisiert sich auf die Berichterstattung über Cybersicherheitsnachrichten, Trends und aufkommende Bedrohungen, Datenlecks sowie Malware-Angriffe.

Mit jahrelanger Erfahrung bringt er Klarheit und Tiefe in komplexe Sicherheitsthemen ein. Microsoft Patch Tuesday Juni 2026 – 198 behobene Schwachstellen, darunter drei Zero-Day-Lücken. Kritische Veeam-Schwachstelle ermöglicht RCE-Angriffe auf Backup-Server. Fortinet FortiSandbox-Schwachstelle ermöglicht Angreifern die Ausführung unbefugter Befehle.