KnowBe4 Threat Labs meldet Entdeckung einer hochentwickelten mehrstufigen Phishing-Kampagne

Verschachtelte Phishing-Attacke umgeht herkömmliche E-Mail-Sicherheitsmaßnahmen wie SEGs und MFA

[datensicherheit.de, 13.12.2025] Die „KnowBe4 Threat Labs“ beobachten nach eigenen Angaben seit dem 3. November 2025 „eine hochentwickelte mehrstufige Phishing-Kampagne“ – darüber versuchen Angreifer demnach, „Microsoft 365“-Anmeldedaten von Unternehmensmitarbeitern zu stehlen. Diese Kampagne sei hochentwickelt: „Sie wurde so konzipiert, dass sie herkömmliche E-Mail-Sicherheitsmaßnahmen, wie ,Secure Email Gateways’ (SEGs) und Multi-Faktor-Authentifizierungs-Tools (MFA), umgehen kann.“

Abbildung: KnowBe4

Die „KnowBe4 Threat Labs“ warnen aktuell vor einer hochentwickelten mehrstufige Phishing-Kampagne

Phishing-E-Mail: Ein maliziöser Hyperlink in „verschachtelten“ PDF-Anhängen versteckt

Die Phishing-Kampagne beinhalte mehrere fortschrittliche technische Maßnahmen, mit denen sich die bösartige Nutzlast erfolgreich vor herkömmlichen Abwehrmaßnahmen verbergen lasse.

• „Zunächst erhalten die Opfer eine Phishing-E-Mail. Die Nutzlast – ein Phishing-Hyperlink – ist auf ihr in ,verschachtelten’ PDF-Anhängen versteckt. Wenn ein Opfer den ersten Anhang der Phishing-E-Mail öffnet, sieht es ein gerendertes Dokument mit einem weiteren Hyperlink, auf den es klicken kann. Sobald es auf diesen Hyperlink klickt, wird er zu einem zweiten Dokument weitergeleitet, das einen weiteren Hyperlink enthält.“

Diese Schichtung von PDF-Anhängen diene dazu, das endgültige Ziel – die eigentliche Phishing-Webseite – vor den Sicherheitstools des Opfers zu verbergen. Aufgrund technischer Einschränkungen oder „Service Level Agreements“ (SLAs) für die E-Mail-Zustellung (Latenz) könnten diese keine aufeinanderfolgenden Sprünge zwischen den verschiedenen Hyperlinks durchführen.

Phishing-Kampagne kann MFA-Kontrollen in Echtzeit umgehen

Zusätzlich werde die schädliche Nutzlast durch legitime und vertrauenswürdige CDN-Dienste maskiert, welche bei der Überprüfung durch Sicherheits-Tools als „harmlos“ erschienen.

• „Wenn nun ein Opfer alle Sprünge durch die verschachtelten PDF-Dokumente absolviert hat, wird es zu einer gefälschten ,Microsoft 365‘-Anmeldeseite weitergeleitet – das eigentliche Ziel. Hier werden die Opfer dann dazu gebracht, ihre ,Microsoft 365‘-Anmeldedaten einzugeben.“

Bei einer eingehenden Analyse der Fake-Anmeldeseiten stellten die Forscher von KnowBe4 demnach fest, dass diese insgesamt neun unterschiedliche fortgeschrittene Techniken zur Umgehung von Aufspürmaßnahmen enthält. „Darüber hinaus entdeckten sie, dass die Phishing-Kampagne die Fähigkeit besitzt, MFA-Kontrollen in Echtzeit zu umgehen.“ Die Angreifer erhielten sofortigen und vollständigen Zugriff auf die „Microsoft 365“-Umgebungen ihrer Opfer – und damit auch auf die ihrer Arbeitgeber.

Einsatz eines modernen „Human Risk Management“-Systems zur Phishing-Abwehr empfohlen

Unternehmen sollten nun dringend mehrere Maßnahmen ergreifen, ihre Mitarbeiter-Konten vor den Angreifern dieser Phishing-Kampagne zu schützen. Sie könnten laut KnowBe4:

• ihre E-Mail-Sicherheit verbessern – zum Beispiel durch Implementierung eines fortschrittlichen „Cloud“-E-Mail-Sicherheitsprodukts (ICES),
• ihre E-Mail-Filterregeln anpassen,
• ihre Indikatoren für Kompromittierungen blockieren (IoCs),
• ihre letzten MFA-Authentifizierungen auf verdächtige Muster überprüfen und das Sicherheitsbewusstsein ihrer Mitarbeiter schulen.

Am effektivsten – da umfassendsten – kann ihnen laut KnowBe4 hierbei der Einsatz eines modernen „Human Risk Management“-Systems helfen. Dessen Phishing-Trainings, -Schulungen und -Tests ließen sich mittels Künstlicher Intelligenz (KI) mittlerweile personalisieren und automatisiert – kontinuierlich – zum Einsatz bringen, um Mitarbeiter wie KI-Agenten zu stärken.

Weitere Informationen zum Thema:

knowbe4
About Us / Who We Are

knowbe4, Bex Bailey, 16.07.2025
Engineered To Evade: How Phishing Attacks Are Designed To Get Through Your Secure Email Gateway

KnowBe4 Threat Labs
Schaubild zur „Angriffskettenanalyse mit MITRE-Taktiken, -Techniken und -Verfahren (TTPs)“

datensicherheit.de, 26.08.2025
Microsoft 365: Manipulation von E-Mail-Regeln, Formularen und Konnektoren als Sicherheitsrisiken / E-Mail-Regeln, Formulare und Mailfluss-Konnektoren können manipuliert werden und bergen ein ernstzunehmendes Risiko für Unternehmen, welche Dienste wie „Microsoft 365“ nutzen

datensicherheit.de, 31.07.2025
Microsoft 365 im Visier: Cyberkriminelle knacken MFA / Online-Kriminalität entwickelt sich stetig fort. Angreifern ist es mittels raffinierten Täuschungsmanövern gelungen Multi-Faktor-Authentifizierungen auszuhebeln.

datensicherheit.de, 12.08.2021
Studie zum Sicherheitsniveau bei E-Mail-Kommunikation und Einsatz von Microsoft 365 / Laut Hornetsecurity-Umfrage eins von vier Unternehmen mit mindestens einer E-Mail-Sicherheitslücke

datensicherheit.de, 22.08.2020
Microsoft 365: Auf diese Angriffsarten sollten Firmen verstärkt achten / Kudelski Security nimmt Stellung zu häufig auftretenden Einfallstoren in Microsoft 365 und benennt hilfreiche Abwehrtaktiken

datensicherheit.de, 03.02.2019
Microsoft 365-Nutzer konnten keine Links mehr öffnen / Datenschutzverletzung am 29. Januar 2019 spürbar geworden