Microsoft warnt seine Office 365-Kunden vor einer weit verbreiteten Phishing-Kampagne zum Stehlen von Benutzernamen und Kennwörtern.
Das Microsoft 365 Defender Threat Intelligence Team hat seine Ergebnisse in seinem Sicherheitsblog veröffentlicht, in dem detailliert beschrieben wird, wie die Angriffe durchgeführt werden, und Ratschläge gegeben werden, was Menschen tun können, um sich zu verteidigen.
Der Angriff führt Benutzer von Office 365 über eine Reihe von Links und Weiterleitungen zu einer reCAPTCHA-Seite von Google. Benutzer werden auf eine gefälschte Anmeldeseite geleitet, auf der ihre Anmeldeinformationen gestohlen und kompromittiert werden.
Laut dem Geheimdienstteam verleiht die reCAPTCHA-Überprüfung von Google Benutzern ein falsches Gefühl der Legitimität, die dazu verleitet werden, zu glauben, dass der gesamte Prozess in Ordnung ist.
Hacker verlassen sich auf ein Marketingtool, das als Open Redirect bekannt ist, eine E-Mail mit einem Link, der den Benutzer zu einer anderen Domain führt. Offene Umleitungen wurden in der Vergangenheit missbraucht, um Benutzer auf bösartige Websites umzuleiten.
Das Geheimdienstteam rät Benutzern, den Mauszeiger über den Link in einer E-Mail zu bewegen, um das Ziel zu überprüfen, bevor sie darauf klicken. Die Idee ist, dass der Benutzer sehen kann, ob der Domainname legitim ist und mit einer Website verknüpft ist, die er kennt und der er vertraut.
Google hingegen ist anderer Meinung. In einem Beitrag auf ihrer Bughunter University, einer Website, die sich der Suche nach Fehlern und Störungen widmet, reagiert Google auf die Behauptungen, dass offene Redirectors unsicher seien.
Der Beitrag gibt an, dass die offenen Redirectors selbst zwar keine Schwachstelle darstellen, aber zugegeben wird, dass sie für andere Schwachstellen missbraucht werden können. Das Unternehmen widerspricht dem Rat, den Mauszeiger über den Link zu bewegen, bevor er darauf klickt, da er nicht immer der genaueste ist und Benutzer die URL nach dem Verschieben normalerweise nicht überprüfen.
Google bietet jedoch keinerlei Ratschläge zur Verteidigung an, außer dass Sie sich mit Google in Verbindung setzen.
