Blog
KI-gestützte Angriffe über Microsoft Teams: Spear Vishing trifft auf Zero-Day-Schwachstelle
Bei dem Angriff auf ein betroffenes Unternehmen kamen zwei Sicherheitsprobleme zusammen:
Problem 1: KI-gestütztes Spear Vishing über Microsoft Teams
Der Angreifer nutzte zunächst Microsoft Teams für einen KI-gestützten Spear-Vishing-Angriff. Über ein externes Konto rief er Mitarbeitende an und gab sich als ein ihnen bekannter interner Entwickler aus. Mithilfe von KI hatte er dessen Stimme geklont, wodurch die Anrufe besonders glaubwürdig wirkten. Auf diese Weise überzeugte er die Mitarbeitenden, ihre Bildschirme freizugeben und ihm die Fernsteuerung über Teams zu erlauben. So wurde aus einer vertrauenswürdigen Kollaborationsplattform ein Einfallstor für den Angriff.
Problem 2: Zero-Day-Schwachstelle in Microsoft Teams
Als Zero-Day bezeichnet man üblicherweise eine bislang unbekannte oder nicht behobene Sicherheitslücke, für die möglicherweise noch kein Sicherheitsupdate oder keine wirksamen Maßnahmen zur Risikominderung verfügbar sind. Im vorliegenden Fall ging es konkret um das Fortbestehen einer bereits bestehenden Fernsteuerungssitzung.
Laut einer im Juni 2026 auf GitHub veröffentlichten Sicherheitsmeldung zeigten Tests, dass der Widerruf von Micorsoft-Entra-ID-Sitzungen eines steuernden Kontos eine erneute Authentifizierung erforderlich machte und neue authentifizierte Interaktionen verhinderte. Die bestehende Fernsteuerungssitzung blieb jedoch Berichten zufolge aktiv, sodass der Computer weiterhin ferngesteuert werden konnte.
Für die Reaktion auf Sicherheitsvorfälle ergibt sich daraus eine besondere Herausforderung:
Der Widerruf der Microsoft-Entra-ID-Sitzung eines Angreifers führt nicht zwangsläufig dazu, dass auch dessen bestehende Fernsteuerungssitzung in Microsoft Teams beendet wird.
Das Microsoft Security Response Center (MSRC) prüfte das gemeldete Verhalten, stufte es jedoch nicht als Sicherheitslücke ein, die eine Behebung erfordert. Deshalb sollte das Problem weder als von Microsoft bestätigte Zero-Day-Schwachstelle noch als Umgehung der Authentifizierung bezeichnet werden. Aus Sicherheitsperspektive deutet das gemeldete Verhalten jedoch auf eine potenziell erhebliche Lücke bei der Eindämmung von Sicherheitsvorfällen hin, die Sicherheitsteams im Blick behalten sollten.
Eine gefährliche Kombination
Die beiden Probleme greifen ineinander:
KI-gestützte Stimmenimitation → vermeintlich vertrauenswürdiger Teams-Anfruf → Bildschirmfreigabe → Fernsteuerung → interaktiver Zugriff → Problem bei der Eindämmung durch die gemeldete Zero-Day-Schwachstelle in Teams
Ein KI-gestützter Spear-Vishing-Angriff verschafft dem Angreifer Zugriff auf den Arbeitsplatzrechner. Gleichzeitig kann die gemeldete Zero-Day-Schwachstelle in Microsoft Teams es dem Security Operations Center (SOC) erschweren, einen bereits bestehenden Fernzugriff zu beenden.
Genau darin liegt das eigentliche Sicherheitsrisiko.
Organisationen können nicht mehr davon ausgehen, dass ein bekannter Name oder sogar eine vertraute Stimme die Identität der Person hinter einem Teams-Anruf bestätigt. Auch bei der Reaktion auf Sicherheitsvorfälle darf die Deaktivierung eines Kontos oder der Widerruf von Sitzungen nicht automatisch als Nachweis dafür gelten, dass eine aktive Fernsteuerungsverbindung tatsächlich beendet wurde.
Kontakt
Sie möchten die Sicherheit Ihrer Organistation stärken?
Sprechen Sie uns an.
Das könnte Sie auch interessieren
- Webinare
- Blog
- Blog