24.07.2026 14:02

Vermehrt Phishing-Mails von legitimen E-Mail-Adressen aus Österreich

Im Moment beobachten wir vermehrt erfolgreiches Phishing, das von kompromittierten E-Mail-Konten österreichischer Unternehmen ausgeht.
Die Phishing-Mails zielen darauf ab, Microsoft-365-Zugangsdaten zu stehlen, das Konto zu übernehmen und weitere Phishing-Mails zu versenden. Die Phishing-Mails werden an die im Adressbuch gespeicherten Kontakte versendet. Da Empfänger und Sender sich kennen, erscheint dem Empfänger der Absender legitim, was die Chance auf eine weitere Kompromittierung erhöht.
Dadurch hat diese Kampagne das Potenzial für eine besonders effektive Ausbreitung. Betroffen sind im Moment eher KMUs in der Baubranche (Bau, Metallbau, Holzbau, Werkzeug, Kabeltechnik).

So funktioniert die Kompromittierung:
Das Phishing-Mail landet im Posteingang, der Absender ist bekannt. Antwortet man auf das E-Mail, versichert einem der Angreifer, dass der Inhalt "geprüft" wurde und "sicher" sei. Da es sich um eine legitime Absenderadresse handelt und der Inhalt für eine Security Appliance nicht schadhaft erscheint, wird das E-Mail nicht als Spam gefiltert.

E-Mail im Posteingang

Der Button „DOKUMENT ANSEHEN” führt zu einem Google-Sites-Link, der den Personennamen des Absenders in der URL beinhaltet. Unten ein neuer Button um das "Dokument anzusehen".

Weiterleitung auf Google Sites

Nach einem Klick auf „das Dokument“ wird man auf eine weitere Seite weitergeleitet, die im Hintergrund das vermeintliche Dokument anzeigt. Nun werden die Microsoft-365-Zugangsdaten gefordert, um das Dokument sichtbar zu machen. Werden die Zugangsdaten eingegeben, kann der Angreifer das Konto übernehmen und es für die nächste Welle an Phishing-Mails benutzen.

Zugangsdateneingabe auf externer Seite

Empfehlungen zur Mitigation im Vorfeld:
- vergleichen sie immer die URL des Links mit dem angeblichen Service der dieser imitiert
- Absender anrufen, wenn Sie eine verdächtige E-Mail erhalten.
- Multifaktorauthentifizierung aktivieren.
- Conditional Access aktivieren.
- Awarenessmaßnahmen bei Mitarbeitern.

Empfehlungen zur Mitigation bei Kompromittierung:
- Information an die Geschäftspartner
- Hinweise auf Datenabfluss prüfen (dies betrifft potenziell SharePoint-Instanzen, sollten diese für das kompromittierte Konto erreichbar/nutzbar gewesen sein)
- Hinweise auf weitere Kompromittierungen prüfen
- Meldung bei der Datenschutzbehörde in Erwägung ziehen
- Anzeige bei der Polizei in Erwägung ziehen
- Freiwillige NIS1-Meldung in Erwägung ziehen
- Awarenessgespräche mit den Mitarbeitern in Erwägung ziehen

Grundsätzlich ist diese Art von Phishing nichts Neues und für uns eher Grundrauschen. Kürzlich haben wir jedoch einen ungewöhnlichen Anstieg beobachtet, der gepaart mit einer effektiven Methode zur Ausbreitung mehr Blicke auf sich zieht. Deshalb möchten wir auf diese Kampagne aufmerksam machen.