Microsoft bestätigt Cyberangriff: Hacker griffen wochenlang auf interne E-Mails zu

Microsoft hat es mal wieder erwischt. Der Konzern hat bestätigt, Ziel eines Cyberangriffs geworden zu sein, angeblich von einer russischen Hackergruppe namens Midnight Blizzard. Viele Details zu dem Vorfall nennt der Konzern noch nicht. Auf Microsofts Sicherheitspraktiken wirft der Angriff allerdings kein gutes Licht.

Der Angreifer ist kein Unbekannter

Bei dem Angreifer habe es sich um eine vom russischen Staat unterstützte Hackergruppe namens Midnight Blizzard gehandelt, erklärt Microsoft in einem neuen Blogbeitrag. Die Gruppe hat schon in der Vergangenheit für Aufsehen gesorgt. Sie ist ebenso bekannt unter den Bezeichnungen Nobelium, Cozy Bear oder APT29 und wurde zum Beispiel für die im Jahr 2020 erfolgte Verbreitung der Sunburst-Malware über ein Softwareupgrade des SolarWinds-Produkts Orion verantwortlich gemacht – ein prominenter Cyberangriff, der damals Zehntausende von SolarWinds-Kunden betraf.

Angriff erfolgte über ein Testkonto

Microsoft behauptet, die Angreifer hätten sich Ende November 2023 Zugriff auf ein „altes, nicht produktives Test-Tenant-Konto“ des Konzerns verschafft. Aufgefallen sei der Angriff am 12. Januar – die Hacker haben sich des Zugriffs also über einen Zeitraum von mehreren Wochen bedient. Infiltriert wurde das Testkonto laut Microsoft durch einen Password-Spraying-Angriff.

Von dem infiltrierten Test-Account aus sei es der Hackergruppe möglich gewesen, Zugriff auf einen „sehr kleinen Prozentsatz“ von Unternehmens-E-Mail-Konten von Microsoft zu erlangen. Betroffen seien unter anderem E-Mail-Accounts von Führungskräften und Mitarbeitern der Unternehmensbereiche Cybersicherheit und Recht. Man sei gerade dabei, die Mitarbeiter, auf deren E-Mails zugegriffen wurde, zu benachrichtigen, erklärt der Konzern. Die Angreifer hätten sowohl E-Mails als auch angehängte Dokumente exfiltriert.

Eine Schwachstelle in Microsoft-Produkten? Auf keinen Fall!

Laut Microsofts Ermittlungen war Midnight Blizzard wohl zumindest zu Beginn des mehrwöchigen Zugriffszeitraumes auf der Suche nach Informationen über sich selbst. Einzelheiten zu dem Vorfall nennt Microsoft noch nicht, diese wolle man aber „bei Bedarf“ bekannt geben. „Wir setzen unsere Untersuchungen fort und werden auf der Grundlage der Ergebnisse weitere Maßnahmen ergreifen und weiterhin mit den Strafverfolgungsbehörden und den zuständigen Regulierungsbehörden zusammenarbeiten“, so der Konzern.

Auf eine Schwachstelle in Microsoft-Produkten sei der Cyberangriff nicht zurückzuführen, betont das Unternehmen. Auch gebe es bisher keinerlei Hinweise darauf, dass die Angreifer auf Kundenumgebungen, Produktivsysteme, Quellcode oder KI-Systeme zugegriffen hätten. In einer Mitteilung an die US-Börsenaufsichtsbehörde SEC behauptet der Konzern außerdem, der Vorfall habe bisher keine wesentlichen Auswirkungen auf die Geschäftstätigkeit des Unternehmens gehabt. Mögliche Konsequenzen für die Finanzlage oder das Betriebsergebnis seien noch nicht ermittelt worden.

Ein Vorfall, der Fragen aufwirft

Nachdem Microsoft bezüglich seiner Sicherheitspraktiken schon im vergangenen Jahr gehörig Kritik einstecken musste, wirft auch der aktuelle Sicherheitsvorfall gleich zu Beginn des Jahres 2024 wieder unangenehme Fragen auf, denen sich das Unternehmen unweigerlich stellen muss. Die Ausführungen des Konzerns legen nahe, dass hier mehrere fragwürdige Entscheidungen getroffen wurden, die den Angriff überhaupt erst ermöglicht haben.

Das beginnt schon bei dem Password-Spraying-Angriff: Dass dieser erfolgreich war, lässt annehmen, dass der Test-Account mit einem schwachen Passwort geschützt war. Denn für Password-Spraying bedienen sich Angreifer in der Regel einer Liste häufig verwendeter und üblicherweise sehr einfach gestrickter Passwörter und testen diese an verschiedenen Zielkonten, in der Hoffnung, eine gültige Kombination von Zugangsdaten zu finden. Auch eine aktive Zwei-Faktor-Authentifizierung (2FA) gab es offenkundig nicht, denn diese hätte den Zugriff auf das Konto selbst mit den richtigen Anmeldeinformationen effektiv unterbunden.

Obendrein hatte Microsoft den Test-Account offenbar mit umfassenden Zugriffsrechten ausgestattet. Denn eine Schwachstelle wurde laut Microsoft ja nicht ausgenutzt, ergo muss das Konto bereits über Privilegien verfügt haben, die ausreichend waren, um Zugriff auf echte Mitarbeiterkonten zu erlangen. Dass die Angreifer nicht auf mehr als einen „sehr kleinen Prozentsatz“ der E-Mail-Konten des Unternehmens zugegriffen haben, war demnach offenkundig Glückssache und in erster Linie der Zielsetzung von Midnight Blizzard geschuldet.