Sicherheitslücke bei Microsoft
Hackerangriff über gefälschte Zugangs-Token. Zugriff auf E-Mail-Konten in Dutzenden Organisationen und staatliche Einrichtungen.

Microsoft hat nach eigenen Angaben einen koordinierten Hackerangriff aus China unterbrochen, der ungefähr 25 Organisationen inklusive Regierungseinrichtungen getroffen hat. Begonnen haben die Einbrüche der "Storm-0558" getauften Gruppe demnach am 15. Mai 2023, einen Monat später seien die ersten Hinweise dazu eingegangen. Inzwischen habe man die Attacke bei allen betroffenen Kunden abgewehrt, erklärt der US-Konzern. Die müssten deshalb nichts unternehmen, seien aber über den Angriff informiert worden. Einfallstor waren demnach gefälschte Zugangs-Token für E-Mail-Konten bei Microsoft-Diensten. Man beobachte die Aktivitäten der Angreifer weiter.

Laut Microsoft war es den Angreifern gelungen, an einen Zugangsschlüssel für Microsoft-Konten zu kommen. Unter Ausnutzung eines Problems bei der Validierung von Tokens sei es ihnen damit gelungen, Zugangs-Tokens für E-Mail-Konten zu fälschen. Damit seien sie über den Webzugang in Konten bei Outlook.com und Exchange Online eingebrochen. Um den Angriff zu stoppen, habe man die mit dem Zugangsschlüssel zertifizierten Token blockiert und den Schlüssel ersetzt.

Nachtrag vom 24. Juli 2023:

Wie Sicherheitsforscher nun herausgefunden haben, sollen die Tokens den Kriminellen nicht nur ermöglicht haben, in Outlook und Exchange Konten einzudringen. Viel mehr sollen die Tokens den Cyberkriminellen Zugang zu sämtlichen Anwendungen zu erhalten, bei denen die Anmeldung per Microsoft OpenID 2.0 funktioniert. So waren beispielsweise Zugänge zu Microsoft Teams, Skype oder von verschiedenen XboX-Services von dem Vorfall betroffen.

Nachtrag vom 8. September 2023:

Microsoft hat in einer Stellungnahme zu dem Vorfall am 6. September 2023 geschrieben, dass der Key, den die Hacker erlangt haben durch einen Fehler im April 2021 im Rahmen eines Absturzberichtes gespeichert wurden. Die chinesischen Hacker haben diesen erlangt, indem sie sich in die Umgebung eines Entwicklers von Microsoft eingehackt haben.

Nachtrag vom 3. April 2024:

Der Cyberangriff auf Microsoft im Sommer 2023 wird vom Cyber Safety Review Board (CSRB) als "vermeidbar" und "inakzeptabel" eingestuft. In einem Bericht kritisiert die Kommission Microsofts Sicherheitskultur und nennt mehrere Fehler, die den Angriff begünstigt haben sollen. Eine der schwerwiegendsten Anschuldigungen lautet, dass Microsoft die Kontrolle über seine sensiblen Sicherheitsschlüssel verloren hat, die den Hackern Zugang zu den Systemen des Unternehmens ermöglichten. 

Nachtrag vom 19. April 2024:

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat ein Verwaltungsverfahren gegen Microsoft eröffnet. Ziel ist es, weitere Informationen zu einem Cyberangriff auf die Microsoft-Cloud im Jahr 2023 zu erhalten. Das BSI wirft Microsoft vor, Kunden nicht ausreichend über die Double Key Encryption (DKE) informiert zu haben. Diese Technik hätte den Datendiebstahl durch die Hackergruppe Storm-0558 möglicherweise verhindern können. Microsoft hatte bisher auf Anfragen des BSI unzureichend reagiert. Das BSI sieht sich daher gezwungen, rechtliche Schritte einzuleiten.