Phishing-Domain kopiert Anmeldeseite von Microsoft Teams
in einfachen worten
Eine neue Webadresse wurde so eingerichtet, dass sie wie die Anmeldeseite von Microsoft Teams aussieht, einer App für Arbeitschat und Besprechungen. Der Sicherheitsforscher Steven Lim warnte, dass Beschäftigte dort dazu gebracht werden könnten, ihre Passwörter einzutippen. Er drängte Organisationen, die Adresse zu sperren.
Ausführliche Zusammenfassung
Der Sicherheitsforscher Steven Lim berichtete, dass die Domain teams-cloud.live erst fünf Tage alt war, als er sie am 18. Oktober 2026 meldete. Die Seite kopiert die Anmeldemaske und die übrige Oberfläche von Microsoft Teams, einem Werkzeug für die Arbeit. Dadurch steigt das Risiko, dass Beschäftigte einer gefälschten Anmeldeaufforderung vertrauen. Lim forderte Organisationen auf, die Adresse zu sperren, bevor Mitarbeitende sie aufrufen.
Lim sagte, die Seite ähnele einer anderen Seite, die er am 8. Oktober 2026 nannte. Diese Ähnlichkeit rechtfertige eine Untersuchung, bestätige aber nicht, dass derselbe Betreiber beide Seiten führe. Außerdem berichtete er, dass eine Option zur Aktualisierung von Teams eine TXT-Datei herunterlud. Die verfügbaren Informationen zeigen weder den Inhalt der Datei noch einen Hash oder Hinweise darauf, dass sie Code ausführt. Deshalb ist nicht bestätigt, dass es sich bei dem Download um Malware Schädliche Software, die oft über Domainnamen verbreitet oder gesteuert wird. Vollständige Definition von Malware handelt.
Lim nannte zudem amgen.teams-cloud.live als Ziel mit Gesundheitsbezug. Dabei wird der Firmenname als Subdomain Name, der unterhalb einer registrierten Domain angelegt wird, etwa shop.example.com. Vollständige Definition von Subdomain unterhalb von teams-cloud.live verwendet. Der Bericht belegt nicht, dass Amgen gehackt wurde oder dass auf ein Mitarbeiterkonto zugegriffen wurde. Ebenso wenig belegt er, wie viele Personen die Seite besucht haben, ob Passwörter erfasst wurden oder wer die Domain betreibt.
Lim empfahl, Domains für Mandanten zu sperren und Webfilter einzusetzen. Microsoft beschreibt das Sperren von URLs über die Tenant Allow/Block List und das Sperren eigener Domains über den Netzwerkschutz von Defender. Administratoren wird empfohlen, die Abdeckung zu prüfen, statt anzunehmen, dass eine einzelne Einstellung jeden Weg blockiert.
Beschäftigte sollten die gemeldete Seite meiden. Unerwartete Teams-Update-Anfragen sollten sie über den etablierten IT-Support ihrer Organisation prüfen, bevor sie Passwörter eingeben oder Downloads öffnen.