Ein gekapertes Firmenpostfach und eine gefälschte Rechnung

Die Firma nutzt E-Mail in Microsoft 365. Die Anmeldung schützt nur ein Benutzername und ein Passwort, ein zweiter Faktor ist nicht aktiv. Lieferantenrechnungen kommen per E-Mail, und die Buchhaltung zahlt sie per Überweisung.

Microsoft 365 zeichnet Anmeldungen und Einstellungsänderungen im einheitlichen Audit-Log auf. Es ist standardmäßig an, aber ohne eingerichtete Warnungen bemerkt niemand eine Änderung, bis etwas schiefgeht.

Ein Lieferant rief an und fragte, warum die Firma eine Rechnung nicht bezahlt habe. Die Buchhaltung hatte aber am Vortag eine E-Mail im selben Verlauf erhalten, die um Zahlung auf ein neues Bankkonto bat. Sie sah aus wie die Fortsetzung des Gesprächs mit dem Lieferanten.

Es zeigte sich, dass ein Angreifer das Postfach eines Mitarbeiters kontrollierte. Zuvor hatte er ihm eine Phishing-E-Mail mit einem Link zu einer gefälschten Microsoft-365-Anmeldung geschickt, wo der Mitarbeiter sein Passwort eingab. Ohne zweiten Faktor genügte das Passwort für vollen Zugriff auf das Postfach.

Der Angreifer las den Verlauf mit dem Lieferanten, stieg ein und schrieb der Buchhaltung eine Änderung des Bankkontos. Zugleich legte er im Postfach eine versteckte Regel an, die Antworten von Lieferant und Buchhaltung aus dem Blick schob, damit der Austausch nicht auffiel. Das ist eine klassische Postfachübernahme (Business E-Mail Compromise).

Voraussetzung: Der Angreifer braucht nur das Passwort des Opfers, per Phishing erlangt, und ein Postfach ohne zweiten Faktor. Mehr nicht.

Die erste Ursache ist die Anmeldung nur mit Passwort. Ohne zweiten Faktor wird aus einem per Phishing abgegriffenen Passwort voller Zugriff auf das Postfach.

Die zweite Ursache ist, dass das Postfach eine Regel erlaubte, die still Post verschiebt und löscht. Das ließ den Angreifer seine Aktivität vor dem Besitzer des Postfachs verbergen.

Die dritte Ursache liegt im Zahlungsprozess: Die Änderung des Bankkontos lief allein auf eine E-Mail hin, ohne Prüfung über einen anderen Kanal. Genau das macht aus einem übernommenen Postfach Geld.

Im einheitlichen Audit-Log von Microsoft 365 wurde nach Anmeldungen am Postfach gesucht: Quell-IP und Land, Zeit und unmögliches Reisen, also zwei Anmeldungen von Orten, zwischen denen ein Mensch in der Zeit nicht wechseln kann. Eine Anmeldung aus dem Ausland passte nicht zum Mitarbeiter.

Connect-ExchangeOnline

# the hidden rule an attacker leaves to bury the supplier's replies
Get-InboxRule -Mailbox user@firma.sk |
  Select-Object Name, Enabled, MoveToFolder, DeleteMessage, ForwardTo

# sign-ins and rule changes, from the unified audit log (auditing must be on)
Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-30) -EndDate (Get-Date) `
  -Operations New-InboxRule,Set-InboxRule,UserLoggedIn `
  -UserIds user@firma.sk |
  Select-Object CreationDate, Operations, AuditData

Das Audit zeigte auch das Anlegen einer Postfachregel zur Zeit der fremden Anmeldung. Die Regel verschob Nachrichten von Lieferant und Buchhaltung in einen wenig beachteten Ordner.

Die gesendeten Elemente wurden geprüft, ob der Angreifer auch anderen schrieb, und die übrigen Postfächer, ob mehr als ein Konto betroffen war. Ob tatsächlich eine Zahlung hinausging, wurde geprüft.

Für den Zeitraum, den das Audit nicht abdeckt, lässt sich nicht belegen, was der Angreifer las. Das Vorfallsprotokoll sagt das so.

Sofort: das Passwort des kompromittierten Kontos zurücksetzen und alle aktiven Sitzungen und Tokens widerrufen, damit ein angemeldeter Angreifer herausfliegt. Ein bloßer Passwortwechsel wirft ihn aus einer schon offenen Sitzung nicht.

Die versteckte Postfachregel wurde entfernt, und das Postfach wurde auf weitere Regeln oder Weiterleitungen geprüft.

Ein zweiter Faktor wurde für alle eingeschaltet, samt bedingtem Zugriff. Die veraltete Anmeldung (Legacy Authentication), die den zweiten Faktor umgeht, wurde blockiert.

Der Zahlungsprozess bekam eine Regel: Jede Änderung des Bankkontos prüft die Buchhaltung mit einem Rückruf an die bekannte Nummer des Lieferanten, nie an eine Nummer aus der E-Mail.

Warnungen wurden für das Anlegen einer neuen Postfachregel und für Weiterleitungen aus der Firma hinaus eingeschaltet.

Der Lieferant wurde informiert, und das richtige Bankkonto wurde mit dessen Buchhaltung bestätigt.

Ein zweiter Faktor macht aus einem gestohlenen Passwort statt vollen Zugriffs einen unvollständigen Versuch: Das Passwort allein schließt keine Anmeldung ab.

Das Blockieren der veralteten Anmeldung schließt die Protokolle, die den zweiten Faktor ignorieren, sonst würde er umgangen.

Das Widerrufen der Sitzungen wirft einen gerade angemeldeten Angreifer heraus, was ein Passwortwechsel allein nicht tut.

Das Entfernen der Regel gibt dem Besitzer des Postfachs den Blick auf seine Post zurück.

Die Prüfung einer Kontoänderung per Rückruf stoppt den Betrug auch dann, wenn die E-Mail in der Hand des Angreifers ist, weil das Geld nicht mehr allein von der E-Mail abhängt.

Was das nicht löst: MFA stoppt keinen Angreifer, der Passwort und zweiten Faktor in Echtzeit abfängt oder eine schon offene Sitzung stiehlt. Deshalb sind die Regel-Warnungen und die Zahlungsprüfung wichtig.