Wenn der Security-Rollout zur Falle wird – Wie Cyber-Kriminelle die Passkey-Registrierung über Voice-Phishing kapern.
Passkeys gelten als ein entscheidender Schritt in Richtung einer passwortlosen, phishing-resistenten Zukunft. Doch gerade die Einführung solch robuster Authentifizierungsmechanismen wird zunehmend von raffinierten Hackern als Einfallstor missbraucht.
Zusammenfassung (TL; DR):
- Die Cybercrime-Gruppe „Pink“ (O-UNC-066) kapert gezielt Microsoft 365-Konten großer Unternehmen, indem sie legitime Passkey-Sicherheitskampagnen als Vorwand für professionelle Voice-Phishing-Anrufe nutzt.
- Über manipulierte Webseiten und ein manuell gesteuertes Phishing-Kit leiten die Angreifer ihre Opfer in Echtzeit durch die MFA-Abfrage.
- Während die Nutzer durch die gefälschte Registrierung eines vermeintlichen „Recovery Keys“ abgelenkt sind, hinterlegen die Täter unbemerkt einen eigenen Passkey als dauerhafte Hintertür im echten Firmenkonto.
Aktuelle Analysen einer groß angelegten Angriffswelle zeigen, wie eine unter dem Namen O-UNC-066 (in Sicherheitskreisen auch „Pink“ genannt) bekannte Gruppierung seit April 2026 gezielt die Passkey-Registrierungsprozesse von Microsoft 365-Kunden ins Visier nimmt. Die Täter haben es dabei branchenübergreifend auf große Unternehmen aus den Bereichen Lebensmittel, Technologie, Gesundheitswesen, Automobil, Bauwesen und Luftfahrt abgesehen. Primäres Ziel dieser Kampagnen ist der Datendiebstahl und die anschließende Erpressung der betroffenen Organisationen.
Voice-Phishing trifft auf perfekte Vorwände
Der Erfolg dieses speziellen Angriffsvektors beruht auf einem perfiden psychologischen Hebel: der Ausnutzung legitimer Sicherheitsinitiativen des Unternehmens. Seit Mai 2026 haben Administratoren in den entsprechenden IT-Umgebungen die Möglichkeit, „Nudge“-Kampagnen zu aktivieren, die Nutzer beim regulären Login auffordern, zeitnah einen Passkey einzurichten. Die Angreifer nutzen diese gut gemeinte und oft standardmäßig aktivierte Sicherheitsfunktion als perfekten Vorwand. Sie registrieren gezielt bösartige Domains, die das Wort „Passkey“ enthalten, und rufen die Zielpersonen direkt an (Voice-Phishing, kurz „Vishing“). Am Telefon geben sie sich höchst professionell als interner IT-Support aus und überzeugen die Opfer davon, dass eine dringende Passkey-Registrierung erforderlich sei. Viele Anwender sind durch interne Initiativen bereits an derlei Kommunikation gewöhnt worden, deshalb schöpfen sie in der Regel keinen Verdacht und folgen den Anweisungen.
Ein interaktives Katz-und-Maus-Spiel in Echtzeit
Werden die Nutzer schließlich auf die präparierten Links geleitet, offenbart sich die enorme technische Raffinesse der Kampagne. Die Opfer landen auf zielgruppenspezifischen Subdomains, die täuschend echt die vertrauten Login-Seiten nachbilden – inklusive korrekter Firmenlogos und Hintergrundbilder, gepaart mit generischen Designelementen aus offiziellen Content-Netzwerken.
Interessanterweise handelt es sich bei dem eingesetzten Phishing-Kit nicht um einen klassischen, transparenten Adversary-in-the-Middle (AitM) Proxy, der rein automatisiert dem Abgreifen von Anmeldeinformationen dient. Stattdessen basiert die Infrastruktur auf einem manuell gesteuerten PHP-Panel. Durch einen 1-Sekunden-Heartbeat-Polling-Mechanismus lenkt der Angreifer das Opfer nahezu in Echtzeit durch die verschiedenen Authentifizierungsphasen.
Dieser Ansatz ermöglicht eine beispiellose Flexibilität: Die gefälschte Webseite wird dynamisch an die individuellen Multi-Faktor-Authentifizierungsanforderungen (MFA) des Opfers angepasst. Ob zeitbasierte Einmalpasswörter (TOTP), SMS-Codes oder Push-Benachrichtigungen mit Number-Matching – das System präsentiert immer exakt die Eingabemaske, die der Täter im Hintergrund für den echten Login-Versuch benötigt. Während der Anrufer das Opfer beruhigt und instruiert, werden die eingegebenen Daten im Panel des Angreifers sichtbar, der diese zeitgleich im echten Firmenportal eingibt.
Der Taschenspielertrick: Die Illusion der Passkey-Registrierung
Der kritischste Teil des Angriffs nutzt das Unwissen der Endanwender über echte Passkey-Prozesse aus. Das Phishing-Kit ruft keinen echten Systemdialog auf, sondern täuscht eine Seite zur Speicherung eines „Recovery Keys“ vor.Die Angreifer leihen sich hierfür eine Methode aus der Kryptowelt: Sie generieren eine Liste von BIP-39-Wörtern und lassen das Opfer diese notieren.
Das Opfer gibt das letzte Wort manuell ein, obwohl diese Phrasen technisch keine Relevanz besitzen. Dieser digitale Taschenspielertrick lenkt das Opfer ab und verschafft dem Angreifer Zeit. Der Täter hinterlegt im Hintergrund unbemerkt seinen eigenen Passkey im echten Konto des Opfers. Am Ende zeigt das Kit eine gefälschte Bestätigungsseite. Während das Opfer an eine erfolgreiche Einrichtung glaubt, baut der Angreifer eine dauerhafte Hintertür in das Unternehmensnetzwerk ein. Für den künftigen Zugriff benötigt er weder das Passwort noch das MFA-Gerät des Nutzers
Fazit Passkey
Die Einführung moderner Authentifizierung verlagert Social-Engineering-Risiken auf den Registrierungsprozess, was restriktive Enrollment-Verfahren, engmaschiges Monitoring und geschulte Mitarbeiter erfordert. Organisationen müssen die Einrichtung neuer MFA-Faktoren auf vertrauenswürdige Umgebungen beschränken und Support-Anfragen durch strenge Verifizierungsroutinen absichern. Die oben genannten Empfehlungen können als Basis für interne Sicherheitsrichtlinien dienen.
