Microsoft warnt vor SMS-Authentifizierung, da KI-gestütztes Phishing zunimmt

08:00

Microsoft fordert IT-Administratoren auf, schrittweise von SMS-Nachrichten und Telefonanrufen als Authentifizierungsmethoden abzusehen und warnt, dass die rasante Entwicklung der künstlichen Intelligenz Phishing-Angriffe überzeugender und einfacher durchführbar macht.

Das Unternehmen hat IT-Fachleuten geraten, stärkere Authentifizierungsmethoden zu übernehmen, die darauf ausgelegt sind, Phishing-Versuchen zu widerstehen. Laut Microsoft können Angreifer zunehmend KI-Tools nutzen, um überzeugende Nachrichten zu erstellen und Benutzer dazu zu bringen, Passwörter, Bestätigungscodes und andere sensible Anmeldeinformationen preiszugeben.

Die zunehmende Nutzung von KI wirft auch Bedenken hinsichtlich SIM-Swapping-Angriffen auf. Bei diesen Betrügereien versuchen Kriminelle, Telekommunikationsanbieter davon zu überzeugen, die Telefonnummer eines Opfers auf eine von dem Angreifer kontrollierte SIM-Karte zu übertragen. KI kompromittiert nicht direkt die SIM-Karte, kann jedoch die Social-Engineering-Techniken, die verwendet werden, um persönliche Informationen zu erhalten, effektiver machen.

Microsoft hat einen signifikanten Anstieg von KI-unterstützten Angriffen gemeldet, die auf Passwörter und Mehrfaktor-Authentifizierungscodes abzielen. Das Unternehmen gibt an, dass diese Angriffe höhere Erfolgsquoten erzielen können als viele traditionelle Phishing-Kampagnen, da sie Angreifern ermöglichen, personalisierte und überzeugende Kommunikationen zu erstellen.

Für Organisationen, die Microsoft Entra ID verwenden, hat das Unternehmen einen schrittweisen Übergang von SMS- und Sprach-Authentifizierung etabliert. Ab dem 1. September 2026 werden Benutzer, die sich auf Textnachrichten oder Sprach-Anrufe zur Authentifizierung verlassen, aufgefordert, beim Anmelden einen Passkey einzurichten. Ab dem 1. Februar 2027 wird die SMS- und Sprach-Authentifizierung für Entra ID nicht mehr unterstützt, was alternative Authentifizierungsmethoden notwendig macht.

Die Änderung betrifft auch die breitere Richtung der Sicherheitsstrategie von Microsoft. Das Unternehmen hat die Benutzer ermutigt, Passkeys und Authentifizierungsanwendungen anstelle von telefonbasierten Verifizierungen zu verwenden. Passkeys sind darauf ausgelegt, einen stärkeren Schutz gegen Phishing zu bieten, da sie kryptografische Anmeldeinformationen anstelle von Codes verwenden, die von Benutzern kopiert oder manipuliert werden können.

Microsoft reduziert auch schrittweise seine Abhängigkeit von SMS für persönliche Konten, die zum Zugriff auf Dienste wie Outlook, Xbox und Windows verwendet werden. Ein endgültiger Termin für alle persönlichen Konten wurde noch nicht bekannt gegeben, aber Benutzer können ihre Konten bereits stärken, indem sie einen Passkey einrichten oder Microsoft Authenticator verwenden.

Der Wandel spiegelt eine breitere Transformation in der digitalen Sicherheit wider. Da KI Cyberkriminellen neue Werkzeuge zur Automatisierung und Personalisierung von Betrügereien bietet, werden traditionelle Passwörter und SMS-basierte Verifizierungen zunehmend als schwächere Schutzschichten angesehen. Sicherheitsspezialisten ermutigen daher Organisationen und Einzelpersonen, Authentifizierungsmethoden zu übernehmen, die widerstandsfähiger gegen Phishing und Social Engineering sind.