Helix Vishing: Neue Erpresser-Gruppe raubt SharePoint-Daten per Telefon

Eine neue Erpresser-Gruppe namens Helix Vishing greift Unternehmen an und stiehlt gezielt Daten aus Microsoft 365 und SharePoint. Das Besondere: Die Angreifer brauchen kein Passwort und keine Sicherheitsluecke. Sie rufen einfach an. Sicherheitsforscher von ReliaQuest und BleepingComputer haben die Kampagne Anfang Juli 2026 dokumentiert. Sie zeigt, wie stark sich Angriffe von der Technik hin zur reinen Manipulation verschieben.

Wie die Helix Vishing-Gruppe vorgeht

Der Angriff beginnt mit einem Telefonanruf. Der Taeter gibt sich als Vorgesetzter des Opfers aus und nutzt dafuer entweder den echten Namen oder eine gefaelschte Rufnummer (Caller-ID-Spoofing). Am Telefon wird das Opfer Schritt fuer Schritt durch das sogenannte Geraetecode-Phishing gefuehrt.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Dabei tippt das Opfer einen Code in seinen Chrome-Browser ein. Kein Passwort wechselt den Besitzer, und trotzdem verliert das Opfer die Kontrolle. Denn der Code haengt am Device-Code-Flow von Microsoft. Sobald er eingegeben ist, faengt der Angreifer ein gueltiges Sitzungs-Token ab. Damit ist er angemeldet, als waere er der Nutzer selbst.

Warum die MFA den Angriff nicht stoppt

Viele glauben, eine Zwei-Faktor-Authentifizierung wuerde solche Angriffe verhindern. Doch die Helix Vishing-Gruppe umgeht diesen Schutz elegant. Innerhalb weniger Minuten nach dem Zugriff registriert der Taeter einen eigenen MFA-Authenticator auf dem gekaperten Konto. Damit bleibt der Zugang dauerhaft bestehen, selbst wenn das Opfer sein Passwort spaeter aendert.

Anschliessend durchsucht die Gruppe systematisch Microsoft 365. SharePoint dient dabei immer wieder als Hauptquelle fuer wertvolle Dokumente. Die erbeuteten Daten nutzen die Angreifer danach zur Erpressung. Laut ReliaQuest aehnelt die Vorgehensweise stark der aufgeloesten Gruppe BlackFile sowie den Erpressern ShinyHunters. Gemeinsame Infrastruktur und identische Social-Engineering-Muster deuten auf enge Verbindungen hin.

So schuetzt du dein Unternehmen wirksam

Gegen diese Masche hilft vor allem eine Kombination aus Technik und Aufklaerung. Die wichtigsten Massnahmen sind:

• Geraetecode-Authentifizierung deaktivieren, wo immer es moeglich ist. Diese Funktion braucht kaum jemand im Alltag.
• Sensible Cloud-Zugriffe auf verwaltete Geraete beschraenken, damit fremde Sitzungen auffallen.
• Neu registrierte Domains blockieren, bevor sie als frische Koeder dienen koennen.
• Mitarbeiter schulen: Kein echter Vorgesetzter laesst am Telefon Codes eintippen.

Besonders wirksam sind phishing-resistente Verfahren wie FIDO2-Hardware-Keys. Anders als App-basierte Codes lassen sie sich nicht per Anruf abfangen. Wer seine Konten wirklich absichern will, findet in unserem Ratgeber zu den besten Hardware-Security-Keys mit FIDO2 eine praktische Uebersicht. Wie schnell klassische 2FA versagt, zeigt auch unser Beitrag zu Phishing-as-a-Service.

Fazit zur Helix Vishing-Gefahr

Die Helix Vishing-Gruppe beweist, dass moderne Angriffe oft ohne Schadcode auskommen. Der Mensch am Telefon ist die Schwachstelle. Deshalb reichen technische Filter allein nicht mehr aus. Nur wer Technik, klare Regeln und geschulte Mitarbeiter verbindet, bleibt geschuetzt. Pruefe am besten heute noch, ob der Device-Code-Flow in deinem Microsoft 365 wirklich aktiv sein muss.

Quellen

• BleepingComputer: New Helix vishing group emerges in SharePoint data theft attacks
• ReliaQuest: Helix, a New Name in the Data Extortion Ecosystem
• Cybersecurity News: Helix Uses Vishing and Device Code Phishing