UNC6692 täuscht IT-Helpdesk vor –
Angriffe über Microsoft Teams
Eine neue Welle von Social-Engineering-Angriffen nutzt vertraute Kommunikationswege. Das Tool ist sicher – ausgenutzt wird das Vertrauen der Mitarbeiter.
Auf einen Blick
Eine Angreifergruppe namens UNC6692 gibt sich als IT-Helpdesk aus und kontaktiert Mitarbeiter über Microsoft Teams. Ziel: Remote-Zugriff oder Zugangsdaten. Microsoft Teams ist dabei nicht unsicher – missbraucht wird das Vertrauen in vertraute Plattformen.
Was ist passiert?
Die Angreifergruppe UNC6692 tritt seit kurzem verstärkt in Erscheinung. Statt klassische Phishing-Mails zu verschicken, kontaktieren die Täter ihre Opfer direkt dort, wo sie ohnehin den ganzen Tag arbeiten: in Microsoft Teams.
Die Masche: Eine Nachricht von einem vermeintlichen IT-Support-Mitarbeiter, oft mit klangvollem Namen und seriösem Profilbild. Es geht angeblich um einen „Sicherheitsvorfall", einen „kompromittierten Account" oder ein „dringendes Update". Das Ziel ist immer dasselbe – die Übernahme des Mitarbeiterkontos: entweder durch Installation einer Remote-Software oder durch direkte Abfrage von Passwort und MFA-Code.
MITRE ATT&CK: T1566.003 (Phishing: Spearphishing via Service), T1656 (Impersonation), T1078 (Valid Accounts)
Die Methode: Social Engineering über bekannte Tools
UNC6692 nutzt gezielt Plattformen, die in Unternehmen alltäglich sind. Der Ablauf folgt einem klaren Muster:
Kontaktaufnahme über Microsoft Teams
Die Täter melden sich aktiv per Chat – häufig getarnt als 'IT-Support' oder 'Service Desk'.
Glaubwürdiges Profilbild & Name
Das Profil wirkt seriös: Klarname, Unternehmensbezug, professionelles Foto. Vertrauen entsteht in Sekunden.
Druckaufbau & Dringlichkeit
'Ihr Account ist kompromittiert', 'dringender Sicherheitsvorfall' – die Opfer sollen reflexhaft reagieren statt zu prüfen.
Remote-Zugriff oder Credential-Abfrage
Ziel ist die Übernahme: Installation einer Remote-Software oder direkte Abfrage von Passwort und MFA-Code.
Der Angriff funktioniert, weil das Tool vertraut ist – nicht weil es unsicher ist.
Wichtig: Microsoft Teams ist nicht unsicher
Es gibt keine Hinweise auf eine Sicherheitslücke in Microsoft Teams. Die Plattform wird lediglich als Bühne für Social Engineering missbraucht – ähnlich wie zuvor E-Mail, SMS oder Telefon.
Warum das so gefährlich ist
Viele Mitarbeiter denken automatisch: „Eine Nachricht in Teams = intern = sicher." Genau dieses Reflex-Vertrauen nutzen die Angreifer aus.
Vertrauen wird zur Schwachstelle.
Während E-Mails inzwischen mit Misstrauen geöffnet werden, gilt der Teams-Chat in vielen Köpfen als geschützter Raum. Das macht die Methode besonders effektiv – und besonders schwer zu erkennen, wenn keine klaren Verifizierungsregeln existieren.
Was Unternehmen jetzt ändern müssen
Zweikanal-Verifikation einführen
Jede IT-Anfrage über Chat wird per Telefon oder Ticketsystem gegengeprüft – ohne Ausnahme.
Klare Helpdesk-Regeln kommunizieren
IT-Support meldet sich nie spontan per Teams. Diese Regel muss bekannt und verbindlich sein.
Niemals MFA-Codes weitergeben
Kein legitimer Mitarbeiter wird je nach Passwörtern oder Einmalcodes fragen – egal über welches Tool.
Login- & Kommunikationsmuster überwachen
EDR/XDR und Identity-Monitoring erkennen ungewöhnliche Anmeldungen und externe Teams-Kontakte frühzeitig.
Wasacon-Empfehlung
Technik allein stoppt UNC6692 nicht – aber sie macht den Unterschied zwischen „unbemerkt übernommen" und „rechtzeitig gestoppt". Wir empfehlen eine Kombination aus klaren Prozessen und intelligenter Detection:
- EDR/XDR mit Identity-Monitoring zur Erkennung verdächtiger Logins
- Konfiguration von Microsoft Teams: externe Kontakte einschränken
- Wiederkehrende Mitarbeiterschulungen mit echten Beispielen
- Klare Helpdesk-Prozesse mit verbindlicher Zweikanal-Verifikation
Vertrauen ist kein Sicherheitskonzept. Klare Regeln und sichtbare Aktivitäten sind es.
Wasacon in deiner Region
Wasacon unterstützt Unternehmen in Erkelenz (41812), Wegberg, Wassenberg, Hückelhoven, Aachen, Mönchengladbach, Geilenkirchen, Jülich, Düren und Krefeld bei der Absicherung gegen Social-Engineering-Angriffe – von der Konfiguration von Microsoft Teams über EDR/XDR-Implementierung bis hin zu Mitarbeiterschulungen.
Häufig gestellte Fragen
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Schützt dein Unternehmen sich bereits gegen Fake-IT-Helpdesk-Angriffe?
Wir prüfen deine Microsoft-365-Konfiguration, Identity-Monitoring und Awareness-Prozesse – und zeigen, wo du nachschärfen solltest.
APT- & Threat-Actor-Analysen
Wer hinter modernen Angriffen steckt – und wie sie vorgehen:
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
