Napad preko ukradenih tokena pogodio 97 Microsoft 365 naloga

Huntress je saopštio da je od 14. jula do 22. septembra 2026. pratio kampanju u kojoj su napadači preuzimali tokene za prijavu i koristili ih za pristup Microsoft 365 nalozima u 79 organizacija. Preuzeto je 97 naloga i registrovano 48 lažnih Entra uređaja.

Više od 200.000 neuspelih pokušaja prijave tokom kampanje povezano je sa IP opsegom 193.26.115[.]0/24. Napad počinje lažnom stranicom za prijavu postavljenom između žrtve i Microsoftove infrastrukture. Ona hvata podatke za prijavu i MFA kodove, a cilj je pristupni token koji Microsoft izdaje posle uspešne prijave. Token se kasnije koristi sa napadačevih uređaja za automatske pokušaje prijave, metodom koju Huntress naziva napad raspršivanjem tokena (token spraying).

Istraživači navode da su u najmanje 19 organizacija postojeće metode višefaktorske provere uklonjene i nova metoda registrovana u roku od tri sata od prve prijave. U jednom slučaju napadači su aktivirali aplikaciju za proveru identiteta pod imenom „iPhone 13“ manje od 51 minuta posle preuzimanja sesije. Registrovani su i lažni računari kako bi se dobio trajniji način za traženje tokena.

Napadači su postavljali skrivena pravila u poštanskom sandučetu žrtava koja brišu dolaznu poštu sa ključnim rečima kao što su plata, depozit i bonus ili je premeštaju u fascikle kao što su RSS Feeds i Conversation History. Tokeni potiču iz više izvora, uključujući AitM preko lažnih stranica, fišing preko koda uređaja i socijalni inženjering.

Šta uraditi

• Opozovati sesije i promeniti lozinku za sumnjive naloge.
• Proveriti registrovane Entra uređaje i ukloniti nepoznate.
• Pregledati metode višefaktorske provere i pravila u poštanskom sandučetu.
• Ograničiti tok koda uređaja pravilima Conditional Access.
• Zahtevati MFA za sve korisnike, sve cloud aplikacije i sve tipove klijenata.