Campanie de token replay în Microsoft 365: 97 de conturi compromise la 79 de organizații

O campanie desfășurată timp de mai multe luni împotriva tenant-ilor Microsoft 365 arată că parola, și chiar codul MFA de unică folosință, nu mai contează din clipa în care atacatorul deține un token de autentificare valid. Între 14 iulie și 22 septembrie 2026, atacatorii au direcționat victimele prin pagini de login care imitau Microsoft, au capturat token-urile emise după fiecare autentificare reușită și le-au reutilizat de pe propriile mașini. Bilanțul: 97 de conturi compromise la 79 de organizații, 48 de dispozitive false înregistrate în directoarele victimelor și reguli de inbox create pentru a ascunde fraude salariale.

Cum funcționează atacul

Punctul de intrare este o pagină de autentificare de tip adversary-in-the-middle (AitM). Victima ajunge pe o pagină care arată exact ca formularul de login Microsoft, dar care stă de fapt între utilizator și serviciul real. Tot ce tastează victima, inclusiv numele de utilizator, parola și codul MFA, este transmis către Microsoft în timp real, astfel încât autentificarea reușește și nimic nu pare în neregulă.

Atacatorii nu vor parola. Vor token-ul de acces pe care Microsoft îl emite după ce autentificarea și verificarea MFA s-au încheiat. Această „dovadă de login" este reutilizată în câteva minute de pe dispozitive controlate de atacatori, pentru a lansa încercări automate de autentificare în serviciile Microsoft 365, fără a mai trece vreodată prin MFA.

Pentru că aceeași tehnică a fost aplicată simultan pe multe token-uri furate, în multe organizații, tiparul a fost numit token spraying, ruda bazată pe token-uri a atacurilor de tip password spraying.

Amploare și infrastructură

Pe durata campaniei, peste 200.000 de încercări de autentificare au fost urmărite până la un singur bloc de rețea, 193.26.115[.]0/24. Dintre acestea, 497 au reușit. Prima activitate a venit de la o adresă geolocalizată în România din acest bloc, asociată și cu trafic al troianului de acces la distanță AsyncRAT.

Blocul aparține unui furnizor german de hosting care închiriază servere virtuale, iar mai multe adrese din același interval au deja reputație malițioasă sau suspectă. Branduri legate de acest furnizor au fost vizate de o operațiune internațională a autorităților în ianuarie 2025 și au reapărut între timp sub alte nume. Operatorul a negat public orice implicare în activități infracționale, așa că legătura cu infrastructura trebuie privită drept context, nu drept atribuire.

Nici token-urile furate nu proveneau dintr-un singur loc. Campania s-a bazat pe relee AitM ascunse în spatele unor pagini false de login, pe phishing prin device code și pe inginerie socială aplicată în timp ce victima trecea printr-o autentificare legitimă.

Persistență: metode MFA noi și dispozitive false

Odată intrați, atacatorii s-au mișcat rapid pentru ca o sesiune revocată să nu îi mai scoată afară.

• Propria aplicație de autentificare. Atacatorii au înregistrat o metodă MFA nouă, ca să poată răspunde ei înșiși la verificările viitoare. În cel puțin 19 organizații, metodele MFA existente ale victimei au fost șterse și înlocuite în mai puțin de trei ore de la prima autentificare malițioasă. Într-un caz din 21 iulie 2026, o aplicație de autentificare denumită „iPhone 13" era activă la mai puțin de 51 de minute după deturnarea sesiunii.
• Dispozitive false. Cel puțin 48 de calculatoare fictive au fost înregistrate în directoarele Entra ID ale organizațiilor afectate. Un dispozitiv înregistrat oferă o cale mult mai durabilă de a cere token-uri noi decât o sesiune furată și rămâne în director până când un administrator îl observă și îl șterge.

Reguli de inbox construite pentru fraudă salarială

Activitatea din căsuțele poștale indică fără echivoc business email compromise. Reguli de inbox ascunse, cu nume de umplutură precum „.", „s", „d", „iT", „sss" sau un șir de puncte, au fost configurate să șteargă mesajele primite care menționau salarii, depuneri sau bonusuri, ori să le mute în foldere rar deschise, cum ar fi RSS Feeds sau Conversation History. Este pregătirea clasică pentru deturnarea plăților salariale sau pentru preluarea unei conversații despre o factură.

Într-o căsuță compromisă, o regulă marca fiecare mesaj primit ca citit și îl ștergea. Contul a fost apoi folosit pentru a trimite spam către sute de destinatari externi, înainte ca Entra ID Protection să îl încadreze la risc ridicat.

De ce contează

MFA exista în aceste organizații și a fost trecut cu succes. Atacul se desfășoară integral după autentificare, așa că semnalele de care ai nevoie diferă de cele pe care le monitorizează majoritatea echipelor:

• o autentificare reușită de pe un IP sau dispozitiv nou, la câteva secunde sau minute după una legitimă;
• o metodă MFA sau o aplicație de autentificare nouă apărută pe un cont;
• înregistrări neașteptate de dispozitive în Entra ID;
• reguli de inbox cu nume fără sens sau reguli care șterg ori mută mesaje;
• consimțăminte noi pentru aplicații enterprise.

Blocarea intervalelor de IP ajută pentru o zi. Serverele virtuale închiriate sunt ieftine, iar operatorii le rotesc.

Ce e de făcut

Dacă suspectezi o compromitere prin token replay în tenant-ul tău:

1. Revocă toate sesiunile active ale contului, apoi resetează parola.
2. Auditează dispozitivele înregistrate în Entra ID și elimină tot ce nu poți justifica.
3. Verifică metodele MFA ale contului și șterge-le pe cele pe care utilizatorul nu le-a adăugat.
4. Controlează regulile de inbox, setările de redirecționare și aplicațiile enterprise autorizate recent.
5. Restricționează sau blochează fluxul de autentificare prin device code cu ajutorul Conditional Access.

Pentru întărire pe termen lung, politicile de Conditional Access ar trebui să impună MFA, sau să blocheze accesul complet, pentru toți utilizatorii, toate aplicațiile cloud și toate tipurile de aplicații client, fără excepții făcute din comoditate. Completează cu metode de autentificare rezistente la phishing, precum passkeys sau chei FIDO2, acolo unde este posibil, configurează alerte pentru schimbările de metode MFA și pentru înregistrările noi de dispozitive și adaugă 193.26.115[.]0/24 pe listele de monitorizare.

Configurația de identitate este una dintre zonele pe care angajamentele noastre de penetration testing le examinează cel mai atent în mediile Microsoft 365. Verificăm dacă politicile de Conditional Access, restricțiile pentru device code și regulile de înregistrare MFA chiar opresc un token reutilizat, ca să găsești breșa înaintea unui atacator.