Campanie de replay al tokenurilor compromite conturi Microsoft 365 la 79 de organizații

Între mijlocul lui iulie și sfârșitul lui septembrie 2026, o campanie coordonată a preluat conturi Microsoft 365 la 79 de organizații fără să spargă nicio parolă. Atacatorii au furat tokenuri de sesiune deja autentificate, le-au reutilizat de pe propria infrastructură și au folosit accesul obținut pentru a-i bloca pe utilizatori în afara propriei autentificări multi-factor (MFA).

Ce s-a întâmplat

Operațiunea a durat aproximativ zece săptămâni, între 14 iulie și 22 septembrie 2026. În mediile în care a fost observată, a generat peste 200.000 de încercări eșuate de autentificare, 497 de autentificări reușite și 97 de conturi compromise. Atacatorii au înregistrat cel puțin 48 de dispozitive neautorizate în Microsoft Entra ID pentru a-și păstra accesul după intrarea inițială.

Trei tehnici de intrare au alimentat campania:

• Phishing adversary-in-the-middle (AiTM). O pagină de autentificare clonată se interpunea între victimă și Microsoft, transmițând în timp real numele de utilizator, parola și provocarea MFA și capturând sesiunea autentificată returnată.
• Phishing prin cod de dispozitiv. În valul din august, victimele au fost convinse să aprobe un cod de dispozitiv generat de atacator chiar pe pagina legitimă de autentificare Microsoft, cedând o sesiune fără nicio pagină falsă.
• Inginerie socială pentru a-i determina pe utilizatori să interacționeze cu oricare dintre momeli.

Odată capturat, tokenul era reutilizat de pe servere închiriate în Germania. Două seturi de instrumente distincte se ocupau de replay: unul efectua schimburi scriptate de tokenuri prin aplicațiile client Microsoft Office și Authentication Broker pentru a ajunge la Microsoft Graph, Exchange Online și SharePoint; celălalt reda sesiuni complete de browser prin clientul OfficeHome. Releele de phishing și gazdele de replay se aflau pe infrastructuri separate, astfel încât blocarea uneia nu o oprea pe cealaltă.

Viteza a fost o trăsătură definitorie. Într-un incident din iulie, între autentificarea victimei și preluarea contului au trecut douăsprezece minute. La ultima preluare din septembrie, doar patru.

Cum s-au înrădăcinat atacatorii

În 19 dintre organizațiile afectate, intrușii au eliminat metodele MFA existente ale victimei și au înregistrat înlocuitori în mai puțin de trei ore de la prima autentificare, de multe ori etichetați ca aplicație de autentificare pe iPhone. Dispozitive Windows neautorizate, denumite cu prefixul DESKTOP- urmat de opt caractere hexazecimale, le-au oferit o a doua cale de persistență.

A urmat abuzul asupra căsuțelor poștale. Reguli de inbox cu nume de unică folosință, cum ar fi un singur punct sau o singură literă, mutau în tăcere mesajele primite în foldere precum RSS Feeds, RSS Subscriptions și Conversation History. Un cont deturnat a trimis un mesaj pe tema salarizării unui contabil extern, în timp ce regulile ascundeau răspunsurile legate de plăți bancare. Alte conturi au fost folosite pentru a trimite spam către sute de destinatari.

Activitatea nu a fost legată de o familie de malware cunoscută sau de un kit de phishing anume și nu a fost atribuită unui grup specific.

De ce contează

Furtul tokenurilor de sesiune transformă MFA dintr-un control permanent într-un obstacol de o singură dată. Odată ce atacatorul deține dovada că provocarea a fost deja rezolvată, Microsoft vede o sesiune legitimă. Pașii de persistență, metode MFA noi, dispozitive înrolate și reguli de inbox, sunt gândiți să supraviețuiască unei simple resetări de parolă, motiv pentru care atât de multe victime rămân compromise după remedierea „evidentă”.

Partea bună: politicile de Conditional Access au blocat 1.052 de încercări de replay la patru organizații într-un singur val. Aplicarea politicilor, nu MFA în sine, este ceea ce a făcut tokenurile inutile.

Ce este de făcut

• Căutați artefactele. Verificați jurnalele de autentificare din Entra pentru conectări din intervale de hosting necunoscute, inclusiv blocul 193.26.115[.]0/24, user agent-uri node sau Mozilla/5.0 simplu și codurile de eroare 53003 (blocat de Conditional Access) și 50133 (artefact SSO revocat).
• Auditați persistența. Listați metodele MFA și dispozitivele înregistrate în ultimele nouăzeci de zile și eliminați tot ce utilizatorul nu poate confirma, mai ales dispozitivele care respectă tiparul DESKTOP- plus opt caractere hex.
• Verificați regulile de inbox din întregul tenant pentru reguli cu nume fără sens sau care mută mesajele în folderele RSS ori Conversation History.
• Remediați corect. Revocați toate sesiunile și refresh token-urile, resetați parola, eliminați dispozitivele și metodele MFA neautorizate, ștergeți regulile malițioase, apoi reînrolați MFA de pe un dispozitiv de încredere.
• Întăriți tenantul. Dezactivați sau limitați strict fluxul de cod de dispozitiv, cereți dispozitive conforme sau hybrid-joined pentru aplicațiile sensibile, activați protecția tokenurilor acolo unde este disponibilă și verificați aplicațiile cărora li s-a acordat recent consimțământ.
• Instruiți pentru momeală. Utilizatorii trebuie să știe că o pagină Microsoft legitimă care le cere să aprobe un cod pe care nu l-au solicitat este, în sine, atacul.

Replay-ul de tokenuri funcționează doar acolo unde politicile îl permit. Echipa noastră de penetration testing evaluează tenanții Microsoft 365 exact în acest scenariu, verificând dacă Conditional Access, setările pentru codul de dispozitiv și controalele de înregistrare MFA ar opri o sesiune reutilizată înainte să devină o preluare de cont.