KnowBe4 Threat Lab wykrył kampanię nadużywającą funkcji Direct Send w Microsoft 365. Badacze potwierdzili 29 785 wiadomości phishingowych wysłanych w obserwowanym okresie. Istotne jest to, że atakujący nie muszą najpierw przejąć prawdziwego konta pracownika. Mogą przygotować wiadomość wyglądającą jak wysłana z firmowej domeny przez HR, księgowość, administrację albo nawet prezesa.

Dlaczego Direct Send może zostać wykorzystany w phishingu?

Jak wyjaśnia KnowBe4 Threat Lab, Direct Send powstał m.in. po to, aby drukarki, skanery i starsze aplikacje lokalne mogły wysyłać pocztę bez dedykowanego konta. Exchange Online udostępnia w tym celu odpowiedni punkt wejścia.

Napastnik może wykorzystać tę samą ścieżkę i zadeklarować adres nadawcy należący do organizacji. Wiadomość może ominąć część zewnętrznych bram bezpieczeństwa i wyglądać jak komunikacja wewnętrzna, mimo że nie pochodzi od pracownika.

Jaka była skala kampanii?

KnowBe4 przeanalizował 29 785 potwierdzonych wiadomości wykorzystujących Direct Send w lipcu i sierpniu 2026 roku. Ataki były prowadzone głównie w dni robocze i godzinach odpowiadających aktywności pracowników, co zwiększało wiarygodność korespondencji.

Co powinni zrobić administratorzy Microsoft 365?

Organizacje, które nie potrzebują Direct Send, powinny sprawdzić możliwość ograniczenia tej funkcji i reguły przepływu poczty. Warto również oznaczać wiadomości, które deklarują wewnętrzny adres nadawcy, ale przychodzą ścieżką nietypową dla normalnej komunikacji firmy. Użytkownik nie powinien traktować samej firmowej domeny w polu From jako dowodu, że wiadomość naprawdę wysłał współpracownik.

Źródło: KnowBe4 Threat Lab – Direct Send: How Attackers Weaponize Your Infrastructure Against You