Huntress ujawnił szczegóły dziesięciotygodniowej kampanii wymierzonej w użytkowników Microsoft 365. Tym razem przestępcy nie próbowali po prostu zgadywać haseł. Zdobywali prawidłowe tokeny uwierzytelnionych sesji, a następnie wykorzystywali je z własnej infrastruktury do logowania się do kont ofiar. Między 14 lipca a 22 września 2026 roku badacze reagowali na incydenty w 79 organizacjach i odnotowali co najmniej 497 skutecznych logowań przy ponad 200 tys. nieudanych próbach.
Jak przejmowano sesje Microsoft 365?
Według raportu Huntress napastnicy korzystali z kilku sposobów zdobywania tokenów. Jednym z nich był Adversary-in-the-Middle (AiTM). Ofiara trafiała na stronę pośredniczącą w logowaniu, przechodziła prawidłowy proces uwierzytelnienia, również z MFA, a przestępca przechwytywał wydany po zalogowaniu token sesji.
Huntress odnotował także device-code phishing oraz socjotechnikę wykorzystującą prawidłowe mechanizmy logowania Microsoft. To ważne rozróżnienie. Nie zawsze chodziło więc o klasyczną fałszywą stronę z formularzem hasła. W niektórych przypadkach użytkownik wykonywał czynności w prawdziwym środowisku Microsoft, ale nieświadomie autoryzował sesję przygotowaną przez napastnika.
Po zdobyciu tokenu przestępcy mogli odtworzyć uwierzytelnioną sesję z własnego komputera. W jednym z opisanych przez Huntress przypadków pomiędzy przejściem ofiary przez MFA a pojawieniem się przejętej sesji minęło zaledwie 12 minut. We wrześniu Huntress zaobserwował podobny przypadek, w którym różnica wyniosła około czterech minut.
Co robili po przejęciu konta?
Samo wejście do Microsoft 365 było dopiero początkiem. Napastnicy próbowali pozostawić sobie możliwość powrotu do konta nawet wtedy, gdy przejęty token przestanie działać.
- rejestrowali własne urządzenia w Microsoft Entra,
- dodawali nowe metody uwierzytelniania,
- w części przypadków usuwali wcześniejsze metody MFA użytkownika,
- tworzyli reguły skrzynki ukrywające wybrane wiadomości,
- uzyskiwali dostęp do Exchange Online, Microsoft Graph i SharePoint,
- wykorzystywali przejęte skrzynki do dalszej korespondencji.
Huntress znalazł co najmniej 48 fałszywie zarejestrowanych urządzeń Entra. W 19 organizacjach dotychczasowe metody MFA ofiary zostały usunięte, a niedługo później zarejestrowano nowe. W jednym z przypadków przejęta skrzynka została wykorzystana do wysłania wiadomości dotyczącej wynagrodzenia do zewnętrznego kontaktu. To już scenariusz bardzo bliski temu, co opisujemy jako Business Email Compromise.
Przestępcy ukrywali wiadomości w skrzynkach
Szczególnie ciekawy jest sposób, w jaki napastnicy próbowali ukryć swoją obecność. Tworzyli w przejętych skrzynkach reguły przenoszące wybrane wiadomości do mniej oczywistych folderów, oznaczające je jako przeczytane albo automatycznie je usuwające.
Reguły reagowały między innymi na słowa związane z wynagrodzeniami, przelewami, bankiem czy premiami. Odpowiedź od konkretnego księgowego mogła zostać automatycznie przeniesiona do folderu „Historia konwersacji”, zanim właściciel skrzynki zdążył ją zauważyć. Jeżeli więc administrator bada przejęcie konta Microsoft 365, powinien sprawdzić nie tylko historię logowania, ale również reguły poczty utworzone w skrzynce.
Czy zmiana hasła wystarczy?
Nie zawsze. Jeżeli napastnik zdążył zarejestrować własne urządzenie albo dodać metodę MFA, sama zmiana hasła nie usuwa tych elementów. Huntress zaleca w takiej sytuacji jednoczesne unieważnienie aktywnych sesji, zmianę hasła, kontrolę urządzeń Entra oraz usunięcie wszystkich metod uwierzytelniania, których użytkownik nie rozpoznaje.
Administrator powinien również przejrzeć reguły skrzynki i sprawdzić, czy nie pojawiły się nowe aplikacje posiadające dostęp do środowiska Microsoft 365. Huntress zwraca też uwagę na odpowiednio skonfigurowane Conditional Access Policies, które w części obserwowanych środowisk skutecznie blokowały ponowne wykorzystanie skradzionych tokenów.
Czy użytkownicy Microsoft 365 mają teraz powód do obaw?
Jeżeli korzystasz z Microsoft 365 i nie otrzymałeś informacji od administratora o podejrzanej aktywności, nie ma powodu, żeby po przeczytaniu tego newsa nerwowo zmieniać hasło. Opisana kampania dotyczy konkretnych przejętych sesji, a nie wszystkich użytkowników Microsoft 365.
Zwróć jednak uwagę, jeżeli niespodziewanie pojawi się prośba o ponowne zalogowanie, wpisanie kodu urządzenia, ponowną konfigurację MFA albo zaakceptowanie procesu logowania, którego sam nie rozpocząłeś. Jeżeli korzystasz z firmowej poczty i coś przestaje się zgadzać, skontaktuj się z administratorem. Nie zatwierdzaj kolejnych komunikatów tylko po to, żeby zniknęły z ekranu.
Sam mechanizm jest też dobrym przykładem tego, dlaczego phishing nie zawsze kończy się na kradzieży samego hasła. Współczesny atak może próbować przejąć już uwierzytelnioną sesję i wykorzystać dostęp, który użytkownik chwilę wcześniej sam prawidłowo zatwierdził.
Źródło: Huntress – M365 Token Spray and Replay Campaign Compromises Business Email Accounts