Badacze Bolster przeanalizowali kampanię, w której pierwszy link naprawdę prowadził do login.microsoftonline.com. Nie była to podobna domena ani literówka. Atak wykorzystywał prawdziwy mechanizm Microsoft OAuth jako pierwszy etap, a dopiero później kierował użytkownika przez kolejne usługi i przekierowania do strony wyłudzającej dane logowania.

Jak przebiegał phishing zaczynający się od Microsoft.com?

Jak opisuje Bolster AI, po prawdziwym adresie Microsoft OAuth pojawiało się kilka kolejnych etapów. Łańcuch wykorzystywał legalną infrastrukturę chmurową, storage oparty na blockchainie i Cloudflare Worker, a skradzione dane trafiały dalej do infrastruktury kontrolowanej przez napastnika.

To ważny przykład, bo pokazuje ograniczenie porady „sprawdź, czy link prowadzi do prawidłowej domeny”. Ta kontrola nadal ma sens, ale nie kończy weryfikacji, jeśli prawidłowa domena jest tylko pierwszym elementem wieloetapowego przekierowania.

Na co zwrócić uwagę przy logowaniu przez Microsoft?

Sprawdź nie tylko pierwszy adres, ale również to, dlaczego w ogóle zostałeś poproszony o logowanie i co dzieje się po autoryzacji. Jeżeli wiadomość jest niespodziewana, samodzielne wejście do usługi jest bezpieczniejszą metodą niż podążanie za całym łańcuchem z e-maila.

Źródło: Bolster AI – The Phishing Link Was Microsoft.com. The Attack Wasn’t