Lopott belépési tokenekkel jutottak Microsoft 365-fiókokba a támadók
Sok esetben percekkel a belépési token ellopása után már hozzáfértek a vállalati Microsoft 365-környezethez a támadók a Huntress kutatói szerint. A globális kampányban legalább 200 000 bejelentkezési kísérletet figyeltek meg, köztük 497 sikeres belépést. Az elkövetők a hitelesítési beállításokat és a levelezési szabályokat is módosították, hogy később is visszajuthassanak.
A jelszó megszerzése nélkül is bejutottak
A vizsgálatot 79 Huntress-ügyfélszervezetnél észlelt gyanús bejelentkezések indították el. Ezek 2026 júliusa és szeptembere között történtek. A kutatók vállalati Microsoft 365-környezeteket célzó, világszerte zajló műveletet tártak fel.
A kampány hamis belépési oldalakat, eszközkódos adathalászatot és megtévesztést is használt. Az elkövetők olyan tokeneket loptak el, amelyek a valódi bejelentkezés és a többtényezős hitelesítés után jönnek létre. Utóbbi, röviden MFA, egynél több, különböző típusú tényezővel ellenőrzi a belépő személyazonosságát.
A megszerzett token birtokában nem kellett ismét teljesíteni ezt az ellenőrzést. A támadók saját gépeikről használták fel újra az ellopott hozzáférési adatokat, automatizált bejelentkezési kísérletekben. Ehhez az érintett fiók jelszavát sem kellett megszerezniük.
Saját telefont és eszközöket adtak a fiókokhoz
Több megfigyelt esetben az elkövetők törölték az áldozat MFA-beállításait, majd saját telefonjukat adták hozzá a fiókhoz. Így már a saját hitelesítőalkalmazásukkal is hozzáférhettek a környezethez: önmagában egy jelszócsere nem zárta volna ki őket.
Az Entra beállításait szintén módosították. Saját eszközöket regisztráltak, hogy szükség esetén később további tokeneket kérhessenek. A postafiókokban rejtett levélszabályokat hoztak létre, amelyek bizonyos kapcsolatok üzeneteit eltüntették a szem elől.
Egy feltört postafiókból bérszámfejtéshez kapcsolódó adathalász levelet is küldtek. A valódi címről érkező megkeresés növeli az üzleti levelezéssel elkövetett csalás sikerének esélyét. A leírt esetben ugyanakkor úgy tűnik, a kiszemelt áldozat nem fizetett a támadóknak.
Minden felhasználóra és alkalmazásra vonatkozó szabályt javasolnak
A Huntress a megfelelően kialakított feltételes hozzáférési szabályokat emeli ki a kockázat csökkentésére. Ezek a kutatók szerint olyan biztonsági hiányosságokat is lefedhetnek, amelyeket az MFA önmagában nem kezel.
Az ajánlás nem csupán egyes fiókokra vagy szolgáltatásokra szól. A feltételes hozzáférés beállításakor minden felhasználóra, minden felhőalkalmazásra és minden kliensalkalmazás-típusra feltétel nélkül meg kell követelni a többtényezős hitelesítést, vagy blokkolni kell a hozzáférést.
Gyanú esetén a jelszócsere mellett a hozzáféréseket is vizsgáld át
Ha felmerül, hogy valaki ellopott tokennel jutott be, a forrás a munkamenetek visszavonását és a jelszó megváltoztatását javasolja. Ezt az Entra rendszerben regisztrált eszközök és a hitelesítési módszerek átvizsgálásának kell követnie.
A postafiók szabályait is ellenőrizni kell, hogy kiderüljön, módosították-e őket. A kampányban éppen ezekkel a változtatásokkal próbálták fenntartani a hozzáférést, illetve elrejteni bizonyos beérkező leveleket.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum