Il 26 ottobre 2026 The Hacker News ha riferito che Huntress attribuisce a un attacco di token replay la compromissione di 97 account Microsoft 365 in 79 organizzazioni. L’attività sarebbe stata osservata dal 14 luglio al 22 settembre 2026. Huntress ha inoltre riferito 497 eventi di accesso riusciti e oltre 200.000 tentativi di accesso.
Come avveniva il replay dei token
Un token di sessione è una credenziale digitale che permette a un servizio di riconoscere una sessione già autenticata. Secondo la ricostruzione attribuita a Huntress, gli aggressori usavano pagine di attacco adversary-in-the-middle (AiTM) per inoltrare le credenziali e i codici MFA delle vittime ai sistemi Microsoft. Dopo l’accesso legittimo, sottraevano il token emesso da Microsoft e lo riutilizzavano da un dispositivo sotto il loro controllo: la sessione risultava già autenticata, quindi non era necessario affrontare un nuovo passaggio MFA per quel replay.
Huntress ha indicato anche il phishing tramite device code e l’ingegneria sociale durante un accesso legittimo tra le possibili modalità per ottenere token. Ha chiamato «token spraying» la ripetizione su larga scala di token rubati in più organizzazioni, per analogia con il password spraying.
Le tracce nei metodi MFA, nei dispositivi e nella posta
Huntress ha riferito 48 registrazioni non autorizzate di dispositivi in Microsoft Entra ID. In almeno 19 organizzazioni, gli aggressori avrebbero rimosso metodi MFA esistenti e registrato un nuovo metodo entro tre ore dal primo accesso. In un caso del 21 luglio, un autenticatore chiamato «iPhone 13» è stato attivato meno di 51 minuti dopo il dirottamento della sessione.
Tra le attività riferite figuravano regole nascoste nelle caselle di posta, usate per eliminare o deviare messaggi su buste paga, depositi o bonus. In un caso, una regola contrassegnava come letti e cancellava tutti i messaggi in arrivo; la casella è stata poi usata per inviare spam a centinaia di destinatari, prima che Entra ID Protection classificasse l’account come ad alto rischio.
Che cosa copre Microsoft Token Protection
Token Protection in Conditional Access lega crittograficamente i token di aggiornamento supportati al dispositivo. Microsoft descrive la protezione per applicazioni native Windows supportate che si collegano a Microsoft Teams, SharePoint ed Exchange; richiede un Primary Refresh Token (PRT), cioè il token di aggiornamento principale associato al dispositivo. I dispositivi non registrati senza PRT restano fuori dallo scenario descritto da Microsoft.
Per applicazioni, dispositivi o identità che non rientrano in questa copertura, Microsoft raccomanda altri livelli di difesa, tra cui dispositivi gestiti e conformi, controlli basati sul rischio e misure di rete. L’azienda raccomanda inoltre di consentire il flusso device code solo quando necessario e di bloccarlo dove possibile. I controlli citati hanno requisiti di licenza diversi. La guida Microsoft sulla protezione dei token in Microsoft Entra descrive ambito e misure di difesa.
Quali dettagli controllare in un accesso sospetto
Una posizione insolita, da sola, non basta a identificare un furto di token. Un partecipante a una discussione tecnica ha consigliato di controllare nei dettagli di autenticazione se l’MFA sia stata richiesta durante l’accesso o risultasse già soddisfatta, e di confrontare l’ID del dispositivo con quello di un dispositivo noto. Microsoft elenca inoltre tra i rilevamenti di rischio «Anomalous Token», «Attacker in the Middle» e «Unfamiliar sign-in properties».
Per una compromissione sospetta, Huntress ha raccomandato di revocare le sessioni, reimpostare la password, controllare i dispositivi Entra e i metodi di autenticazione, e ispezionare le regole della posta in arrivo e le applicazioni aziendali. Ha inoltre consigliato di limitare il flusso device code tramite Conditional Access.
