Tra luglio e settembre 2026, Huntress ha esaminato accessi sospetti in 79 organizzazioni clienti e ha riferito una campagna contro Microsoft 365 con almeno 200.000 tentativi di accesso, di cui 497 riusciti. Gli aggressori avrebbero automatizzato il riutilizzo di token di sessione rubati.
Che cosa significa «token spraying»
In questo resoconto, «token spraying» indica tentativi automatici di accesso che riutilizzano token di sessione sottratti. Il password spraying, invece, prova password comuni su più account.
Un token di sessione consente di mantenere attivo un accesso. Secondo quanto riferito da Huntress, i token usati nella campagna erano stati generati dopo un accesso legittimo e la verifica dell’autenticazione a più fattori (MFA). Chi ne entrava in possesso poteva riutilizzarli senza ripetere la verifica per quella sessione.
Huntress ha descritto phishing adversary-in-the-middle (AiTM), pagine di accesso false, phishing tramite codici dispositivo e tecniche di ingegneria sociale. Una dimostrazione distinta, pubblicata in inglese da Elliot Munro nel 2024, illustra il furto e il riutilizzo di cookie di sessione.
I metodi di persistenza riferiti da Huntress
In alcuni episodi gli aggressori avrebbero modificato le impostazioni MFA, aggiunto telefoni o dispositivi registrati e creato regole nascoste nella posta in arrivo. Queste modifiche possono mantenere l’accesso all’account o influire sui messaggi ricevuti.
Huntress ha riferito anche di un messaggio di phishing sulle buste paga inviato da una casella compromessa. La vittima prevista, secondo quanto riportato, apparentemente non ha effettuato pagamenti agli aggressori.
Le misure raccomandate da Huntress
Per configurare i criteri di accesso condizionale (Conditional Access Policies), Huntress ha raccomandato di richiedere l’MFA oppure bloccare l’accesso per tutti gli utenti, tutte le app cloud e tutti i tipi di app client.
In caso di sospetto replay dei token, Huntress ha indicato di:
- revocare le sessioni e reimpostare le password;
- controllare in Microsoft Entra i dispositivi registrati e i metodi MFA;
- verificare le regole della posta in arrivo per individuare modifiche non autorizzate.
