The Hacker News berichtte op 26 oktober 2026 dat Huntress 97 gecompromitteerde Microsoft 365-accounts bij 79 organisaties had waargenomen. De activiteit speelde van 14 juli tot en met 22 september 2026. Huntress telde daarnaast 497 geslaagde aanmeldingen en meer dan 200.000 aanmeldpogingen.
Hoe aanvallers een aangemelde sessie konden overnemen
Bij tokenreplay gebruikt een aanvaller een gestolen aanmeldtoken om een sessie voort te zetten die al is geauthenticeerd. Volgens Huntress stuurde een adversary-in-the-middle-pagina, een tussenpagina van de aanvaller, inloggegevens en MFA-codes door naar Microsoft. Nadat Microsoft een token had uitgegeven, onderschepte de aanvaller dat token en gebruikte het vanaf een eigen apparaat. Daardoor kon de aanvaller de bestaande sessie benutten zonder opnieuw een MFA-controle te doorlopen.
Huntress noemde het op grote schaal hergebruiken van gestolen tokens bij meerdere organisaties ‘token spraying’. Het bedrijf meldde ook device-code-phishing en misleiding tijdens een legitieme aanmelding als mogelijke manieren waarop aanvallers tokens verkregen.
Welke sporen Huntress rapporteerde
Huntress rapporteerde 48 ongewenste apparaatregistraties in Microsoft Entra ID. Bij minstens 19 organisaties verwijderden aanvallers bestaande MFA-methoden en registreerden ze binnen drie uur na de eerste aanmelding een nieuwe. In één geval werd op 21 juli een authenticator met de naam ‘iPhone 13’ minder dan 51 minuten na de sessiekaping geactiveerd.
Ook mailboxregels maakten deel uit van de gemelde activiteit. Aanvallers gebruikten verborgen regels om berichten over onder meer salaris, stortingen en bonussen te verwijderen of om te leiden. Eén regel markeerde alle binnenkomende berichten als gelezen en verwijderde ze. Huntress meldde dat de mailbox vervolgens spam naar honderden ontvangers verstuurde, voordat Entra ID Protection het account als hoog risico beoordeelde.
Waar Microsoft Token Protection voor geldt
Microsoft Token Protection in Conditional Access koppelt ondersteunde vernieuwingstokens cryptografisch aan een apparaat. De Microsoft-richtlijn beschrijft ondersteuning voor Windows-apps die Teams, SharePoint en Exchange gebruiken, en vereist een Primary Refresh Token (PRT), een vernieuwingstoken dat bij een apparaat hoort. Niet-geregistreerde apparaten zonder PRT vallen buiten de beschreven situatie. Token Protection is dus niet van toepassing op elke combinatie van apparaat en app. Microsoft beschrijft aanvullende maatregelen voor situaties buiten die dekking in de richtlijn over tokenbescherming.
De richtlijn beveelt een gelaagde aanpak aan, met onder meer beveiligde apparaten, Conditional Access-beleid voor compatibele apparaten, detectie van risico’s en netwerkcontroles. Microsoft adviseert ook de device-code-flow alleen toe te staan waar die nodig is, omdat deze aanmeldmethode voor phishing kan worden misbruikt of toegang vanaf onbeheerde apparaten kan geven.
De Engelstalige uitleg van Microsoft Mechanics uit 2024 behandelt tokendiefstal en Token Protection:
Welke gegevens helpen bij het beoordelen van een verdachte aanmelding?
Een afwijkende locatie is op zichzelf geen bewijs van tokendiefstal. Een deelnemer aan een Spiceworks-discussie adviseerde de aanmeldgegevens te controleren: was MFA voor die sessie opnieuw uitgedaagd, of stond de controle al als eerder voldaan geregistreerd? Vergelijk ook de apparaat-ID met een bekend apparaat.
Microsoft noemt onder meer de detecties ‘Anomalous Token’, ‘Attacker in the Middle’ en ‘Unfamiliar sign-in properties’. Bij een vermoedelijke accountinbreuk adviseerde Huntress sessies in te trekken en wachtwoorden te wijzigen, geregistreerde Entra-apparaten en MFA-methoden te controleren en onverwachte inboxregels en enterprise-apps te onderzoeken. Huntress adviseerde daarnaast de device-code-flow via Conditional Access te beperken.
