Huntress meldde een wereldwijde campagne tegen Microsoft 365 waarbij aanvallers gestolen sessietokens opnieuw gebruikten voor geautomatiseerde aanmeldingen. Het bedrijf onderzocht verdachte aanmeldingen bij 79 klantorganisaties tussen juli en september 2026 en rapporteerde minstens 200.000 pogingen, waaronder 497 succesvolle aanmeldingen.
Wat token spraying hier betekent
In deze campagne verwijst ‘token spraying’ naar geautomatiseerde aanmeldpogingen met gestolen sessietokens. Bij password spraying proberen aanvallers wachtwoorden op meerdere accounts; bij token replay gebruiken ze een al verkregen sessietoken.
Een sessietoken wordt aangemaakt na een aanmelding. Volgens Huntress konden de aanvallers tokens gebruiken die waren aangemaakt nadat een gebruiker zich legitiem had aangemeld en multifactorauthenticatie (MFA) had doorlopen. Met zo’n token konden ze die sessie voortzetten zonder MFA voor die sessie opnieuw te doorlopen.
Wat Huntress over de campagne meldde
Naast het hergebruik van tokens beschreef Huntress phishing via onder meer nepaanmeldpagina’s en apparaatcodes, social engineering en adversary-in-the-middle-phishing (AiTM). De 79 organisaties waren klantorganisaties waar verdachte aanmeldingen werden onderzocht.
In enkele onderzochte incidenten zouden aanvallers MFA-instellingen hebben gewijzigd, eigen telefoons of apparaten hebben geregistreerd en verborgen regels in inboxen hebben aangemaakt. Zulke regels kunnen berichten anders verwerken dan gebruikers verwachten.
Een gecompromitteerde mailbox zou ook zijn gebruikt om een phishingbericht over salarisbetalingen te versturen. De beoogde ontvanger heeft volgens Huntress blijkbaar niet betaald.
Welke maatregelen Huntress adviseerde
Huntress adviseerde Conditional Access Policies zo in te stellen dat voor alle gebruikers, alle cloudapps en alle typen clientapps MFA verplicht is of toegang wordt geblokkeerd.
Bij een vermoeden van token replay adviseerde Huntress om sessies in te trekken en wachtwoorden te wijzigen. Controleer daarnaast de geregistreerde Microsoft Entra-apparaten en MFA-methoden, en loop de inboxregels na op ongeautoriseerde wijzigingen.
