17 października 2026 r. Escudo Digital podało, że badanie Kaspersky wykazało ponad 390 tys. ataków phishingowych z użyciem legalnej infrastruktury chmurowej w ciągu 12 miesięcy poprzedzających publikację. W tym samym artykule osobno opisano kampanię wymierzoną w użytkowników Microsoft 365. Podana liczba dotyczy ogółu ataków wykorzystujących taką infrastrukturę, a nie samej kampanii przeciwko Microsoft 365. Escudo Digital opisało też jej przebieg.

Jak działało fałszywe logowanie do Microsoft 365

Według opisu kampania zaczynała się od wiadomości wyglądającej, jakby wysłała ją osoba znana odbiorcy. Następnie fałszywy test CAPTCHA prosił o podanie służbowego adresu e-mail, a przeglądarka przekierowywała użytkownika do subdomeny Cloudflare Workers. Po kolejnym teście pojawiało się imitowane okno logowania do Microsoft 365.

Zastosowana technika Browser-in-the-Browser (BiTB) polega tu na podszywaniu się pod okno logowania w taki sposób, by przypominało prawdziwe okno przeglądarki. Formularz miał przechwytywać nazwę użytkownika, hasło, kody MFA, czyli uwierzytelniania wieloskładnikowego, oraz ciasteczka sesyjne. Po przesłaniu danych użytkownik widział ogólną stronę błędu.

W szerszym kontekście phishingu z użyciem legalnych usług chmurowych Escudo Digital wymieniło także Vercel, Netlify, GitHub Pages i IPFS. Opisana sekwencja prowadziła jednak przez Cloudflare Workers. Jeśli CAPTCHA prosi o dane osobowe albo niespodziewana wiadomość nakłania do logowania, sprawdź adres strony w pasku przeglądarki, zamiast ufać samemu wyglądowi formularza.

Co zrobić z niezamówionym kodem Microsoft

Nieoczekiwany kod weryfikacyjny może oznaczać próbę logowania, pomyłkę przy wpisywaniu numeru telefonu lub adresu e-mail albo opóźnione dostarczenie wcześniej zamówionego kodu. Microsoft zaleca, by nie odpowiadać na kod, którego się nie zamawiało, oraz sprawdzić aktywność konta. Microsoft wyjaśnia możliwe przyczyny kodu i opisuje sprawdzanie nietypowych logowań. Jeśli podejrzewasz, że ktoś uzyskał dostęp do konta, zmień hasło.

Jak zgłosić phishing w Outlook

W Outlook wybierz podejrzaną wiadomość, otwórz menu Zgłoś i wybierz opcję zgłoszenia phishingu. Microsoft opisuje tę funkcję, a dokumentacja Microsoft Learn wyjaśnia ścieżkę przekazania zgłoszenia. To, czy wiadomość trafi do Microsoftu, czy do firmowego procesu zgłoszeń, może zależeć od konfiguracji organizacji.