Huntress opisała kampanię wymierzoną w środowiska Microsoft 365, w której napastnicy mieli wykorzystywać skradzione tokeny sesji do automatycznych logowań. Podejrzane zdarzenia w 79 organizacjach klientów badano w okresie od lipca do września 2026 roku. Huntress podała co najmniej 200 tys. prób logowania, w tym 497 udanych.
Co oznacza token spraying w tym przypadku?
W opisie kampanii „token spraying” oznacza automatyczne logowania z użyciem skradzionych tokenów sesji. Token sesji to poświadczenie pozwalające kontynuować sesję po zalogowaniu. W odróżnieniu od password sprayingu, który polega na sprawdzaniu popularnych haseł na wielu kontach, ta metoda wykorzystuje przejęte tokeny.
Według opisu token mógł zostać skradziony po prawidłowym logowaniu i przejściu uwierzytelniania wieloskładnikowego (MFA). Osoba dysponująca takim tokenem mogła użyć go ponownie w tej samej sesji bez ponownego przechodzenia MFA.
Jaką skalę i metody zgłosiła Huntress?
Huntress badała podejrzane logowania w 79 organizacjach swoich klientów. Podała co najmniej 200 tys. prób logowania i 497 udanych logowań. Liczba 79 określa zakres badanych organizacji.
Opisane metody obejmowały phishing typu adversary-in-the-middle (AiTM), fałszywe strony logowania, phishing z użyciem kodów urządzeń oraz socjotechnikę. Napastnicy mieli wykorzystywać te sposoby do kradzieży tokenów, a następnie odtwarzać je w automatycznych próbach logowania.
Jak napastnicy próbowali utrzymać dostęp?
W części zaobserwowanych incydentów napastnicy mieli zmieniać ustawienia MFA, dodawać własne numery telefonów lub rejestrować urządzenia, a także tworzyć ukryte reguły skrzynki odbiorczej.
Z przejętej skrzynki wysłano również wiadomość phishingową dotyczącą listy płac. Zamierzony odbiorca najwyraźniej nie dokonał płatności.
Co zaleciła Huntress administratorom?
Huntress zaleciła właściwie skonfigurowane zasady dostępu warunkowego (Conditional Access Policies). Powinny one bezwarunkowo wymagać MFA albo blokować dostęp wszystkim użytkownikom, do wszystkich aplikacji chmurowych i dla wszystkich typów aplikacji klienckich.
Po podejrzeniu ponownego użycia tokenu Huntress zaleciła unieważnić sesje, zmienić hasła, skontrolować urządzenia i metody MFA w Microsoft Entra oraz sprawdzić reguły skrzynek odbiorczych.
