Huntress podał, że w kampanii z użyciem skradzionych tokenów przejęto 97 kont Microsoft 365 w 79 organizacjach. Aktywność obserwowano od 14 lipca do 22 września 2026 r., a relację o tych ustaleniach opublikowano 26 października.
Jak działa ponowne użycie tokenu
Token sesji pozwala usłudze rozpoznać użytkownika po zalogowaniu. Według opisu kampanii napastnicy wykorzystywali stronę pośredniczącą, która przekazywała Microsoftowi dane logowania i kody MFA. Po udanym uwierzytelnieniu przechwytywali wystawiony token i używali go na własnym urządzeniu. Ponieważ token potwierdzał już uwierzytelnioną sesję, jego ponowne użycie mogło ominąć kolejne wyzwanie MFA.
Huntress podał również, że sprawcy pozyskiwali tokeny przez phishing z użyciem przepływu kodu urządzenia oraz socjotechnikę podczas prawidłowego logowania. Odnotował 497 udanych zdarzeń logowania wśród ponad 200 000 prób.
Ślady utrzymywania dostępu i aktywności w skrzynkach
Huntress przypisał kampanii 48 nieautoryzowanych rejestracji urządzeń w Microsoft Entra ID. W co najmniej 19 organizacjach napastnicy mieli usuwać dotychczasowe metody MFA i rejestrować nowe w ciągu trzech godzin od pierwszego logowania. W jednym przypadku, 21 lipca, metodę uwierzytelniania nazwaną „iPhone 13” aktywowano mniej niż 51 minut po przejęciu sesji.
W skrzynkach pocztowych pojawiały się ukryte reguły usuwające lub przekierowujące wiadomości o wynagrodzeniach, wpłatach i premiach. Jedna z opisanych reguł oznaczała wszystkie nowe wiadomości jako przeczytane, a następnie je usuwała. Z przejętej skrzynki wysyłano też spam do setek odbiorców.
Co obejmuje Microsoft Token Protection
Microsoft Token Protection wiąże obsługiwane tokeny odświeżania z urządzeniem za pomocą mechanizmu kryptograficznego. Według dokumentacji Microsoft ochrona wymaga Primary Refresh Token (PRT) i obejmuje opisane tam obsługiwane aplikacje natywne Windows łączące się z Teams, SharePoint i Exchange. Scenariusz urządzeń niezarejestrowanych, które nie mają PRT, nie jest objęty tym zakresem.
To zabezpieczenie nie obejmuje automatycznie każdego urządzenia ani każdej aplikacji. Microsoft zaleca uzupełnianie go m.in. utwardzaniem zarządzanych urządzeń, regułami Conditional Access wymagającymi urządzeń zgodnych z polityką, wykrywaniem ryzyka oraz kontrolami sieciowymi. Firma zaleca też ograniczać przepływ kodu urządzenia do sytuacji, w których jest potrzebny, ponieważ można go nadużyć w phishingu lub do uzyskania dostępu z urządzeń niezarządzanych.
Co sprawdzić przy podejrzanym logowaniu
Nietypowa lokalizacja sama w sobie nie przesądza o kradzieży tokenu. Przydatne jest sprawdzenie w szczegółach uwierzytelniania, czy MFA zostało właśnie zakwestionowane, czy logowanie korzystało z wcześniej spełnionego wymogu, oraz czy identyfikator urządzenia pasuje do znanego sprzętu. Microsoft wymienia też sygnały ryzyka „Anomalous Token”, „Attacker in the Middle” i „Unfamiliar sign-in properties”.
W razie podejrzenia przejęcia konta zalecenia przypisane Huntress obejmują unieważnienie sesji i zmianę hasła, a także kontrolę zarejestrowanych urządzeń Microsoft Entra ID, metod MFA, reguł skrzynki odbiorczej i aplikacji przedsiębiorstwa. Zespół powinien również ocenić, czy przepływ kodu urządzenia można ograniczyć przez Conditional Access.
