W III kwartale 2026 r. Microsoft Threat Intelligence wykrył około 7,3 mld zagrożeń phishingowych przesyłanych e-mailem. We wrześniu wykryć było prawie 3 mld, o 41 proc. więcej niż w sierpniu. Jednocześnie poszczególne metody phishingu rozwijały się w różnych kierunkach. Microsoft opublikował te dane 5 listopada, podając okres obserwacji od lipca do września.

Liczba wykryć opisuje aktywność zarejestrowaną przez systemy Microsoftu, a nie potwierdzoną liczbę ofiar.

Phishing QR osłabł, a ataki z CAPTCHA odbiły

Microsoft oszacował liczbę ataków phishingowych z kodami QR w III kwartale na około 12,1 mln, o 67 proc. mniej niż w II kwartale. We wrześniu ich poziom pozostawał 86 proc. poniżej marcowego szczytu. Inaczej wyglądały ataki z bramką CAPTCHA, czyli stroną proszącą użytkownika o rozwiązanie testu przed przejściem dalej: we wrześniu osiągnęły 3,1 mln, prawie dwa razy więcej niż w lipcowym dołku. Załączniki SVG odpowiadały za 65 proc. tej aktywności w sierpniu i 49 proc. we wrześniu.

W danych znalazły się też inne rodzaje zagrożeń. Microsoft odnotował około 129 mln złośliwych wiadomości podszywających się pod śledzone domeny usług biznesowych. We wrześniu nadpisania ustawień bezpieczeństwa dotyczyły 63 proc. wiadomości z zarejestrowanym wynikiem, a większość tych nadpisań wprowadzono na poziomie organizacji. Z kolei około 94–96 proc. analizowanych ataków opartych na załącznikach kierowało odbiorców na strony phishingowe lub wyświetlało fałszywe formularze logowania. W tej kategorii głównym ryzykiem była kradzież danych logowania.

Sierpniowa kampania wykorzystywała kod urządzenia

Microsoft Defender Research opisał kampanię z 19–20 sierpnia, skierowaną do ponad 10 tys. użytkowników w ponad 4,8 tys. organizacji, przede wszystkim w Stanach Zjednoczonych. Wiadomości z pretekstem przeglądu wynagrodzenia zawierały dokument Word z kodem QR. Według Microsoftu zawodowe usługi, szczególnie organizacje prawnicze, stanowiły 72,1 proc. zamierzonych celów.

Kod prowadził do fałszywej strony logowania OneDrive, która podawała kod urządzenia i kierowała odbiorcę do prawdziwego portalu logowania Microsoftu. Jeśli użytkownik ukończył tę procedurę, napastnik mógł przejąć ważny token sesji bez poznania hasła i ponownego wywołania uwierzytelniania wieloskładnikowego. Microsoft opisał możliwy mechanizm, a nie potwierdzone przejęcie kont.

We wrześniu przynęty prowadziły do załączników z Agent Tesla

Kampania zaobserwowana 21 września była skierowana do ponad 56 tys. użytkowników w ponad 8,1 tys. organizacji. 63 proc. wiadomości dotyczyło zamówień zakupu, a 37 proc. list płac. Microsoft Defender Research opisał dwie odrębne ścieżki załączników.

W wariancie z zamówieniem archiwum RAR o nazwie przypominającej plik PDF zawierało skrypt JavaScript. Ten pobierał plik PowerShell Lincoln.ps1, który według Microsoftu prowadził do Agent Tesla. W wariancie płacowym inne archiwum RAR zawierało plik wykonywalny z rozszerzeniem stylizowanym na XML; Microsoft wskazał Agent Tesla jako dostarczane złośliwe oprogramowanie. Opis kampanii nie oznacza, że odbiorcy uruchomili te pliki.

Wykrycia i próby połączeń nie są liczbą przejętych kont

Microsoft podał, że w III kwartale wykrył około 6,2 mln ataków polegających na podszywaniu się pod kontakty biznesowe. Odnotował także około 141 tys. prób złośliwych połączeń w Microsoft Teams. Ta druga liczba obejmowała połączenia nieodebrane, odrzucone i krótkotrwałe.

Microsoft zaleca między innymi przegląd ustawień Exchange i Defendera, korzystanie z Safe Links i Safe Attachments oraz ZAP, symulacje phishingowe, metody logowania bez hasła lub uwierzytelnianie wieloskładnikowe, kontrolę połączeń zewnętrznych w Teams oraz wyszukiwanie i usuwanie złośliwych wiadomości. Osobom porządkującym ochronę danych w środowisku Microsoft 365 może się przydać także tekst NeoTeo o ochronie danych przed Copilotem.