Wprowadzenie do problemu / definicja
Mirage2FA to zestaw phishingowy działający w modelu phishing-as-a-service, którego celem jest przejmowanie kont Microsoft 365 z wykorzystaniem techniki adversary-in-the-middle. W odróżnieniu od klasycznych kampanii wyłudzających login i hasło, zagrożenie koncentruje się na przechwyceniu aktywnej sesji użytkownika oraz plików cookie sesyjnych, co pozwala obejść tradycyjne mechanizmy uwierzytelniania wieloskładnikowego.
To istotna zmiana w krajobrazie zagrożeń, ponieważ skuteczność ataku nie zależy wyłącznie od kradzieży danych logowania. Kluczowe staje się przejęcie zatwierdzonej sesji, dzięki czemu napastnik może uzyskać dostęp do usług chmurowych nawet wtedy, gdy ofiara poprawnie przejdzie proces 2FA.
W skrócie
Badacze opisują wyraźny wzrost aktywności Mirage2FA w latach 2024–2026. Kampania została powiązana z 4 532 unikalnymi domenami organizacyjnymi, a niemal połowa analizowanych adresów docelowych została uznana za potencjalnie skompromitowaną.
- Najwięcej ofiar odnotowano w Stanach Zjednoczonych.
- Wśród najczęściej atakowanych branż znalazły się technologia, produkcja i edukacja.
- Głównym celem nie jest samo hasło, lecz przejęcie uwierzytelnionej sesji.
- Ataki mogą otwierać drogę do usług objętych SSO i powiązanych aplikacji biznesowych.
Kontekst / historia
Phishing wymierzony w użytkowników Microsoft 365 ewoluował w ostatnich latach od prostych stron imitujących logowanie do rozbudowanych platform pośredniczących w całym procesie uwierzytelniania. Mirage2FA wpisuje się w ten trend jako narzędzie usługowe, które obniża próg wejścia dla cyberprzestępców i pozwala szybciej skalować kampanie.
Model usługowy oznacza, że operatorzy nie muszą samodzielnie budować kompletnej infrastruktury. Otrzymują gotowe mechanizmy służące do prowadzenia ataków na środowiska chmurowe, szczególnie tam, gdzie organizacje korzystają z Microsoft 365, jednokrotnego logowania oraz klasycznych metod MFA opartych na kodach jednorazowych.
Skutkiem jest większa liczba kampanii, szersza baza potencjalnych sprawców i bardziej zróżnicowane przynęty socjotechniczne. To sprawia, że obrona przed tego typu phishingiem wymaga nie tylko filtrowania wiadomości, ale także ochrony samej warstwy tożsamości i sesji.
Analiza techniczna
Mechanizm działania Mirage2FA opiera się na pośredniczeniu między ofiarą a prawdziwym procesem logowania Microsoft 365. Użytkownik trafia na fałszywą stronę, która wizualnie przypomina legalny formularz logowania. Poświadczenia wpisane przez ofiarę są przekazywane w czasie rzeczywistym do właściwej usługi, a cały proces autoryzacji przebiega pozornie normalnie.
Najważniejszym elementem ataku jest przechwycenie sesji po poprawnym ukończeniu logowania i zatwierdzeniu MFA. Napastnicy nie muszą ponownie żądać kodu 2FA, ponieważ uzyskują artefakt uwierzytelnienia, taki jak plik cookie sesyjny, który pozwala im przejąć już autoryzowaną sesję użytkownika.
W praktyce oznacza to, że klasyczna MFA formalnie działa poprawnie, ale nie zatrzymuje kompromitacji konta. Atakujący wykorzystują fakt, że system uznaje sesję za zaufaną, a niektóre aplikacje i usługi związane z SSO akceptują taki stan bez ponownego wywołania dodatkowej weryfikacji.
Dodatkowo duża część aktywności odbywa się na poziomie przeglądarki, z użyciem skryptów, przekierowań, kodu HTML oraz komunikacji sieciowej służącej do pośredniczenia w sesji. Brak klasycznego malware’u instalowanego lokalnie utrudnia wykrycie ataku przez rozwiązania oparte głównie na sygnaturach plików lub analizie samego endpointu.
Szczególnie groźne staje się to w organizacjach, które używają konta Microsoft 365 jako centralnej tożsamości dla wielu aplikacji biznesowych. Jedno przejęcie sesji może otworzyć dostęp do poczty, dokumentów, komunikatorów, systemów HR, CRM, a nawet paneli administracyjnych.
Konsekwencje / ryzyko
Z perspektywy organizacji Mirage2FA zwiększa ryzyko przejęcia kont bez łamania haseł i bez trwałej obecności złośliwego oprogramowania na urządzeniu ofiary. Udany atak może prowadzić do kradzieży korespondencji, oszustw finansowych, podszywania się pod pracowników oraz rozsyłania kolejnych wiadomości phishingowych z legalnej skrzynki.
Poważnym problemem jest także możliwość ruchu bocznego wewnątrz środowiska. Jeśli przejęta sesja daje dostęp do usług federacyjnych lub aplikacji zintegrowanych przez SSO, napastnik może rozszerzać zasięg ataku bez wzbudzania natychmiastowych podejrzeń.
W tego typu incydentach sam reset hasła może okazać się niewystarczający. Jeżeli atakujący posiada ważny token, aktywną sesję lub inne artefakty tożsamości, może utrzymać dostęp do zasobów do czasu ich unieważnienia. Dlatego takie zdarzenia należy traktować jako naruszenie warstwy identity, a nie jedynie kompromitację poświadczeń.
Skala kampanii dodatkowo podnosi poziom ryzyka. Ataki skierowane do tysięcy organizacji zwiększają prawdopodobieństwo wtórnych nadużyć, takich jak BEC, przejęcie relacji biznesowych czy wykorzystywanie zaufanych kont do omijania filtrów bezpieczeństwa.
Rekomendacje
Najważniejszym krokiem obronnym jest ograniczanie zależności od metod MFA podatnych na phishing. Organizacje powinny przechodzić na rozwiązania phishing-resistant, takie jak klucze sprzętowe i mechanizmy uwierzytelniania odporne na pośrednictwo.
Równie istotne jest rozwinięcie monitoringu logowań i sesji. W praktyce oznacza to analizę zachowań użytkowników, wykrywanie anomalii związanych z adresem IP, geolokalizacją, urządzeniem końcowym oraz nietypowym wykorzystaniem tokenów i dostępu do usług SSO.
- natychmiastowe unieważnianie aktywnych sesji,
- reset haseł oraz cofanie tokenów dostępu i odświeżania,
- przegląd logów uwierzytelniania i aktywności pocztowej,
- weryfikację reguł skrzynki pocztowej oraz delegacji uprawnień,
- sprawdzenie dostępu do aplikacji zintegrowanych przez SSO,
- szkolenie użytkowników w zakresie technik AiTM i rozpoznawania fałszywych stron logowania.
Z perspektywy architektury bezpieczeństwa warto także stosować krótszy czas życia sesji, polityki warunkowego dostępu, dodatkową ochronę aplikacji krytycznych oraz segmentację dostępu opartą na ryzyku tożsamości.
Podsumowanie
Mirage2FA pokazuje, że nowoczesny phishing coraz częściej skupia się na przejmowaniu sesji, a nie tylko na wyłudzaniu haseł. To fundamentalna zmiana, ponieważ klasyczne MFA może zostać poprawnie wykonane, a mimo to konto użytkownika nadal może zostać przejęte.
Dla zespołów bezpieczeństwa oznacza to konieczność traktowania sesji, tokenów i tożsamości jako kluczowego obszaru obrony. Najskuteczniejszą odpowiedzią na kampanie AiTM jest połączenie phishing-resistant MFA, monitoringu behawioralnego oraz procedur reagowania skoncentrowanych na warstwie identity.