Ataki na Microsoft 365: fałszywy help desk i kradzież tokenów sesyjnych omijają klasyczne MFA

Wprowadzenie do problemu / definicja

Nowa fala ataków wymierzonych w środowiska Microsoft 365 pokazuje, że cyberprzestępcy coraz częściej odchodzą od prostego phishingu na rzecz bardziej złożonych operacji socjotechnicznych. W opisywanym scenariuszu napastnicy podszywają się pod wewnętrzny dział IT lub help desk, kontaktują się telefonicznie z pracownikami, a następnie kierują ich na fałszywe strony logowania.

Kluczowym celem nie jest już wyłącznie zdobycie hasła, lecz przejęcie pełnej uwierzytelnionej sesji użytkownika. Dzięki temu atakujący mogą ominąć część mechanizmów ochronnych i uzyskać dostęp do danych przechowywanych w usługach SaaS, takich jak Exchange, SharePoint czy OneDrive.

W skrócie

Atak rozpoczyna się od vishingu, czyli rozmowy telefonicznej prowadzonej przez osobę podszywającą się pod wsparcie IT.
Ofiara trafia na spreparowaną stronę logowania działającą w modelu adversary-in-the-middle.
Napastnicy przechwytują dane logowania, zatwierdzenia MFA oraz tokeny sesyjne.
Po uzyskaniu dostępu prowadzone jest rozpoznanie zasobów Microsoft 365 i masowa eksfiltracja danych.
Kampania koncentruje się zwłaszcza na kadrze kierowniczej i użytkownikach z szerokimi uprawnieniami.

Kontekst / historia

Badacze powiązali opisaną aktywność z klastrem zagrożeń śledzonym jako PREY-0058. Jednocześnie wskazano podobieństwa do wcześniejszych operacji przypisywanych innym podmiotom specjalizującym się w wyłudzaniu danych i wymuszeniach, w tym UNC6671 oraz grupom łączonym z nazwami Pink i Cinder.

Tego rodzaju zbieżności sugerują istnienie szerszego ekosystemu przestępczego, w którym różne zespoły korzystają z podobnej infrastruktury phishingowej, wspólnych technik operacyjnych lub modelu afiliacyjnego. Szczególnie istotne jest to, że celem kampanii są osoby na stanowiskach kierowniczych, które zwykle mają rozległy dostęp do dokumentów, skrzynek pocztowych i danych strategicznych.

Analiza techniczna

Łańcuch ataku zaczyna się od rozmowy telefonicznej, podczas której napastnik buduje wiarygodność jako pracownik działu IT. Ofiara otrzymuje instrukcję wejścia na adres internetowy przypominający firmowy portal logowania, konfiguracji MFA, SSO lub wdrożenia passkey.

Po otwarciu takiej witryny użytkownik trafia do infrastruktury typu adversary-in-the-middle. Oznacza to, że kontrolowany przez atakującego serwer pośredniczy pomiędzy ofiarą a prawdziwą usługą logowania Microsoft 365. Dzięki temu możliwe staje się przechwycenie nie tylko loginu i hasła, ale również zatwierdzenia uwierzytelniania wieloskładnikowego oraz aktywnych tokenów sesyjnych.

To właśnie przejęcie tokenów stanowi najgroźniejszy element kampanii. Zamiast ponownie logować się na konto, przestępcy mogą odtworzyć aktywną sesję użytkownika i działać w ramach już uwierzytelnionego kontekstu. Taki model pozwala ograniczyć liczbę sygnałów ostrzegawczych, które zwykle towarzyszą klasycznemu przejęciu konta.

W dalszym etapie napastnicy korzystają z infrastruktury proxy, w tym z adresów rezydencyjnych, aby ich aktywność wyglądała bardziej wiarygodnie. Ruch bywa również dopasowywany geograficznie do lokalizacji ofiary, co utrudnia wykrycie anomalii opartych wyłącznie na adresie IP lub kraju pochodzenia logowania.

Po uzyskaniu dostępu prowadzona jest enumeracja konta, aplikacji i zasobów. Szczególne zainteresowanie budzą SharePoint, OneDrive, Exchange, a także komponenty związane z tożsamością i profilem użytkownika. Ostatni etap to zautomatyzowane pobieranie dużych wolumenów danych, które następnie mogą zostać wykorzystane do wymuszeń lub dalszych oszustw.

Warto podkreślić, że w tym scenariuszu nie jest konieczne instalowanie złośliwego oprogramowania na stacji roboczej ani klasyczny ruch lateralny w sieci. Cała operacja opiera się na przejętej tożsamości i nadużyciu legalnej sesji w aplikacjach chmurowych.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem takich incydentów jest utrata poufnych danych biznesowych bez potrzeby pełnego przejęcia infrastruktury endpointowej. Atakujący, działając jako legalny użytkownik, mogą uzyskać dostęp do dokumentów strategicznych, korespondencji kadry zarządzającej, danych finansowych, informacji o klientach oraz materiałów objętych tajemnicą handlową.

Ryzyko wzrasta dodatkowo ze względu na wymuszeniowy charakter kampanii. Po skopiowaniu danych przestępcy mogą grozić ich publikacją, sprzedażą lub wykorzystaniem w kolejnych atakach. Dla organizacji oznacza to możliwe konsekwencje prawne, regulacyjne, operacyjne i reputacyjne.

Szczególnie zagrożone są firmy działające w sektorach, gdzie wartość informacji jest bardzo wysoka, takich jak finanse, nieruchomości, usługi profesjonalne, ochrona zdrowia, farmacja oraz budownictwo i inżynieria. Ataki te podważają też skuteczność tradycyjnie rozumianego MFA, jeśli wdrożone metody nie są odporne na phishing i pośredniczące strony logowania.

Rekomendacje

Najważniejszym środkiem ochrony powinno być wdrożenie phishing-resistant MFA, zwłaszcza metod opartych na rozwiązaniach odpornych na przechwytywanie sesji przez pośredniczące strony logowania. Tam, gdzie to możliwe, warto ograniczać zatwierdzanie push na rzecz silniejszych metod związanych z urządzeniem lub kluczem kryptograficznym.

Drugim filarem obrony są polityki Conditional Access, które powinny uwzględniać zgodność urządzenia, poziom ryzyka logowania, kontekst sesji oraz nietypowe wzorce dostępu do danych. Istotne jest także ograniczanie możliwości użycia tokenów sesyjnych poza oczekiwanym profilem urządzenia i lokalizacji.

Organizacje powinny również zredukować nadmiarowe uprawnienia w SharePoint, OneDrive i Exchange. Zasada najmniejszych uprawnień oraz segmentacja dostępu do repozytoriów dokumentów mogą znacząco zmniejszyć skalę szkód po przejęciu pojedynczego konta.

Od strony detekcyjnej warto monitorować:

nietypowe logowania z adresów rezydencyjnych,
odtworzenie sesji z nowych kontekstów dostępowych,
gwałtowny wzrost operacji wyszukiwania i enumeracji w SharePoint,
masowe pobrania dokumentów i eksport skrzynek pocztowych,
dostęp do aplikacji tożsamościowych i profilu użytkownika krótko po logowaniu,
nowe domeny imitujące wdrożenie MFA, SSO lub passkey.

Nie mniej ważna jest edukacja pracowników i personelu help desku. Użytkownicy powinni wiedzieć, że dział IT nie powinien telefonicznie wymuszać natychmiastowego logowania przez niestandardowy adres. Dobrą praktyką jest formalizacja procedur weryfikacji takich zgłoszeń, na przykład przez oddzwonienie na znany numer wewnętrzny lub korzystanie wyłącznie z firmowego systemu zgłoszeń.

Podsumowanie

Ataki na Microsoft 365 z użyciem fałszywego help desku, vishingu i kradzieży tokenów sesyjnych są przykładem dojrzałych operacji skoncentrowanych na tożsamości, a nie na złośliwym oprogramowaniu. Ich skuteczność wynika z połączenia zaawansowanej socjotechniki, infrastruktury adversary-in-the-middle oraz umiejętnego ukrywania działań za legalną sesją użytkownika.

Dla zespołów bezpieczeństwa oznacza to konieczność przesunięcia nacisku z samej ochrony stacji końcowych na ochronę tożsamości, monitoring aktywności w usługach SaaS oraz ścisłą kontrolę dostępu do danych. W nowoczesnych środowiskach chmurowych przejęta sesja staje się jednym z najgroźniejszych wektorów kompromitacji.