Ataki token replay na Microsoft 365: przejęto 97 kont w 79 organizacjach

Wprowadzenie do problemu / definicja

Ataki typu token replay przeciwko Microsoft 365 pokazują, że samo wdrożenie uwierzytelniania wieloskładnikowego nie gwarantuje pełnej ochrony kont firmowych. W tym modelu napastnik nie musi ponownie omijać MFA ani odgadywać hasła użytkownika. Zamiast tego przechwytuje ważny token sesyjny lub logowania, a następnie odtwarza go ze swojej infrastruktury, uzyskując dostęp do usług chmurowych ofiary.

To szczególnie niebezpieczna technika, ponieważ wykorzystuje legalny artefakt uwierzytelnienia. W efekcie aktywność przestępcy może przez pewien czas wyglądać jak prawidłowe działanie autoryzowanego użytkownika.

W skrócie

Badacze ujawnili kampanię wymierzoną w środowiska Microsoft 365, obserwowaną między 14 lipca a 22 września 2026 roku. W tym czasie odnotowano 497 udanych zdarzeń logowania spośród ponad 200 tysięcy prób, co przełożyło się na kompromitację 97 kont w 79 organizacjach.

Atak opierał się na modelu adversary-in-the-middle, w którym fałszywa warstwa pośrednicząca przechwytuje dane logowania, kody MFA oraz tokeny wydawane po skutecznym uwierzytelnieniu. Następnie napastnicy masowo odtwarzali te tokeny, rejestrowali fałszywe urządzenia Entra i modyfikowali metody MFA oraz reguły pocztowe, aby utrzymać dostęp i ukryć swoją aktywność.

497 skutecznych logowań
Ponad 200 tysięcy prób
97 przejętych kont
79 poszkodowanych organizacji

Kontekst / historia

Opisana kampania wpisuje się w szerszy trend odejścia od klasycznych ataków na hasła na rzecz operacji wymierzonych w warstwę sesyjną i tożsamościową. Cyberprzestępcy coraz częściej koncentrują się na przejmowaniu aktywnych sesji, phishingu typu adversary-in-the-middle, nadużywaniu legalnych przepływów logowania oraz manipulowaniu procesem uwierzytelnienia po stronie użytkownika.

W środowiskach Microsoft 365 stawka jest szczególnie wysoka, ponieważ poczta elektroniczna, tożsamość Entra, rejestracja urządzeń i aplikacje SaaS funkcjonują w jednym ekosystemie. Przejęcie pojedynczej sesji może więc szybko doprowadzić do trwałego utrzymania dostępu, wycieku danych, oszustw BEC oraz dalszego wykorzystania skompromitowanego konta do działań spamowych lub socjotechnicznych.

Analiza techniczna

Mechanizm ataku rozpoczynał się od wykorzystania infrastruktury AitM, czyli pośrednika umieszczonego pomiędzy użytkownikiem a prawdziwą stroną logowania. Ofiara widziała proces przypominający standardowe logowanie do Microsoft 365, podawała swoje poświadczenia i realizowała drugi składnik uwierzytelnienia. Po poprawnym zakończeniu procesu platforma wystawiała token potwierdzający tożsamość i stan sesji.

To właśnie token był głównym celem operacji. Napastnik przejmował go i w krótkim czasie odtwarzał ze swojej infrastruktury, dzięki czemu nie musiał już ponownie przechodzić procesu MFA. Badacze opisali tę technikę jako token spraying, czyli masowe wykorzystywanie przechwyconych tokenów w wielu organizacjach, analogicznie do password sprayingu, lecz na poziomie sesji zamiast haseł.

Po uzyskaniu dostępu operatorzy skupiali się na utrwaleniu obecności. Jednym z kluczowych działań było dodawanie własnej aplikacji uwierzytelniającej jako nowej metody MFA. W części przypadków istniejące metody MFA użytkownika były usuwane, a nowe rejestrowane już w ciągu kilku godzin od pierwszego skutecznego logowania.

Drugim istotnym elementem było rejestrowanie fałszywych urządzeń w katalogu Entra. Taki obiekt urządzenia może stać się dodatkowym punktem oparcia dla polityk zaufania, dostępu warunkowego oraz pozyskiwania kolejnych tokenów. W analizowanej kampanii zarejestrowano dziesiątki takich urządzeń, co wskazuje na próbę przejścia od jednorazowego porwania sesji do bardziej trwałej obecności w tenantach ofiar.

Napastnicy modyfikowali również reguły skrzynkowe. Tworzone były ukryte lub mało widoczne reguły o krótkich, pozornie losowych nazwach, które usuwały wiadomości przychodzące zawierające słowa kluczowe związane z wynagrodzeniami, premiami lub płatnościami, bądź przenosiły je do mniej oczywistych folderów. To klasyczny wzorzec stosowany w atakach BEC, którego celem jest ukrycie ostrzeżeń, odpowiedzi kontrahentów i komunikacji wewnętrznej.

Konsekwencje / ryzyko

Najważniejsze ryzyko polega na tym, że atak token replay może skutecznie osłabić praktyczną wartość MFA, jeśli organizacja nie wdroży dodatkowych kontroli kontekstowych. Dla zespołów bezpieczeństwa oznacza to, że sukces uwierzytelnienia nie może być traktowany jako stan w pełni zaufany, a token sesyjny staje się zasobem krytycznym porównywalnym z hasłem lub kluczem prywatnym.

Skutki biznesowe obejmują przejęcie skrzynek pocztowych, wyciek danych, podszywanie się pod pracowników, manipulację korespondencją finansową, uruchamianie kampanii spamowych oraz utratę integralności procesu uwierzytelniania. Szczególnie niebezpieczne jest połączenie kilku działań po kompromitacji:

dodania nowej metody MFA,
rejestracji nieautoryzowanego urządzenia,
stworzenia ukrytych reguł pocztowych,
utrzymywania dostępu mimo wygaśnięcia pierwotnego tokenu.

Taki zestaw oznacza, że incydent przestaje być pojedynczym przejęciem sesji, a staje się pełnoprawnym naruszeniem tożsamości i dostępu.

Rekomendacje

Organizacje korzystające z Microsoft 365 powinny założyć, że MFA bez dodatkowych zabezpieczeń nie chroni w pełni przed przejęciem sesji. Potrzebne jest podejście wielowarstwowe, obejmujące zarówno polityki dostępu, jak i stały monitoring zmian w środowisku tożsamościowym.

Wdrożyć polityki Conditional Access oparte na zasadzie Zero Trust, z uwzględnieniem użytkownika, aplikacji, lokalizacji, poziomu ryzyka i stanu urządzenia.
Regularnie przeglądać dostępne metody uwierzytelniania i alarmować o każdej nieoczekiwanej rejestracji nowej aplikacji uwierzytelniającej, zmianie numeru telefonu lub usunięciu istniejącej metody MFA.
Monitorować rejestrację nowych urządzeń w Entra i traktować nieuzasadnione wpisy jako potencjalny wskaźnik kompromitacji.
Automatycznie wykrywać podejrzane reguły skrzynkowe, zwłaszcza te usuwające wiadomości, oznaczające je jako przeczytane lub ukrywające korespondencję finansową.
W przypadku incydentu unieważnić aktywne sesje, wymusić reset hasła, usunąć obce metody MFA, przeanalizować nowe urządzenia i sprawdzić reguły pocztowe oraz zgody aplikacyjne.
Ograniczać ryzykowne ścieżki logowania oraz prowadzić szkolenia użytkowników z rozpoznawania stron pośredniczących AitM.

Podsumowanie

Kampania wymierzona w Microsoft 365 potwierdza, że ataki na tokeny sesyjne stały się dojrzałym i skalowalnym modelem przejmowania kont. Przestępcy nie muszą już łamać haseł ani bezpośrednio obchodzić MFA, jeśli są w stanie przechwycić i odtworzyć poprawny token po legalnym logowaniu ofiary.

Dodatkowe działania po uzyskaniu dostępu, takie jak rejestracja nowych metod MFA, dodanie fałszywych urządzeń i ukryte reguły pocztowe, znacząco zwiększają trwałość kompromitacji. Dla organizacji najważniejszy wniosek jest prosty: ochrona tożsamości w chmurze musi obejmować nie tylko samo uwierzytelnienie, ale też sesję, kontekst urządzenia, polityki dostępu warunkowego oraz aktywne monitorowanie zmian konfiguracyjnych.