Wprowadzenie do problemu / definicja
Ataki typu token-spraying oraz token replay pokazują, że samo wdrożenie uwierzytelniania wieloskładnikowego nie zapewnia pełnej ochrony tożsamości w środowiskach chmurowych. W opisywanej kampanii cyberprzestępcy nie musieli kraść haseł użytkowników. Zamiast tego koncentrowali się na przechwytywaniu prawidłowych tokenów sesyjnych Microsoft 365, które pozwalają korzystać z już uwierzytelnionej sesji bez ponownego logowania.
To istotna zmiana w krajobrazie zagrożeń. W praktyce oznacza bowiem, że nawet organizacje stosujące silne hasła i MFA mogą paść ofiarą przejęcia konta, jeśli atakujący uzyskają dostęp do aktywnej sesji po stronie użytkownika.
W skrócie
Badacze bezpieczeństwa opisali szeroko zakrojoną kampanię wymierzoną w środowiska Microsoft 365, obserwowaną od 14 lipca do 22 września 2026 roku. W ciągu około dziesięciu tygodni odnotowano ponad 200 tysięcy prób logowania oraz 497 skutecznych zdarzeń logowania w 79 organizacjach.
Mechanizm ataku opierał się na infrastrukturze phishingowej typu adversary-in-the-middle, która umożliwiała przechwycenie tokenów po legalnym logowaniu ofiary. Następnie napastnicy odtwarzali takie tokeny ze swoich systemów, uzyskując dostęp do skrzynek pocztowych i przygotowując grunt pod oszustwa typu business email compromise.
- Ponad 200 tysięcy prób logowania
- 497 skutecznych logowań
- 79 organizacji dotkniętych incydentami
- Brak konieczności kradzieży hasła przy skutecznym przejęciu sesji
Kontekst / historia
W ostatnich latach ataki na tożsamość chmurową wyraźnie ewoluowały. Klasyczne password spraying i phishing ukierunkowany na dane logowania coraz częściej ustępują technikom opartym na przejmowaniu sesji użytkownika. W modelu SaaS, a szczególnie w usługach opartych na Entra ID i Microsoft 365, wartość aktywnego tokena jest bardzo wysoka, ponieważ reprezentuje on już uwierzytelnioną tożsamość.
Opisana kampania wpisuje się właśnie w ten trend. Zamiast omijać MFA na etapie logowania, przestępcy czekali, aż użytkownik sam przejdzie pełny proces uwierzytelnienia. Dopiero potem przechwytywali artefakty sesyjne i wykorzystywali je do dalszego dostępu. Taki model ogranicza koszt operacji, zwiększa jej skuteczność i utrudnia wykrycie, ponieważ część aktywności wygląda jak legalne użycie zatwierdzonej wcześniej sesji.
Analiza techniczna
Technicznie kampania składała się z kilku etapów. Pierwszym było pozyskanie aktywnych sesji użytkowników za pomocą stron phishingowych i mechanizmów adversary-in-the-middle. W takim scenariuszu ofiara komunikuje się z pośrednikiem kontrolowanym przez napastnika, który przekazuje ruch do legalnej usługi logowania. Użytkownik widzi pozornie prawidłowy proces, podaje dane, zatwierdza MFA, a przestępcy przechwytują tokeny oraz powiązane dane sesyjne.
Kluczową rolę odgrywały tokeny dostępu. Ponieważ powstają one po poprawnym uwierzytelnieniu, ich późniejsze użycie może umożliwić wejście do usługi bez ponownego wpisywania hasła i bez ponownej weryfikacji wieloskładnikowej. Atakujący zautomatyzowali proces odtwarzania przejętych tokenów w usługach Microsoft 365, co określono jako token replay, natomiast masowy charakter prób nadał kampanii cechy token-spraying.
Po skutecznym dostępie do środowiska napastnicy przechodzili do utrwalania obecności. Obejmowało to modyfikowanie ustawień MFA ofiary, dodawanie własnych metod uwierzytelnienia, rejestrowanie nowych urządzeń w Entra oraz tworzenie ukrytych reguł pocztowych.
Szczególnie niebezpieczne są reguły skrzynki pocztowej, ponieważ pozwalają automatycznie ukrywać lub przekierowywać wiadomości od wybranych nadawców. To nie tylko utrudnia wykrycie incydentu, ale również wspiera dalsze oszustwa. W części przypadków przejęte skrzynki wykorzystywano do wysyłania wiadomości związanych z płatnościami i listą płac, co jest charakterystyczne dla przygotowania ataków BEC.
Konsekwencje / ryzyko
Ryzyko związane z przejęciem tokenów sesyjnych jest bardzo wysokie, ponieważ kompromitacja może nastąpić mimo stosowania silnych haseł i MFA. Jeśli napastnik zdobędzie aktywny token po zakończeniu procesu logowania, tradycyjne mechanizmy ochronne nie są już wystarczające.
Dla organizacji oznacza to możliwość cichego przejęcia skrzynek pocztowych, podszywania się pod pracowników, eskalacji oszustw finansowych, kradzieży danych biznesowych oraz budowania trwałej obecności w środowisku tożsamościowym. Dodatkowym problemem jest modyfikacja konfiguracji Entra i MFA, która może utrudnić odzyskanie kontroli nad kontem nawet po wykryciu incydentu.
Z perspektywy operacyjnej zagrożenie jest trudne do wykrycia. Ruch może wyglądać jak prawidłowe logowanie, a pierwsze minuty po przejęciu sesji bywają kluczowe. Jeśli zespół bezpieczeństwa nie monitoruje anomalii związanych z rejestracją urządzeń, zmianami metod MFA, nietypowymi regułami skrzynek czy podejrzanymi lokalizacjami logowania, incydent może pozostać niezauważony przez dłuższy czas.
Rekomendacje
Organizacje korzystające z Microsoft 365 powinny przyjąć, że nowoczesna ochrona tożsamości musi obejmować nie tylko hasła i MFA, ale również kontrolę sesji, urządzeń oraz konfiguracji dostępu warunkowego.
W pierwszej kolejności warto wdrożyć restrykcyjne polityki Conditional Access obejmujące wszystkich użytkowników, wszystkie aplikacje chmurowe i wszystkie typy klientów. Istotne jest również ograniczenie zaufania do nowych urządzeń oraz wymuszanie ponownego uwierzytelnienia w sytuacjach podwyższonego ryzyka.
Niezbędne jest także aktywne monitorowanie dzienników Entra ID i Microsoft 365 pod kątem następujących zdarzeń:
- nagłe zmiany metod MFA,
- rejestracja nowych urządzeń,
- nietypowe lokalizacje logowania,
- użycie podejrzanych adresów IP i infrastruktury hostingowej,
- tworzenie lub modyfikacja reguł skrzynki pocztowej,
- próby dostępu do poczty bez typowego kontekstu użytkownika.
W przypadku podejrzenia kompromitacji należy działać natychmiast:
- unieważnić aktywne sesje użytkownika,
- zresetować hasło,
- przeprowadzić przegląd metod MFA i usunąć nieautoryzowane wpisy,
- sprawdzić zarejestrowane urządzenia w Entra,
- przeanalizować reguły skrzynek pocztowych oraz delegacje,
- zweryfikować, czy z konta nie wysyłano wiadomości phishingowych lub BEC,
- rozszerzyć hunting na inne konta i tenanty, zwłaszcza w organizacjach wielooddziałowych i u dostawców MSP.
Nie mniej ważna jest warstwa edukacyjna. Szkolenia powinny obejmować nie tylko klasyczny phishing, ale także rozpoznawanie nietypowych przepływów logowania, stron pośredniczących, nieoczekiwanych próśb o zatwierdzenie MFA oraz ryzyka związanego z przejęciem sesji.
Podsumowanie
Nowa fala ataków wymierzonych w Microsoft 365 potwierdza, że współczesne operacje przeciwko tożsamości coraz częściej omijają klasyczne założenia ochrony kont. Zamiast kraść samo hasło, napastnicy przechwytują uwierzytelnioną sesję i wykorzystują ją do szybkiego wejścia do środowiska ofiary.
W praktyce oznacza to, że nawet poprawnie wdrożone MFA może nie wystarczyć, jeśli organizacja nie monitoruje tokenów, sesji, urządzeń oraz zmian konfiguracyjnych w usługach tożsamościowych. Dla zespołów bezpieczeństwa to wyraźny sygnał, że ochrona po uwierzytelnieniu staje się równie ważna jak samo logowanie.
Źródła
- Widespread Token-Spraying Attacks Target Microsoft 365 Accounts For Email Compromise
- M365 Token Spray and Replay Campaign Compromises Business Email Accounts
- Microsoft 365 accounts compromised at 79 organizations, no passwords needed
- The rise of token-theft attacks: No password or MFA needed
- What is Token Theft?