Wprowadzenie do problemu / definicja
Ataki typu adversary-in-the-middle (AitM) to rozwinięcie klasycznego phishingu, w którym celem nie jest wyłącznie pozyskanie loginu i hasła, ale również przejęcie aktywnej, uwierzytelnionej sesji użytkownika. W praktyce oznacza to możliwość zdobycia kodów MFA, tokenów dostępowych i innych artefaktów sesyjnych, które pozwalają ominąć część zabezpieczeń stosowanych w usługach chmurowych, takich jak Microsoft 365.
Opisana kampania pokazuje, że współczesne operacje phishingowe coraz częściej koncentrują się na długotrwałym, cichym dostępie do skrzynek pocztowych i danych biznesowych, a nie na natychmiastowej destrukcji środowiska ofiary.
W skrócie
- Badacze bezpieczeństwa opisali szeroko zakrojoną kampanię phishingową wymierzoną w użytkowników Microsoft 365.
- Atak wykorzystuje infrastrukturę AitM do przechwytywania poświadczeń, kodów MFA oraz tokenów sesyjnych.
- Po uzyskaniu dostępu napastnicy koncentrują się na pracownikach działów HR, płac, finansów i administracji.
- Celem jest pozyskanie wiadomości dotyczących wynagrodzeń, faktur, płatności i danych bankowych.
- Operatorzy kampanii stosują proxy rezydencyjne oraz automatyczne podtrzymywanie przejętych sesji.
Kontekst / historia
Aktywność ta wpisuje się w szerszy trend operacji ukierunkowanych na business email compromise oraz oszustwa związane z payroll. W tego typu incydentach przestępcy nie zawsze podejmują od razu widoczne działania. Zamiast tego skupiają się na przejęciu komunikacji biznesowej, analizie procesów finansowych i przygotowaniu gruntu pod późniejsze nadużycia.
Z dostępnych opisów wynika, że kampania objęła organizacje z wielu sektorów, w tym ochrony zdrowia, edukacji, przemysłu, administracji i usług profesjonalnych. Zasięg geograficzny obejmował podmioty z Ameryki Północnej i Europy, co sugeruje dobrze przygotowaną i dojrzałą operację z zapleczem technicznym umożliwiającym prowadzenie działań na dużą skalę.
Analiza techniczna
Łańcuch ataku rozpoczyna się od wiadomości phishingowej, często upozorowanej na powiadomienie o poczcie głosowej. Po kliknięciu ofiara przechodzi przez kilka etapów przekierowań, które mają zwiększyć wiarygodność odsyłacza i ograniczyć skuteczność filtrów bezpieczeństwa opartych na reputacji domen lub adresów URL.
Końcowym elementem jest strona AitM działająca jako pośrednik pomiędzy użytkownikiem a legalnym procesem logowania Microsoft. Ofiara widzi ekran przypominający prawdziwe okno uwierzytelnienia, natomiast napastnicy przechwytują wpisywane dane logowania, kody MFA oraz tokeny sesyjne. Dzięki temu mogą uzyskać dostęp do konta bez konieczności natychmiastowej zmiany hasła czy metod uwierzytelniania.
W kampanii zaobserwowano również zastosowanie skryptów JavaScript służących do fingerprintingu przeglądarki i hosta. Zbierane informacje mogą obejmować system operacyjny, typ przeglądarki, rozdzielczość ekranu, język, strefę czasową, obsługę cookies, status WebDriver, parametry WebGL oraz dostępność wybranych funkcji przeglądarkowych. Takie dane pomagają w profilowaniu ofiary, selekcji celów i optymalizacji dalszych etapów operacji.
Istotnym aspektem kampanii jest geolokalizacja żądania i wykorzystanie proxy rezydencyjnych dopasowanych do kraju ofiary. Taka technika utrudnia wykrycie incydentu przez systemy bazujące na analizie nietypowych lokalizacji logowania. Badacze zwrócili też uwagę na zautomatyzowane odświeżanie przejętych sesji w regularnych odstępach czasu, mniej więcej co osiem godzin, przy jednoczesnej zmianie adresów IP oraz numerów ASN.
Po uzyskaniu dostępu operatorzy kampanii wykorzystują interfejsy API do identyfikowania użytkowników związanych z działami płac, kadr, finansów i administracji. Następnie przeszukują skrzynki pod kątem wiadomości dotyczących wynagrodzeń, faktur, płatności, świadczeń oraz dokumentów wewnętrznych. Charakterystyczne jest to, że działania po kompromitacji bywają ograniczone do rekonesansu, utrzymania sesji i zbierania danych, bez głośnych zmian mogących szybko zdradzić obecność napastnika.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem takiego incydentu jest przejęcie zaufanej komunikacji biznesowej związanej z finansami i procesami kadrowymi. Już sama możliwość podglądu korespondencji może posłużyć do przygotowania oszustwa polegającego na zmianie numeru rachunku bankowego, przekierowaniu wypłaty wynagrodzenia, podstawieniu fałszywej faktury lub podszyciu się pod pracownika działu finansowego.
Kampania jest szczególnie groźna, ponieważ podważa skuteczność tradycyjnego MFA opartego na kodach jednorazowych, jeżeli użytkownik zostanie nakłoniony do logowania przez infrastrukturę pośredniczącą. Dodatkowo użycie lokalnie dopasowanych proxy rezydencyjnych może sprawić, że logowanie nie będzie wyglądało podejrzanie w prostych systemach detekcyjnych. Cichy charakter działań po kompromitacji utrudnia też szybkie wykrycie naruszenia.
Do sygnałów ostrzegawczych można zaliczyć niespójności między deklarowaną przeglądarką a systemem operacyjnym, nietypowe identyfikatory klientów, utrzymywanie tej samej sesji przy zmieniających się adresach IP oraz nietypowy dostęp do skrzynek działów HR i finansów. Organizacje, które nie analizują takich anomalii, mogą przez długi czas pozostawać nieświadome kompromitacji.
Rekomendacje
Podstawą ograniczania ryzyka powinno być wdrażanie metod uwierzytelniania odpornych na phishing, takich jak FIDO2 lub passkeys, wszędzie tam, gdzie jest to możliwe. Klasyczne MFA nadal zwiększa bezpieczeństwo, ale nie eliminuje ryzyka przejęcia sesji w scenariuszu AitM.
- Monitorować logowania do Microsoft 365 realizowane z użyciem proxy rezydencyjnych.
- Analizować sesje utrzymywane cyklicznie przez dłuższy czas.
- Weryfikować rozbieżności między user-agentem a typowym klientem aplikacyjnym.
- Obserwować nietypowy dostęp do skrzynek działów HR, payroll i finance.
- Śledzić wzmożone użycie API do enumeracji użytkowników i odczytu wiadomości.
Z perspektywy organizacyjnej warto również zastosować polityki Conditional Access oparte na ryzyku i stanie urządzenia, ograniczyć dostęp do danych finansowych zgodnie z zasadą najmniejszych uprawnień, regularnie audytować aktywne sesje i tokeny oraz wdrożyć alerty dotyczące tworzenia reguł skrzynki, ukrywania wiadomości i nietypowych przepływów pocztowych.
W przypadku podejrzenia kompromitacji należy niezwłocznie unieważnić aktywne sesje, zresetować poświadczenia, zweryfikować metody MFA oraz przeanalizować logi tożsamości i aktywność w skrzynce. Szczególną uwagę trzeba poświęcić temu, czy nie doszło do nieautoryzowanego dostępu do korespondencji finansowej i kadrowej.
Podsumowanie
Opisana kampania potwierdza, że phishing coraz częściej zmierza w kierunku przejmowania sesji, a nie jedynie danych logowania. Połączenie technik AitM, fingerprintingu, proxy rezydencyjnych i automatyzacji utrzymania dostępu pozwala napastnikom prowadzić dyskretne i trudniejsze do wykrycia operacje przeciwko środowiskom Microsoft 365.
Najbardziej narażone pozostają działy odpowiedzialne za płace, kadry i finanse, ponieważ to ich komunikacja może zostać wykorzystana do precyzyjnych oszustw biznesowych. Skuteczna obrona wymaga połączenia odpornych na phishing metod MFA, monitoringu anomalii logowania, kontroli sesji oraz ścisłej ochrony procesów finansowych.
Źródła
- Microsoft 365 AitM Phishing Hijacks Accounts to Collect Payroll and Finance Emails — https://thehackernews.com/2026/08/microsoft-365-aitm-phishing-hijacks.html
- Arctic Wolf Labs — https://arcticwolf.com/