Phishing w Microsoft 365: atakujący nadużywają Direct Send i celują w godziny pracy w USA

Wprowadzenie do problemu / definicja

Microsoft 365 pozostaje jednym z najczęściej atakowanych ekosystemów poczty i tożsamości w środowiskach firmowych. Najnowsza opisana kampania phishingowa pokazuje, że cyberprzestępcy coraz skuteczniej wykorzystują legalne mechanizmy platformy, aby zwiększyć wiarygodność wiadomości i ograniczyć skuteczność tradycyjnych zabezpieczeń.

W centrum analizowanego scenariusza znalazła się funkcja Direct Send, przeznaczona do wysyłania poczty z urządzeń i starszych aplikacji bez użycia standardowego konta użytkownika. W praktyce jej nadużycie może umożliwić dostarczanie wiadomości wyglądających na wewnętrzną korespondencję organizacji.

W skrócie

Badacze zaobserwowali kampanię phishingową wymierzoną w środowiska Microsoft 365, w której wykorzystano Direct Send do rozsyłania wiadomości podszywających się pod zaufane adresy firmowe. Aktywność atakujących była wyraźnie skorelowana z godzinami pracy wschodniego wybrzeża USA, a największa intensywność wysyłki przypadała na dni robocze oraz godziny przedpołudniowe i wczesnopopołudniowe.

W części wiadomości stosowano złośliwe załączniki lub odrębne adresy odpowiedzi, co wskazuje na próbę przechwytywania dalszej komunikacji użytkowników. Kampania pokazuje, że nowoczesny phishing coraz częściej opiera się nie na przejęciu konta, lecz na nadużyciu dozwolonych ścieżek dostarczania poczty.

Kontekst / historia

Direct Send zaprojektowano z myślą o urządzeniach takich jak drukarki, skanery, systemy MFP oraz starsze aplikacje biznesowe, które muszą wysyłać wiadomości bez interaktywnego logowania. Z perspektywy administracyjnej to wygodne rozwiązanie, ale przy zbyt szerokiej konfiguracji staje się dodatkową powierzchnią ataku.

W ostatnich latach kampanie wymierzone w Microsoft 365 wyraźnie ewoluowały. Obok klasycznych wiadomości z linkami pojawiły się operacje wykorzystujące techniki adversary-in-the-middle, obchodzenie MFA, przechwytywanie sesji oraz automatyzację działań po uzyskaniu dostępu. Obecna kampania wpisuje się w ten trend, lecz wyróżnia się wykorzystaniem natywnej funkcji pocztowej i precyzyjnym dopasowaniem harmonogramu działań do rytmu pracy ofiar.

Analiza techniczna

Kluczowym elementem kampanii było nadużycie mechanizmu Direct Send w Microsoft 365. Funkcja ta pozwala na wysłanie poczty bez klasycznej autoryzacji użytkownika, kierując wiadomość bezpośrednio do infrastruktury obsługi poczty przychodzącej organizacji. Jeśli konfiguracja odbiorcy jest zbyt liberalna, atakujący może wykorzystać tę ścieżkę do dostarczenia wiadomości z pominięciem części standardowych kontroli.

W analizowanych przypadkach wiadomości były stylizowane na komunikaty od działów HR, księgowości lub administracji. Tematy obejmowały rzekome dokumenty do akceptacji, powiadomienia o poczcie głosowej, fałszywe faktury, prośby o zatwierdzenie płatności oraz udostępnienia plików. To role i procesy szczególnie podatne na presję czasu i zaufanie do komunikacji wewnętrznej.

Istotne znaczenie ma również konfiguracja mechanizmów uwierzytelniania domeny. Jeśli organizacja utrzymuje DMARC jedynie w trybie monitorowania, system może rejestrować niezgodności, ale nie musi odrzucać podejrzanych wiadomości. W takiej sytuacji spoofing lub częściowo niezweryfikowana poczta nadal może trafić do skrzynek użytkowników.

Dodatkowym sygnałem ostrzegawczym jest rozbieżność między adresem nadawcy a adresem odpowiedzi. Taka technika umożliwia przekierowanie dalszej korespondencji poza domenę organizacji i jest typowa dla scenariuszy BEC oraz oszustw płatniczych. Z perspektywy analizy incydentu ważne są także nietypowe nagłówki transportowe wskazujące na anonimową ścieżkę dostarczenia.

Na poziomie operacyjnym uwagę zwraca harmonogram kampanii. Widoczne były piki aktywności w dni robocze, niemal zerowy ruch w weekendy oraz najwyższa intensywność około południa i we wczesnych godzinach popołudniowych według czasu wschodniego USA. Taki wzorzec sugeruje świadome planowanie pod kątem maksymalizacji skuteczności socjotechnicznej.

Konsekwencje / ryzyko

Ryzyko związane z taką kampanią jest wysokie, ponieważ atak nie musi zaczynać się od przejęcia legalnego konta. Oznacza to, że klasyczne alerty o nietypowym logowaniu mogą nie pojawić się na początkowym etapie incydentu. Jednocześnie wiadomość wyglądająca na wysłaną z adresu wewnętrznego ma znacznie większą wiarygodność niż standardowy phishing z domeny zewnętrznej.

Skutki mogą obejmować kradzież danych, oszustwa finansowe, obejście procedur akceptacyjnych, przejęcie korespondencji HR i finansów oraz incydenty typu business email compromise. Jeśli kampania zostanie połączona z dalszym przejęciem sesji Microsoft 365, atakujący może uzyskać długotrwały dostęp do skrzynek, analizować wątki biznesowe, manipulować regułami poczty i przygotowywać kolejne, bardziej ukierunkowane ataki.

Szczególnie narażone są działy finansowe, kadrowe, administracyjne oraz menedżerowie średniego szczebla. Wysokie ryzyko dotyczy również organizacji utrzymujących historyczne wyjątki konfiguracyjne dla urządzeń lub aplikacji pocztowych bez bieżącego monitoringu ich wykorzystania.

Rekomendacje

Organizacje korzystające z Microsoft 365 powinny w pierwszej kolejności zweryfikować, czy Direct Send jest nadal potrzebny biznesowo. Jeśli nie ma takiej konieczności, kanał ten należy wyłączyć. Gdy funkcja musi pozostać aktywna, warto ograniczyć jej użycie do ściśle zdefiniowanych adresów IP oraz zatwierdzonych konektorów Exchange Online.

Drugim priorytetem powinno być zaostrzenie polityk SPF, DKIM i DMARC. Sam tryb monitorowania nie daje wystarczającej ochrony przed spoofingiem i nadużyciem alternatywnych ścieżek dostarczania wiadomości. Docelowo organizacje powinny dążyć do pełnej walidacji oraz polityki odrzucania dla nieautoryzowanej poczty.

przeprowadzić przegląd konektorów pocztowych i wyjątków transportowych,
monitorować próby spoofingu domeny organizacji,
wdrożyć ostrzeżenia dla wiadomości podszywających się pod nadawców wewnętrznych,
wykrywać rozbieżności między polami From i Reply-To,
analizować anomalie wolumetryczne w godzinach roboczych,
segmentować uprawnienia w obszarach finansów i HR,
prowadzić szkolenia użytkowników z rozpoznawania fałszywych komunikatów wewnętrznych,
regularnie testować scenariusze phishingowe odzwierciedlające realne procesy biznesowe,
korelować logi pocztowe z telemetrią tożsamościową i aktywnością skrzynek.

Warto także przygotować playbook reagowania na incydenty związane z Microsoft 365, obejmujący szybkie wyszukiwanie wiadomości po nagłówkach, analizę ścieżki transportowej, blokowanie podobnych kampanii oraz weryfikację, czy incydent nie przeszedł już do etapu przejęcia sesji lub eksfiltracji danych.

Podsumowanie

Opisywana kampania potwierdza, że współczesny phishing coraz częściej bazuje na legalnych funkcjach platform chmurowych, a nie wyłącznie na złośliwych domenach i prostych fałszywych wiadomościach. Nadużycie Microsoft 365 Direct Send pokazuje, że nawet poprawnie działające mechanizmy administracyjne mogą stać się skutecznym wektorem ataku, jeśli nie są odpowiednio ograniczone i monitorowane.

Dla zespołów bezpieczeństwa najważniejsze pozostają trzy obszary: redukcja zbędnych ścieżek wysyłki poczty, egzekwowanie twardych polityk uwierzytelniania domen oraz wzmacnianie detekcji anomalii w warstwie transportowej. W środowiskach M365 odporność na phishing zależy dziś nie tylko od filtrów treści, ale również od jakości konfiguracji i widoczności telemetrycznej całego przepływu poczty.