Tag: Phishing

Wprowadzenie do problemu / definicja

Microsoft opisał rozbudowaną kampanię phishingową ukierunkowaną na kradzież poświadczeń oraz tokenów uwierzytelniających. Operacja wykorzystywała wieloetapowy łańcuch ataku, spreparowane wiadomości e-mail stylizowane na komunikację wewnętrzną oraz techniki adversary-in-the-middle, które pozwalają przechwycić aktywną sesję użytkownika i ominąć tradycyjne mechanizmy MFA.

To kolejny przykład nowoczesnego phishingu, w którym atakujący nie ograniczają się do prostego wyłudzania loginu i hasła. Celem jest przejęcie pełnego dostępu do konta wraz z tokenem sesyjnym, co znacząco zwiększa skuteczność dalszych działań po stronie przestępców.

W skrócie

Kampania była obserwowana między 14 a 16 kwietnia 2026 r. i objęła ponad 35 tys. użytkowników z ponad 13 tys. organizacji w 26 krajach. Według Microsoftu aż 92% celów znajdowało się w Stanach Zjednoczonych, a wśród najczęściej atakowanych branż znalazły się ochrona zdrowia i life sciences, usługi finansowe, usługi profesjonalne oraz sektor technologii i oprogramowania.

• Atak bazował na wiadomościach e-mail z załącznikiem PDF.
• Przynęty odwoływały się do rzekomych naruszeń kodeksu postępowania.
• Ofiary były kierowane przez strony pośrednie, w tym ekrany CAPTCHA.
• Końcowym celem było przejęcie kont Microsoft oraz aktywnych tokenów sesyjnych.

Kontekst / historia

Phishing ukierunkowany na przejęcie tożsamości pozostaje jednym z najskuteczniejszych wektorów ataku. W tej kampanii przestępcy postawili na wiarygodność przekazu i presję psychologiczną zamiast masowego, prymitywnego spamu. Wiadomości były przygotowane w estetyce korporacyjnej, zawierały uporządkowane szablony HTML i nazwy nadawców sugerujące działy compliance lub komunikacji wewnętrznej.

Tematy wiadomości skupiały się wokół rzekomych postępowań dotyczących naruszeń zasad pracy lub polityk firmowych. Taka narracja miała wywołać stres i skłonić odbiorców do szybkiego kliknięcia bez dodatkowej weryfikacji. Dodatkowo wykorzystanie legalnych usług wysyłkowych zwiększało szanse na ominięcie filtrów reputacyjnych i dostarczenie wiadomości bezpośrednio do skrzynki odbiorczej.

Kampania wpisuje się w szerszy trend profesjonalizacji phishingu w 2026 roku. Rosnące znaczenie phishingu z użyciem kodów QR, ekranów CAPTCHA oraz usług phishing-as-a-service pokazuje, że cyberprzestępcy coraz częściej korzystają z gotowych, modułowych narzędzi upraszczających prowadzenie dużych operacji.

Analiza techniczna

Łańcuch ataku rozpoczynał się od wiadomości e-mail zawierającej załącznik PDF. Dokument miał rzekomo przedstawiać szczegóły sprawy związanej z kodeksem postępowania, ale w praktyce prowadził użytkownika do kliknięcia osadzonego odnośnika uruchamiającego dalsze etapy kampanii.

Następnie ofiara trafiała na kilka stron pośrednich, w tym ekrany z CAPTCHA. Taka warstwa pośrednia pełniła podwójną rolę: zwiększała pozory legalności oraz utrudniała analizę automatyczną przez narzędzia bezpieczeństwa i sandboxy. Dzięki temu atak stawał się trudniejszy do wykrycia na wczesnym etapie.

Końcowym elementem była fałszywa strona logowania działająca w modelu adversary-in-the-middle. W tym scenariuszu atakujący przechwytują nie tylko login i hasło, lecz także tokeny sesyjne generowane po poprawnym uwierzytelnieniu. To właśnie przejęcie sesji pozwala obejść MFA, ponieważ napastnik korzysta z już uwierzytelnionego dostępu zamiast próbować przełamywać drugi składnik logowania.

Microsoft wskazał również, że końcowa ścieżka mogła różnić się zależnie od tego, czy ofiara korzystała z urządzenia mobilnego, czy desktopowego. W analizie infrastruktury znaczną część obserwowanych punktów końcowych powiązano z ekosystemem Tycoon 2FA, a pozostałą aktywność także z Kratos oraz EvilTokens. To sugeruje współdzielenie narzędzi, technik dostarczania i elementów infrastruktury pomiędzy różnymi operatorami PhaaS.

Konsekwencje / ryzyko

Najpoważniejszym skutkiem udanego ataku jest przejęcie firmowego konta wraz z aktywną sesją użytkownika. Taki dostęp może zostać wykorzystany do kradzieży danych, wysyłania kolejnych wiadomości phishingowych z przejętej skrzynki, realizacji oszustw BEC, manipulowania procesami finansowymi oraz poruszania się bocznego w środowisku chmurowym.

Szczególnie groźne jest to, że samo wdrożenie MFA nie gwarantuje pełnej ochrony przed atakami AiTM. Jeśli użytkownik zaloguje się przez kontrolowany przez napastnika pośrednik, przestępca może przejąć token sesyjny bez potrzeby łamania drugiego składnika uwierzytelniania. W praktyce oznacza to, że organizacje muszą zacząć traktować ochronę sesji i odporność na phishing jako równie ważne jak same hasła.

Dla podmiotów z sektorów regulowanych, takich jak finanse czy ochrona zdrowia, skutki mogą obejmować naruszenie poufności danych, incydenty zgodności, przestoje operacyjne oraz wysokie koszty reakcji i odtworzenia środowiska. Wykorzystanie legalnych usług pocztowych dodatkowo utrudnia wykrycie zagrożenia na poziomie bramy e-mail.

Rekomendacje

Organizacje powinny wdrażać odporne na phishing mechanizmy uwierzytelniania, w szczególności passkeys oraz klucze sprzętowe zgodne z FIDO2 tam, gdzie jest to możliwe. Takie rozwiązania znacząco ograniczają skuteczność klasycznych scenariuszy adversary-in-the-middle.

• Monitorować nietypowe lokalizacje logowania i adresy IP.
• Wykrywać nagłe zmiany urządzenia, przeglądarki lub wzorca sesji.
• Analizować równoległe sesje z różnych regionów.
• Rozszerzyć detekcję poczty o PDF-y zawierające odnośniki i wieloetapowe przekierowania.
• Szkolenia użytkowników oprzeć na rozpoznawaniu presji psychologicznej i fałszywej autoryzacji wewnętrznej.
• Przygotować procedury unieważniania tokenów sesyjnych, wymuszania ponownego logowania i przeglądu reguł skrzynki pocztowej po incydencie.

Istotne jest także doprecyzowanie procedur wewnętrznych. Pracownicy powinni wiedzieć, że sprawy HR, compliance lub postępowania dyscyplinarne nie są prowadzone przez nieoczekiwane linki w załącznikach. Dzięki temu łatwiej ograniczyć skuteczność socjotechniki wykorzystującej stres i poczucie pilności.

Podsumowanie

Kampania opisana przez Microsoft pokazuje, że współczesny phishing coraz częściej przypomina dobrze zaprojektowaną operację socjotechniczną wspieraną przez profesjonalną infrastrukturę. Połączenie wiarygodnych przynęt, legalnych usług e-mail, stron pośrednich z CAPTCHA i mechanizmu AiTM tworzy bardzo skuteczny model przejmowania kont nawet w środowiskach korzystających z MFA.

Dla zespołów bezpieczeństwa oznacza to konieczność wyjścia poza klasyczne filtrowanie reputacyjne i standardowe MFA. Kluczowe stają się silniejsze metody uwierzytelniania, monitoring tokenów sesyjnych, detekcja anomalii oraz gotowość do szybkiej reakcji na incydenty tożsamościowe.

Źródła

1. https://thehackernews.com/2026/05/microsoft-details-phishing-campaign.html
2. https://www.microsoft.com/en-us/security/blog/
3. https://unit42.paloaltonetworks.com/
4. https://securelist.com/

Wprowadzenie do problemu / definicja

Amazon Simple Email Service (SES) to legalna usługa chmurowa przeznaczona do masowej wysyłki wiadomości e-mail. W ostatnim czasie badacze bezpieczeństwa zwracają uwagę, że tego typu infrastruktura coraz częściej bywa wykorzystywana w kampaniach phishingowych, ponieważ zapewnia wysoką dostarczalność i korzysta z zaufania, jakim odbiorcy oraz systemy filtrujące darzą usługi dużych dostawców chmurowych.

Istota problemu nie wynika z luki w samym Amazon SES, lecz z nadużycia skompromitowanych poświadczeń AWS. Atakujący przejmują klucze dostępu, a następnie wykorzystują legalne konto do prowadzenia masowej wysyłki wiadomości podszywających się pod znane marki, procesy biznesowe lub obieg dokumentów.

W skrócie

• Cyberprzestępcy wykorzystują Amazon SES do rozsyłania phishingu z legalnej infrastruktury.
• Kluczowym czynnikiem są ujawnione lub skradzione poświadczenia AWS.
• Ataki są coraz częściej automatyzowane: od wyszukiwania sekretów po ocenę limitów wysyłki.
• Wiadomości wysyłane przez zaufaną usługę łatwiej omijają tradycyjne filtry oparte na reputacji nadawcy.
• Skutkiem może być wzrost skuteczności phishingu, BEC oraz oszustw finansowych.

Kontekst / historia

Nadużywanie legalnych platform pocztowych przez cyberprzestępców nie jest nowym zjawiskiem. Od lat atakujący próbują korzystać z komercyjnych usług e-mail i infrastruktury chmurowej, ponieważ daje im to przewagę operacyjną: większą skalę, lepszą reputację adresów IP oraz wyższą skuteczność dostarczania wiadomości do skrzynek odbiorczych.

W przypadku środowisk chmurowych szczególne znaczenie ma bezpieczeństwo sekretów. Klucze API, dane dostępowe IAM i inne poświadczenia regularnie wyciekają do publicznych repozytoriów kodu, plików konfiguracyjnych, obrazów kontenerów, kopii zapasowych czy nieprawidłowo zabezpieczonych zasobów obiektowych. Jeśli takie dane trafią w ręce przestępców, nie muszą oni budować własnej infrastruktury spamowej — wystarczy przejąć dostęp do legalnego kanału wysyłki.

Analiza techniczna

Mechanizm ataku jest stosunkowo prosty, ale bardzo skuteczny. Najpierw napastnicy pozyskują poświadczenia AWS, które mają uprawnienia do korzystania z Amazon SES. Następnie sprawdzają, czy konto umożliwia wysyłkę wiadomości, jakie obowiązują limity dzienne oraz czy dostępna konfiguracja nadaje się do przeprowadzenia szerzej zakrojonej kampanii.

Ten etap bywa zautomatyzowany. Przestępcy korzystają z narzędzi do wykrywania wycieków sekretów, ich walidacji oraz szybkiego testowania uprawnień. Po potwierdzeniu, że konto nadaje się do nadużycia, uruchamiają masową wysyłkę wiadomości phishingowych, często przygotowanych w profesjonalnych szablonach HTML.

W praktyce takie wiadomości mogą podszywać się pod obieg dokumentów, podpis elektroniczny, faktury, logowanie do usług biznesowych lub komunikację wewnętrzną. W bardziej zaawansowanych kampaniach pojawiają się także elementy typowe dla business email compromise, takie jak spreparowane wątki korespondencji czy fałszywe dokumenty wspierające scenariusz oszustwa.

Z technicznego punktu widzenia ważne jest również to, że wiadomości wysyłane przez legalną usługę mogą poprawnie przechodzić kontrole SPF, DKIM i DMARC, jeśli konfiguracja domeny i usługi została odpowiednio przygotowana. To sprawia, że klasyczne filtry oparte wyłącznie na uwierzytelnianiu poczty i reputacji nadawcy stają się mniej skuteczne. Dla odbiorcy wiadomość może wyglądać wiarygodnie zarówno wizualnie, jak i pod względem technicznym.

Dodatkowym problemem dla zespołów bezpieczeństwa jest ograniczona możliwość prostego blokowania takiej infrastruktury. Czarne listy adresów IP są mniej użyteczne, gdy źródłem wiadomości jest zaufana usługa wykorzystywana równolegle przez legalne podmioty biznesowe. W efekcie detekcja musi przesuwać się w stronę analizy treści, kontekstu, anomalii zachowania oraz sygnałów tożsamościowych.

Konsekwencje / ryzyko

Najbardziej oczywistym skutkiem jest wzrost skuteczności phishingu. Wiadomości pochodzące z renomowanej infrastruktury częściej trafiają do skrzynek odbiorczych i rzadziej są automatycznie oznaczane jako spam. To zwiększa ryzyko przejęcia danych uwierzytelniających, kompromitacji kont pracowników, strat finansowych oraz skutecznych ataków BEC.

Dla organizacji korzystających z AWS istnieje również ryzyko wtórne. Jeśli ich własne poświadczenia zostaną ujawnione, mogą nieświadomie stać się źródłem ataku skierowanego przeciwko klientom, partnerom lub pracownikom. Konsekwencje obejmują wtedy nie tylko koszty operacyjne i nadużycie zasobów, ale także utratę reputacji, obsługę zgłoszeń abuse, możliwe ograniczenia usług oraz konieczność prowadzenia działań kryzysowych.

Ryzyko dotyczy też zespołów SOC i administratorów poczty. Tradycyjne wskaźniki kompromitacji są w takich kampaniach mniej oczywiste, ponieważ nagłówki mogą wyglądać poprawnie, a sama infrastruktura nadawcza nie musi nosić typowych cech złośliwego zaplecza technicznego.

Rekomendacje

Podstawowym działaniem obronnym powinno być ograniczenie ryzyka wycieku poświadczeń AWS. Organizacje powinny regularnie skanować repozytoria kodu, artefakty CI/CD, obrazy kontenerów, kopie zapasowe oraz zasoby obiektowe pod kątem sekretów. Równie ważne jest wdrożenie procesów szybkiego unieważniania ujawnionych kluczy oraz stosowanie zasady najmniejszych uprawnień dla użytkowników i ról IAM.

Należy również stosować uwierzytelnianie wieloskładnikowe dla kont administracyjnych, prowadzić rotację kluczy dostępowych i monitorować użycie API. W przypadku Amazon SES szczególnie istotne jest wykrywanie anomalii, takich jak nagły wzrost wolumenu wysyłki, użycie nowych regionów, nietypowe domeny docelowe czy nietypowe wzorce aktywności względem dotychczasowego profilu konta.

Po stronie bezpieczeństwa poczty warto rozwijać mechanizmy detekcji wykraczające poza samą walidację SPF, DKIM i DMARC. Większą skuteczność mogą zapewnić systemy analizujące semantykę wiadomości, intencję biznesową, historię relacji nadawca–odbiorca, podobieństwo do znanych schematów oszustw oraz reputację stron docelowych.

• wdrożenie stałego monitoringu wycieków sekretów,
• regularny przegląd uprawnień IAM związanych z wysyłką poczty,
• alertowanie na nietypowe użycie Amazon SES,
• testowanie procedur reagowania na kompromitację kont chmurowych,
• szkolenie działów finansowych i operacyjnych w zakresie weryfikacji niestandardowych żądań płatniczych i zmian danych rozliczeniowych.

Podsumowanie

Nadużywanie Amazon SES w kampaniach phishingowych pokazuje, że współczesne ataki coraz częściej opierają się na legalnej i zaufanej infrastrukturze, a nie wyłącznie na klasycznych botnetach czy jednorazowych domenach. Taki model znacząco utrudnia detekcję opartą tylko na reputacji źródła oraz prostych sygnałach technicznych.

Kluczowym problemem pozostaje ekspozycja poświadczeń AWS i nadmierne uprawnienia przypisane do kont oraz ról. Skuteczna obrona wymaga jednoczesnego wzmocnienia ochrony sekretów, monitorowania wykorzystania usług chmurowych oraz bardziej kontekstowej analizy wiadomości e-mail i procesów biznesowych.

Źródła

1. BleepingComputer — Researchers report Amazon SES abused in phishing to evade detection
2. Amazon SES Developer Guide — Complying with DMARC authentication protocol in Amazon SES
3. AWS re:Post — How do I determine whether my AWS account has been compromised?