AiTM phishing-kampagne rammer Microsoft 365-brugere
Resumé
Microsoft har beskrevet en storstilet adversary-in-the-middle (AiTM) phishing-kampagne, der brugte falske undersøgelser af adfærdskodeks til at stjæle autentificeringstokens. Angrebet kombinerede veludført social engineering, iscenesatte CAPTCHA-sider og et legitimt Microsoft-sign-in-flow, hvilket understreger, hvorfor phishing-resistente beskyttelser og stærkere e-mailforsvar er vigtige.
Introduktion
Microsoft har afdækket en sofistikeret phishing-kampagne, der ramte mere end 35.000 brugere på tværs af over 13.000 organisationer i 26 lande. For Microsoft 365- og sikkerhedsadministratorer er dette vigtigt, fordi angrebet brugte en adversary-in-the-middle (AiTM)-teknik til at opsnappe autentificeringstokens, som kan omgå MFA, der ikke er phishing-resistent, og give angribere øjeblikkelig adgang til konti.
Hvad er nyt
Mellem 14. og 16. april 2026 observerede Microsoft en phishing-operation i flere faser, der brugte lokkemidler om adfærdskodeks og intern compliance. Beskederne var udformet til at ligne legitim intern kommunikation og blev sendt som autentificerede e-mails fra angriberkontrollerede domæner via en legitim e-mailleveringstjeneste.
Vigtige kendetegn ved kampagnen omfattede:
- Veludførte compliance-temaede e-mails med presserende emnelinjer om medarbejdermisbrug eller manglende overholdelse
- PDF-vedhæftninger med instruktion om at gennemgå sagsmateriale
- Flere iscenesatte sider inklusive CAPTCHA-kontroller og mellemliggende "verificerings"-trin
- En afsluttende Microsoft sign-in-prompt indlejret i et AiTM-flow for at opsnappe sessionstokens
- Bred påvirkning på tværs af brancher, især Healthcare, Financial Services, Professional Services og Technology
Microsoft oplyste, at de fleste ofre befandt sig i USA, men kampagnen ramte organisationer globalt.
Hvorfor dette angreb er vigtigt
I modsætning til almindelig credential phishing proxier AiTM-angreb autentificeringssessionen i realtid. Det betyder, at selv når brugere gennemfører MFA, kan angribere stadig opsnappe tokens og genbruge dem til at få adgang til konti.
Denne kampagne viser også, hvordan phishing-taktikker udvikler sig:
- Angribere brugte HTML-skabeloner i enterprise-stil for at øge troværdigheden
- De udnyttede tidspres og HR-lignende anklager til at fremtvinge hurtig handling
- CAPTCHA- og iscenesættelsessider hjalp med at filtrere automatiseret sikkerhedsanalyse
- Det afsluttende sign-in-flow så legitimt nok ud til at reducere brugernes mistanke
Konsekvenser for IT-administratorer
Sikkerhedsteams bør se dette som en påmindelse om, at brugerbevidsthed alene ikke er nok. Organisationer har brug for lagdelte forsvar på tværs af e-mail, identitet, endpoint og webbeskyttelse.
Administratorer bør gennemgå:
- Konfigurationer for Exchange Online Protection og Microsoft Defender for Office 365
- Anti-phishing-politikker og beskyttelse mod efterligning
- Understøttelse af SmartScreen i administrerede browsere
- Network protection i Windows til blokering af skadelige webdestinationer
- Dækning for detektion og respons ved mistænkelig sign-in-aktivitet og misbrug af tokens
Anbefalede næste skridt
IT-teams bør tage følgende skridt:
- Uddan brugere om phishing-lokkemidler relateret til HR, compliance og regulering
- Kør phishing-simuleringer med attack simulation training i Microsoft Defender for Office 365
- Styrk e-mail-sikkerhedsindstillinger og gennemgå politik-anbefalinger i Microsofts sikkerhedsportal
- Prioritér phishing-resistent autentificering hvor det er muligt
- Jagt indikatorer på kompromittering og undersøg usædvanlig sessionsadfærd knyttet til sign-in-hændelser
Denne kampagne understreger en central sikkerhedslæring: Moderne phishing handler ikke længere kun om adgangskoder. Forsvar mod token-tyveri kræver stærkere identitetsbeskyttelse, bedre e-mail-sikkerhed og løbende brugeruddannelse.
Brug for hjælp med Security?
Vores eksperter kan hjælpe dig med at implementere og optimere dine Microsoft-løsninger.
Tal med en ekspertHold dig opdateret om Microsoft-teknologier