Kampania phishingowa AiTM atakuje użytkowników Microsoft 365

Wprowadzenie

Microsoft wykrył zaawansowaną kampanię phishingową, która objęła ponad 35 000 użytkowników w przeszło 13 000 organizacji w 26 krajach. Dla administratorów Microsoft 365 i zabezpieczeń ma to znaczenie, ponieważ atak wykorzystywał technikę adversary-in-the-middle (AiTM) do przechwytywania tokenów uwierzytelniania, co może ominąć MFA nieodporne na phishing i dać atakującym natychmiastowy dostęp do kont.

Co nowego

Między 14 a 16 kwietnia 2026 r. Microsoft zaobserwował wieloetapową operację phishingową wykorzystującą przynęty związane z kodeksem postępowania i wewnętrzną zgodnością. Wiadomości zaprojektowano tak, aby przypominały legalną komunikację wewnętrzną, i wysyłano je jako uwierzytelnione e-maile z domen kontrolowanych przez atakujących za pośrednictwem legalnej usługi dostarczania poczty e-mail.

Kluczowe cechy kampanii obejmowały:

• Dopracowane e-maile o tematyce zgodności z pilnymi tematami dotyczącymi niewłaściwego zachowania pracowników lub przypadków braku zgodności
• Załączniki PDF, które instruowały odbiorców, aby zapoznali się z materiałami sprawy
• Wiele etapowych stron obejmujących kontrole CAPTCHA i pośrednie kroki „weryfikacji”
• Końcowy monit logowania Microsoft osadzony w przepływie AiTM w celu przechwycenia tokenów sesji
• Szeroki wpływ na wiele branż, szczególnie Healthcare, Financial Services, Professional Services i Technology

Microsoft poinformował, że większość ofiar znajdowała się w Stanach Zjednoczonych, ale kampania dotknęła organizacje na całym świecie.

Dlaczego ten atak jest istotny

W przeciwieństwie do prostego phishingu poświadczeń, ataki AiTM pośredniczą w sesji uwierzytelniania w czasie rzeczywistym. Oznacza to, że nawet gdy użytkownicy ukończą MFA, atakujący nadal mogą przechwycić tokeny i ponownie użyć ich do uzyskania dostępu do kont.

Ta kampania pokazuje również, jak ewoluują taktyki phishingowe:

• Atakujący używali szablonów HTML w stylu korporacyjnym, aby zwiększyć wiarygodność
• Wykorzystywali presję czasu i oskarżenia w stylu HR, aby wymusić szybką reakcję
• Strony CAPTCHA i strony etapowe pomagały filtrować zautomatyzowaną analizę zabezpieczeń
• Końcowy przepływ logowania wyglądał na tyle wiarygodnie, że ograniczał podejrzenia użytkowników

Wpływ na administratorów IT

Zespoły bezpieczeństwa powinny potraktować to jako przypomnienie, że sama świadomość użytkowników nie wystarcza. Organizacje potrzebują warstwowej ochrony w obszarach poczty e-mail, tożsamości, endpointów i ochrony sieci Web.

Administratorzy powinni przejrzeć:

• Konfiguracje Exchange Online Protection i Microsoft Defender for Office 365
• Zasady antyphishingowe oraz ochronę przed podszywaniem się
• Obsługę SmartScreen w zarządzanych przeglądarkach
• Network protection w Windows do blokowania złośliwych lokalizacji Web
• Zakres wykrywania i reagowania dla podejrzanej aktywności logowania oraz nadużyć tokenów

Zalecane kolejne kroki

Zespoły IT powinny podjąć następujące działania:

1. Edukować użytkowników na temat przynęt phishingowych związanych z HR, zgodnością i regulacjami
2. Prowadzić symulacje phishingowe przy użyciu attack simulation training w Microsoft Defender for Office 365
3. Wzmocnić ustawienia zabezpieczeń poczty e-mail i przejrzeć rekomendacje zasad w portalu zabezpieczeń Microsoft
4. Nadawać priorytet uwierzytelnianiu odpornemu na phishing tam, gdzie to możliwe
5. Szukać wskaźników naruszenia i badać nietypowe zachowanie sesji powiązane ze zdarzeniami logowania

Ta kampania wzmacnia kluczową lekcję bezpieczeństwa: nowoczesny phishing nie dotyczy już wyłącznie haseł. Ochrona przed kradzieżą tokenów wymaga silniejszej ochrony tożsamości, lepszych zabezpieczeń poczty e-mail i ciągłej edukacji użytkowników.