AiTM phishing kampanja cilja Microsoft 365 korisnike

Uvod

Microsoft je otkrio sofisticiranu phishing kampanju koja je ciljala više od 35.000 korisnika u preko 13.000 organizacija u 26 zemalja. Za Microsoft 365 i bezbednosne administratore ovo je važno zato što je napad koristio tehniku adversary-in-the-middle (AiTM) za preuzimanje tokena za autentifikaciju, što može zaobići MFA koji nije otporan na phishing i napadačima dati trenutni pristup nalozima.

Šta je novo

Između 14. i 16. aprila 2026, Microsoft je uočio višefaznu phishing operaciju koja je koristila mamce povezane sa kodeksom ponašanja i internom usklađenošću. Poruke su bile osmišljene tako da izgledaju kao legitimne interne komunikacije i slane su kao autentifikovani emailovi sa domena pod kontrolom napadača putem legitimne usluge za isporuku e-pošte.

Ključne karakteristike kampanje uključivale su:

• Uverljive email poruke na temu usklađenosti sa hitnim naslovima o nedoličnom ponašanju zaposlenih ili slučajevima neusaglašenosti
• PDF priloge koji su upućivali primaoce da pregledaju materijale slučaja
• Više postepenih stranica uključujući CAPTCHA provere i posredne korake „verifikacije“
• Završni Microsoft prompt za prijavu ugrađen u AiTM tok radi presretanja tokena sesije
• Širok uticaj u različitim industrijama, posebno Healthcare, Financial Services, Professional Services i Technology

Microsoft je naveo da je većina žrtava bila u Sjedinjenim Državama, ali da je kampanja pogodila organizacije širom sveta.

Zašto je ovaj napad značajan

Za razliku od osnovnog phishinga za krađu akreditiva, AiTM napadi posreduju autentifikacionu sesiju u realnom vremenu. To znači da čak i kada korisnici završe MFA, napadači i dalje mogu preuzeti tokene i ponovo ih iskoristiti za pristup nalozima.

Ova kampanja takođe pokazuje kako se phishing taktike razvijaju:

• Napadači su koristili HTML šablone u enterprise stilu kako bi povećali kredibilitet
• Iskoristili su vremenski pritisak i optužbe u HR stilu da podstaknu brzu reakciju
• CAPTCHA i postepene stranice pomogle su u filtriranju automatizovane bezbednosne analize
• Završni tok prijave izgledao je dovoljno legitimno da smanji sumnju korisnika

Uticaj na IT administratore

Bezbednosni timovi treba da ovo shvate kao podsetnik da svest korisnika sama po sebi nije dovoljna. Organizacijama su potrebne slojevite odbrane kroz zaštitu e-pošte, identiteta, endpoint uređaja i weba.

Administratori treba da pregledaju:

• Konfiguracije za Exchange Online Protection i Microsoft Defender for Office 365
• Anti-phishing smernice i zaštitu od impersonation napada
• Podršku za SmartScreen u upravljanim pregledačima
• Network protection u Windows za blokiranje zlonamernih web odredišta
• Pokrivenost detekcije i odgovora za sumnjive aktivnosti prijave i zloupotrebu tokena

Preporučeni sledeći koraci

IT timovi treba da preduzmu sledeće korake:

1. Edukujte korisnike o phishing mamcima vezanim za HR, usklađenost i regulativu
2. Sprovedite phishing simulacije uz Microsoft Defender for Office 365 attack simulation training
3. Ojačajte podešavanja bezbednosti e-pošte i pregledajte preporuke smernica u Microsoft security portalu
4. Dajte prioritet autentifikaciji otpornoj na phishing gde god je to moguće
5. Tražite indikatore kompromitovanja i istražite neuobičajeno ponašanje sesija povezano sa događajima prijave

Ova kampanja potvrđuje ključnu bezbednosnu lekciju: moderni phishing više nije samo pitanje lozinki. Odbrana od krađe tokena zahteva snažniju zaštitu identiteta, bolju bezbednost e-pošte i kontinuiranu edukaciju korisnika.