Security

Phishing device code AI: kampania eskaluje

3 min czytania

Podsumowanie

Microsoft Defender Security Research opisał zakrojoną na szeroką skalę kampanię phishingową, która nadużywa przepływu OAuth device code z użyciem przynęt generowanych przez AI, dynamicznego generowania kodów oraz zautomatyzowanej infrastruktury backendowej. Kampania zwiększa ryzyko dla organizacji, ponieważ poprawia skuteczność atakujących, omija tradycyjne wzorce detekcji i umożliwia kradzież tokenów, utrwalanie dostępu przez reguły skrzynki odbiorczej oraz rekonesans w Microsoft Graph.

Potrzebujesz pomocy z Security?Porozmawiaj z ekspertem

Wprowadzenie

Microsoft ujawnił istotną ewolucję phishingu device code, pokazując, jak atakujący łączą generatywne AI, automatyzację i infrastrukturę hostowaną w chmurze, aby na dużą skalę przejmować konta Microsoft. Dla zespołów bezpieczeństwa i administratorów Microsoft 365 ma to znaczenie, ponieważ kampania wykorzystuje legalne przepływy uwierzytelniania zamiast bezpośrednio kraść hasła, co utrudnia wykrywanie przy użyciu tradycyjnych mechanizmów kontroli.

Co nowego w tej kampanii

Według Microsoft Defender Security Research działania rozwijają wcześniejsze techniki phishingu device code, ale dodają kilka istotnych usprawnień:

  • Przynęty phishingowe wspierane przez AI: Atakujący używali generatywnego AI do tworzenia silnie spersonalizowanych wiadomości e-mail powiązanych z rolami zawodowymi i scenariuszami biznesowymi, takimi jak faktury, RFP i procesy produkcyjne.
  • Dynamiczne generowanie device code: Zamiast polegać na kodach wygenerowanych wcześniej, które wygasają po 15 minutach, device code jest tworzony dopiero w momencie kliknięcia przez użytkownika w link phishingowy.
  • Zautomatyzowana infrastruktura chmurowa: Aktorzy zagrożeń wykorzystywali platformy takie jak Railway, Vercel, Cloudflare Workers i AWS Lambda do wdrażania krótkotrwałej infrastruktury oraz łańcuchów przekierowań.
  • Ruch wtapiający się w tło: Przekierowania przez zaufane usługi chmurowe pomagają tej aktywności omijać proste blocklisty i mechanizmy obrony oparte na reputacji.
  • Nadużycie tokenów po przejęciu: Gdy ofiara ukończy przepływ logowania urządzenia, atakujący wykorzystują token do eksfiltracji poczty, tworzenia reguł skrzynki odbiorczej i rekonesansu w Microsoft Graph.

Dlaczego to się różni

Tradycyjny phishing zwykle próbuje przechwycić poświadczenia. W tym przypadku atakujący nakłania użytkownika do zatwierdzenia legalnej sesji logowania urządzenia Microsoft, którą sam wcześniej zainicjował. Ponieważ uwierzytelnienie odbywa się na prawdziwej stronie logowania urządzeń Microsoft, użytkownicy mogą być mniej podejrzliwi, a MFA może być mniej skuteczne, jeśli sesja nie jest silnie powiązana z pierwotnym kontekstem.

Microsoft łączy ten trend także z EvilToken, zestawem phishing-as-a-service napędzającym szersze nadużycia device code. Wykorzystanie automatyzacji i AI stanowi znaczący krok naprzód względem kampanii Storm-2372 udokumentowanej w 2025 roku.

Wpływ na administratorów IT

Zespoły bezpieczeństwa i tożsamości powinny spodziewać się:

  • Bardziej przekonujących wiadomości phishingowych wymierzonych w użytkowników o wysokiej wartości
  • Częstszych nadużyć legalnych przepływów OAuth i logowania Microsoft
  • Przejęć opartych na tokenach bez kradzieży haseł
  • Utrwalania dostępu poprzez złośliwe reguły skrzynki odbiorczej i ukryte przekierowania poczty
  • Rekonesansu struktury organizacyjnej przez Microsoft Graph

Zalecane działania

Administratorzy powinni przejrzeć wskazówki Microsoft dotyczące ograniczania ryzyka i nadać priorytet:

  • Monitorowaniu podejrzanej aktywności device code authentication
  • Badaniu nieoczekiwanych reguł skrzynki odbiorczej i wzorców dostępu opartych na tokenach
  • Wzmacnianiu Conditional Access oraz zasad ryzyka logowania tam, gdzie to możliwe
  • Szkoleniu użytkowników, aby traktowali niezamówione monity logowania urządzenia jako podejrzane
  • Polowaniu na podejrzane przekierowania, domeny podszywające się oraz infrastrukturę phishingową hostowaną w chmurze

To badanie przypomina, że mechanizmy obrony przed phishingiem muszą dziś uwzględniać nadużywanie legalnych przepływów uwierzytelniania, a nie tylko fałszywe strony logowania i skradzione hasła.

Potrzebujesz pomocy z Security?

Nasi eksperci pomogą Ci wdrożyć i zoptymalizować rozwiązania Microsoft.

Porozmawiaj z ekspertem

Bądź na bieżąco z technologiami Microsoft

Przeczytaj oryginalny artykuł autorstwa Microsoft Defender Security Research Team
device code phishingMicrosoft DefenderOAuthtoken theftphishing

Powiązane artykuły

Security

Storm-1175 i Medusa ransomware atakują web assets

Microsoft Threat Intelligence ostrzega, że Storm-1175 szybko wykorzystuje podatne systemy dostępne z internetu do wdrażania Medusa ransomware, czasem w ciągu zaledwie 24 godzin od uzyskania początkowego dostępu. Koncentracja grupy na nowo ujawnionych lukach, web shells, narzędziach RMM i szybkim ruchu lateralnym sprawia, że szybkie łatanie, zarządzanie ekspozycją i wykrywanie działań po kompromitacji są kluczowe dla obrońców.

Security

Ataki cybernetyczne AI przyspieszają cały łańcuch

Microsoft ostrzega, że cyberprzestępcy wykorzystują obecnie AI na całej długości cyklu ataku — od rozpoznania i phishingu po tworzenie malware oraz działania po przejęciu środowiska. Dla obrońców oznacza to szybsze i bardziej precyzyjne ataki, wyższą skuteczność phishingu oraz rosnącą potrzebę wzmocnienia ochrony tożsamości, MFA i widoczności powierzchni ataku wspieranych przez AI.

Security

PHP webshelle na Linux: unikanie wykrycia przez cookies

Microsoft ostrzega, że cyberprzestępcy wykorzystują HTTP cookies do sterowania PHP webshellami w środowiskach hostingowych Linux, co pozwala złośliwemu kodowi pozostawać uśpionym, dopóki nie pojawią się określone wartości cookie. Technika ta ogranicza widoczność w rutynowych logach, wspiera trwałość dzięki zadaniom cron i podkreśla potrzebę silniejszego monitoringu, ochrony aplikacji webowych oraz wykrywania zagrożeń na punktach końcowych w hostowanych środowiskach Linux.

Security

Atak na Axios npm: przewodnik po ograniczaniu skutków

Microsoft ostrzegł, że złośliwe wersje Axios npm 1.14.1 i 0.30.4 zostały wykorzystane w ataku na łańcuch dostaw przypisywanym grupie Sapphire Sleet. Organizacje korzystające z tych pakietów powinny natychmiast zmienić sekrety, przejść na bezpieczne wersje oraz sprawdzić stacje deweloperskie i systemy CI/CD pod kątem naruszenia.

Security

{{Gotowość bezpieczeństwa infrastruktury krytycznej 2026}}

Microsoft informuje, że model zagrożeń dla infrastruktury krytycznej przesunął się z oportunistycznych ataków w stronę trwałego, opartego na tożsamości dostępu przygotowywanego pod przyszłe zakłócenia. Dla liderów IT i bezpieczeństwa przekaz jest jasny: już teraz ogranicz ekspozycję, wzmocnij ochronę tożsamości i potwierdź gotowość operacyjną, ponieważ presja regulacyjna i aktywność państwowych aktorów rosną.

Security

{{Podstawy bezpieczeństwa AI: praktyczne wskazówki dla CISO}}

{{Microsoft zaleca CISO zabezpieczanie systemów AI przy użyciu tych samych podstawowych mechanizmów, które już stosują wobec oprogramowania, tożsamości i dostępu do danych. Wskazówki podkreślają zasadę najmniejszych uprawnień, ochronę przed prompt injection oraz wykorzystanie samej AI do wykrywania problemów z uprawnieniami, zanim zrobią to atakujący lub użytkownicy.}}