Атака без пароля: злоумышленник десять недель перехватывал сеансы Microsoft 365 у 79 организаций

С середины июля по конец сентября 2026 года неизвестный атаковал учётные записи Microsoft 365 в десятках компаний, ни разу не вводя пароль. По данным Huntress, за десять недель было совершено 497 успешных входов и более 200 тысяч безуспешных попыток. Жертвами стали 79 организаций, а весь доступ держался на украденных сеансовых токенах.

Токены добывали тремя способами. Основным стал adversary-in-the-middle — жертва попадала на поддельную страницу входа, которая транслировала настоящий интерфейс Microsoft и запрос многофакторной аутентификации, но сохраняла итоговый токен себе. Поскольку токен выдаётся уже после прохождения MFA, злоумышленнику не требовалось повторно подтверждать личность.

Часть токенов получили через device-code phishing, когда человека обманом заставляли ввести код на легитимной странице Microsoft, а ещё часть — через социальную инженерию во время обычного входа. Собранные токены использовали массово, зачастую с одних и тех же IP-адресов. В Huntress назвали этот подход «токен-спрей» — по аналогии с password spraying, только вместо угаданных паролей применялись краденые сеансы.

В одном из июльских инцидентов перехваченный сеанс активировали через 12 минут после того, как жертва дошла до экрана MFA, а в сентябре разрыв сократился до четырёх минут. Трафик шёл с шести адресов в диапазоне 193.26.115.0/24, арендованных у немецкого хостинг-провайдера 1337 Services GmbH. Кампания делилась на четыре фазы с паузами в неделю-две, и блокировка одного адреса остановила бы лишь отдельный этап.

Microsoft Entra ID Protection независимо пометила несколько таких адресов как подозрительные. Оказавшись внутри учётной записи, злоумышленник сразу закреплялся. В каталогах Microsoft Entra зарегистрировали не менее 48 фальшивых компьютеров с именами вида «DESKTOP-» плюс восемь шестнадцатеричных знаков.

Такое устройство остаётся в системе, пока его принудительно не удалят, и помогает сохранять доступ после истечения срока жизни токена. В 19 организациях штатные методы многофакторной аутентификации жертвы стирали и в течение трёх часов после первого входа с атакующего адреса привязывали новое приложение-аутентификатор. В случае от 21 июля на аккаунте появился аутентификатор с меткой «iPhone 13» меньше чем через час после перехвата сеанса.

Такой шаг позволял проходить MFA при следующих входах, и сброс пароля эту лазейку не закрывал — требовалась ручная ревизия учётной записи. Чтобы владелец ящика не замечал подозрительной активности, в почте создавали скрытые правила. Правила с именами «.», «sss» и «iT» удаляли входящие письма или помечали их как прочитанные и перемещали в папки RSS Feeds и Conversation History.

В одном эпизоде через скомпрометированный ящик отправили письмо о расчёте зарплаты внешнему бухгалтеру, а затем за пять минут изменили правило так, чтобы перехватывать все сообщения со словами payroll, direct deposit, bank или bonus, и создали второе правило, скрывавшее всю переписку с бухгалтером. Одиннадцатого сентября злоумышленник переключился на новый адрес и запустил автоматизированную программу, которая массово переиспользовала накопленные токены. За четыре дня она выполнила сотни успешных входов почти в трёх десятках организаций.

Этот же адрес заблокировали 1052 раза, но все блокировки пришлись лишь на четыре компании, где сработали политики условного доступа. Такие политики способны требовать повторную MFA или полностью запрещать вход при несовпадении условий, и, как подчёркивают в Huntress, они закрывают часть брешей, которые не может перекрыть одна лишь многофакторная аутентификация. Это лишний раз напоминает, почему защита дата-центров превратилась в фундамент выживания бизнеса, .

Huntress опубликовала рекомендации по смягчению последствий и индикаторы компрометации, чтобы администраторы Microsoft 365 могли вовремя обнаружить похожие вторжения и ограничить ущерб от кражи сеансовых токенов.