Blog 24/7
ARK. 1 · 1 min czytaniaŚwiat ·

Huntress: skrzynki Microsoft 365 w 79 organizacjach przejęte bez hasła i mimo MFA

Przez dziesięć tygodni atakujący logował się do poczty Microsoft 365 w 79 organizacjach skradzionymi tokenami sesji. Hasło nie było mu potrzebne, a MFA go nie zatrzymało.

Karta wpisu: Huntress: skrzynki Microsoft 365 w 79 organizacjach przejęte bez hasła i mimo MFA

Huntress opisał kampanię, w której atakujący dostał się do skrzynek Microsoft 365 w 79 organizacjach. Nie znał haseł: używał skradzionych tokenów sesji. Od 14 lipca do 22 września 2026 roku badacze naliczyli 497 udanych logowań i ponad 200 000 nieudanych prób. Atakujący zakładał w skrzynkach ukryte reguły, przez które ofiary nie widziały części własnej poczty. Skradzione sesje odtwarzał z serwerów firmy hostingowej 1337 Services GmbH z Hamburga, głównie z sześciu adresów z zakresu 193.26.115.0/24. Działał szybko: 21 lipca przejęta sesja pojawiła się 12 minut po tym, jak ofiara zobaczyła prośbę o MFA, a 22 września już po 4 minutach.

Kogo dotyczy

Użytkowników Microsoft 365, którzy trafili na fałszywe strony logowania z pośrednikiem AiTM. Taki pośrednik pokazywał ofierze prawdziwą stronę logowania Microsoftu i prawdziwą prośbę o MFA, ale przechwytywał token wydawany po zalogowaniu. Ten token działa bez ponownego MFA. Część tokenów atakujący zdobył phishingiem kodem urządzenia: ofiara sama wpisywała kod na prawdziwej stronie Microsoftu.

TAB. 2

Źródła

1
Help Net Security — Microsoft 365 accounts compromised at 79 organizations, no passwords neededhelpnetsecurity.com
TAB. 3

Powiązane

3
05.11.2026ŚwiatCISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europie
05.11.2026ŚwiatMidnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USA
05.11.2026ŚwiatAPT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione strony

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com