Кибератаките срещу Microsoft 365 вече започват с телефонно обаждане от „ИТ отдела“

Microsoft предупреждава за нова вълна от атаки срещу корпоративни акаунти, при която социалното инженерство се комбинира с фишинг, злоупотреба с легитимни механизми за удостоверяване и последваща автоматизирана кражба на данни от Microsoft 365.

Активността се наблюдава от май 2026 г. и е свързана с няколко заплашителни групи от екосистемата на киберизнудването, включително оператори, които Microsoft проследява като Storm-3121 и Storm-3032. Компанията свързва първата група с ShinyHunters и Falcon, а втората – с участници, свързвани с BlackFile и впоследствие с Helix.

На пръв поглед схемата изглежда като поредната кампания за кражба на пароли. На практика обаче целта е много по-сериозна – получаване на валидна корпоративна идентичност, достъп до свързаните облачни услуги и достатъчно време за систематично разузнаване и изтегляне на бизнес информация.

Атаката започва не с malware, а с добре подготвен разговор

Преди да атакуват конкретен служител, операторите събират информация за организацията и нейните служители от публични източници. Професионални профили, социални мрежи, организационна структура и длъжности могат да бъдат използвани за изграждане на достоверен сценарий.

След това следва телефонно обаждане или съобщение от човек, представящ се за служител на корпоративния ИТ или help desk екип.

Поводът обикновено звучи напълно легитимно: необходимо е да бъде обновен passkey, MFA или SSO конфигурацията, защото в противен случай служителят може да загуби достъп до корпоративните системи.

Това е важна промяна в класическия фишинг модел. Жертвата не получава просто подозрителен имейл, а сценарий, който създава усещането, че изпълнява нормална административна процедура.

В някои случаи линкът се изпраща на личния телефон на служителя чрез SMS, което допълнително заобикаля корпоративните защитни механизми за електронна поща.

Microsoft е установила и специално регистрирани домейни, съдържащи термини като passkey, SSO, key synchronization, account setup и identity verification. Сред наблюдаваните примери са passkeyhelpdesk[.]com, secure-passkey[.]com и integratedsso[.]com.

Още по-убедителна е техниката, при която името на конкретната компания се поставя като поддомейн. Така адресът изглежда приблизително като:

company-name.secure-passkey[.]com

За неподготвен служител това може да изглежда като специализиран корпоративен портал.

Passkey е само примамката

Особено показателен е фактът, че атакуващите не се опитват реално да регистрират passkey.

Терминът се използва като социален лост, който отвежда жертвата към два основни механизма – adversary-in-the-middle (AiTM) фишинг или device-code phishing.

При AiTM атаката потребителят вижда интерфейс, който изглежда като нормална страница за вход. Зад кулисите обаче атакуващият посредничи между жертвата и реалната услуга и може да прихване удостоверителни данни и сесийни токени.

Това е особено опасно, защото наличието на MFA само по себе си не означава, че идентичността е защитена, ако потребителят бъде подведен да удостоверява сесия през контролирана от нападателя инфраструктура.

При device-code phishing механизмът е още по-подвеждащ. Жертвата получава код и е инструктирана да го въведе в легитимна страница на Microsoft. Самата страница може действително да принадлежи на Microsoft. Проблемът е, че кодът обслужва OAuth клиент, контролиран от атакуващия.

Резултатът е валиден токен за достъп без необходимост нападателят отново да преминава през MFA предизвикателство.

Един компрометиран акаунт може да отвори много повече от Microsoft 365

След получаването на достъп атаката преминава в съвсем различна фаза.

Microsoft описва случаи, при които компрометираният акаунт първоначално се използва за проверка на наличните приложения и организационната информация. Нападателите разглеждат My Apps, My Profile, My Sign-Ins и други административни и информационни интерфейси.

След това започва картографиране на облачната среда.

Чрез Microsoft Graph операторите могат да получат информация за:

• потребители и групи;
• членство в групи;
• административни и привилегировани роли;
• регистрирани MFA методи;
• приложения и service principals;
• OAuth разрешения;
• SharePoint сайтове и библиотеки;
• OneDrive ресурси;
• пощенски папки, съобщения и прикачени файлове.

Това превръща компрометирания акаунт в разузнавателна точка вътре в организацията.

Още по-притеснителното е, че един и същ достъп може да отвори път към множество SaaS платформи чрез корпоративния SSO – включително Salesforce, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk и Atlassian.

Така първоначалната атака срещу един служител потенциално се превръща в атака срещу цялата цифрова екосистема на организацията.

Нападателите си осигуряват и собствен MFA

След компрометирането на идентичността операторите често се опитват да създадат persistence.

Microsoft наблюдава добавяне на нови телефонни номера, Authenticator приложения и софтуерни OTP механизми към компрометирани акаунти.

Това има проста цел – атакуващият да може сам да преминава бъдещи MFA проверки.

По този начин първоначалният фишинг вече не е единственият проблем. Дори ако служителят осъзнае, че е бил измамен, нападателят може да продължи да разполага с валиден механизъм за удостоверяване.

Microsoft отбелязва, че тази persistence техника не оцелява при пълно нулиране на идентификационните данни и активните сесии, което прави реакцията на инцидента критично важна.

Кражбата на данни не прилича на „удар и бягство“

След разузнаването идва същинската цел – данните.

Microsoft наблюдава висок обем достъп и изтегляне на файлове от SharePoint Online и OneDrive for Business, както и достъп до съдържание в Exchange Online чрез REST API.

В логовете това може да се прояви чрез големи количества събития FileAccessed и FileDownloaded.

Интересен е и подходът към ексфилтрацията. Нападателите не винаги се опитват да изтеглят максимално количество информация за кратко време.

Напротив – в някои случаи активността продължава часове или дори дни, като се избягва прекалено голям обем операции в рамките на кратък период. Microsoft посочва случаи, при които са достъпвани под 1000 файла или имейла за един час.

Това е класически пример за адаптиране към съвременните системи за откриване на заплахи. Вместо шумен „smash-and-grab“ подход нападателят се опитва да изглежда като легитимен потребител.

Най-важният сигнал не е един необичаен вход

Microsoft препоръчва организациите да търсят веригата от действия, а не отделни събития.

Подозрителният сценарий може да изглежда така:

необичаен вход → нов MFA метод → Graph разузнаване → проверка на привилегии → достъп до SharePoint/OneDrive → достъп до Exchange → масово изтегляне на данни

Отделните действия невинаги са достатъчни за аларма. Microsoft Graph заявки към /users, /groups или /sites са нормална част от корпоративната работа.

Проблемът възниква, когато един и същ акаунт, OAuth приложение или токен започне бързо да се движи между различни ресурси, да проверява привилегии и методи за удостоверяване, а след това да преминава към масов достъп до документи и електронна поща.

Именно корелацията между тези действия е ключът към ранното откриване.

Какво трябва да направят организациите

Microsoft препоръчва използването на phishing-resistant MFA, ограничаване на достъпа до чувствителни облачни ресурси само от управлявани устройства и деактивиране на device-code authentication там, където този механизъм не е необходим.

При вече компрометиран акаунт реакцията трябва да бъде незабавна:

• отмяна на активните сесии и токени;
• нулиране на идентификационните данни;
• премахване на непознати MFA методи;
• проверка за добавени mailbox правила;
• повторна регистрация на автентикационните методи;
• преглед на OAuth разрешенията и приложенията;
• анализ на достъпа до SharePoint, OneDrive и Exchange;
• проверка за изтегляне на чувствителни файлове.

Тук се вижда и по-големият проблем за организациите. MFA вече не може да бъде разглеждано като еднократно включване на защитна функция. Трябва да се следи кой, от какво устройство, през какъв механизъм и до какви ресурси получава достъп.

Атаките, свързвани с ShinyHunters, Helix и други групи от екосистемата на киберизнудването, показват именно тази еволюция. Нападателят не се нуждае непременно от сложен malware, zero-day или компрометирана инфраструктура.

Понякога му е достатъчен един телефонен разговор, убедителен домейн и служител, който вярва, че просто „обновява passkey“.

Истинската цел обаче не е passkey. Целта е идентичността – а чрез нея и целият облак, до който тя има достъп.