Een campagne tegen Microsoft 365-accounts heeft 97 accounts bij 79 organisaties gecompromitteerd via gestolen inlogtokens, meldt beveiligingsbedrijf Huntress. De aanvallers gebruiken een adversary-in-the-middle-relay: een nepinlogpagina die tussen het slachtoffer en de echte Microsoft-inlogpagina wordt geplaatst en wachtwoorden en mfa-codes onderschept terwijl die worden doorgestuurd naar de echte pagina.
Het echte doel is niet het wachtwoord, maar het toegangstoken dat Microsoft na een succesvolle login afgeeft. Met dat token hoeven de aanvallers mfa niet opnieuw te omzeilen. Huntress ziet dat gestolen tokens binnen enkele minuten vanaf het eigen apparaat van de aanvaller worden hergebruikt voor geautomatiseerde inlogpogingen, een techniek die het bedrijf “token spraying” noemt, naar analogie met het bekendere password spraying. Een deel van de tokens komt ook uit device-code-phishing en social engineering tijdens een legitieme inlogsessie.
Huntress registreerde de activiteit tussen 14 juli en 22 september 2026: ruim 200.000 mislukte inlogpogingen herleidbaar naar het IP-bereik 193.26.115.0/24, 497 geslaagde Microsoft 365-logins, 97 gecompromitteerde accounts en 48 kwaadaardig geregistreerde Entra-apparaten. Zodra aanvallers binnen waren, voegden ze voor persistentie een eigen authenticator-app toe. Bij minstens 19 organisaties werden bestaande mfa-methoden verwijderd en nieuwe geregistreerd, in sommige gevallen binnen drie uur na de kaping en in één geval al binnen 51 minuten.
Verborgen regels in de mailbox verwijderden of verplaatsten berichten over salaris, stortingen en bonussen. In één geval verstuurde een gekaapt account spam naar honderden externe ontvangers, totdat Entra ID Protection het account als hoogrisico markeerde en blokkeerde. De eerste waarneming kwam van een Roemeens IP-adres dat volgens VirusTotal ook bij de malware AsyncRAT hoort, bij hostingbedrijf 1337 Services GmbH, gelinkt aan StarkRDP en rdp.sh. Die domeinen zijn in januari 2025 door justitie in beslag genomen, maar inmiddels weer actief.
Huntress adviseert organisaties die een compromittering vermoeden om sessies in te trekken, wachtwoorden te resetten, Entra-apparaten te controleren, mfa-methoden na te kijken en te letten op onverwachte inboxregels en nieuwe enterprise-apps. Belangrijker is het beperken van device-code-inlogstromen met conditional-accessbeleid: mfa verplicht, of toegang geblokkeerd, voor alle gebruikers, alle cloudapps en alle clienttypes, zonder uitzonderingen.
Voor Nederlandse organisaties die Microsoft 365 gebruiken is dit een signaal dat mfa alleen niet meer voldoende is. Beperk device-code-authenticatie tot wat nodig is en controleer regelmatig op onbekende apparaten en apps in Entra ID. Een token dat eenmaal is buitgemaakt, werkt voor een aanvaller net zo goed als een wachtwoord met geldige mfa.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.