Microsoft 365: pavogta sesija gali apeiti MFA – kaip apsisaugoti nuo tokenų pakartojimo

Kas nutiko?

„Huntress“ aprašė 2026 m. liepos 14 d.–rugsėjo 22 d. stebėtą kampaniją: tyrėjai fiksavo 497 sėkmingus prisijungimo įvykius 79 organizacijose, daugiau kaip 200 tūkst. nesėkmingų bandymų, 97 pažeistas paskyras ir bent 48 neleistinus „Microsoft Entra“ įrenginius. Šie skaičiai apibūdina tyrėjų stebėtą veiklą, o ne visą pasaulinį incidentų mastą. „Huntress“ tyrimo aprašymas ↗

Atakos metu auka gali būti nukreipta į tarpinį prisijungimo puslapį, kuris perduoda jos veiksmus tikrajai „Microsoft“ svetainei. Auka įveda slaptažodį ir patvirtina MFA, o užpuolikas mėgina perimti jau autentifikuotos sesijos žetoną. Toks žetonas leidžia pasiekti paslaugą kaip prisijungusiam vartotojui, kol jis galioja arba kol prieiga veiksmingai atšaukiama. Kito MFA iššūkio gali nebūti, nes prisijungimo žingsnis jau įvyko. „The Hacker News“ apie kampaniją ↗

Tai nereiškia, kad MFA nebeveikia. MFA vis dar blokuoja daug slaptažodžiais paremtų atakų. Šiuo atveju problema ta, kad žmogus patvirtino prisijungimą sukčiavimo puslapyje, o užpuolikai taikėsi į paskesnę sesiją. Todėl svarbu naudoti atsparius sukčiavimui prisijungimo metodus, atidžiai vertinti netikėtas autentifikavimo užklausas ir stebėti sesijas.

Kaip užpuolikai išlaikė prieigą?

„Huntress“ nustatė atvejų, kai po prieigos gavimo užpuolikai įregistravo savo autentifikavimo priemones arba pašalino aukos metodus, taip pat įtraukė neleistinus „Entra“ įrenginius. Tai gali apsunkinti paskyros susigrąžinimą ir sudaryti sąlygas grįžti vėliau. Tyrėjai taip pat aptiko paslėptas pašto taisykles, kurios filtravo pranešimus apie darbo užmokestį, premijas ar banko sąskaitų pakeitimus. Tokia veikla gali padėti vykdyti verslo el. pašto kompromitavimo (BEC) sukčiavimą.

Organizacijoms, kurios valdo pašto persiuntimą, verta perskaityti ir mūsų atskirą „Microsoft 365“ pašto persiuntimo taisyklių auditą. Šiame incidente taisyklės yra vienas iš požymių, kuriuos tikrinti kartu su žetonais, MFA metodais ir įrenginiais.

Ką daryti įtarus paskyros perėmimą?

1. Atšaukite vartotojo prisijungimo sesijas. Naudokite „Entra“ administravimo priemones prieigai atšaukti ir vadovaukitės „Microsoft“ incidento gairėmis. Kai kurių programų prieiga gali išlikti iki esamo prieigos žetono galiojimo pabaigos, todėl pokytis nebūtinai įsigalioja visur tą pačią sekundę. „Microsoft“ prieigos atšaukimo gairės ↗
2. Pakeiskite slaptažodį, bet tuo neapsiribokite. Slaptažodžio keitimas savaime nepašalina užpuoliko įregistruoto MFA metodo ar įrenginio ir negarantuoja, kad visos aktyvios sesijos baigėsi.
3. Patikrinkite autentifikavimo metodus ir įrenginius. „Entra“ naudotojo profilyje palyginkite registruotas MFA priemones ir prijungtus įrenginius su patvirtintu inventoriumi. Pašalinkite nepažįstamus įrašus, o vartotojui iš naujo užregistruokite jo metodus pagal organizacijos procedūrą.
4. Peržiūrėkite pašto nustatymus. Patikrinkite gautųjų taisykles, persiuntimą, deleguotą prieigą ir neįprastus programų sutikimus. Ieškokite slėpimo ar filtravimo taisyklių, kurios liečia finansinius ar saugumo pranešimus.
5. Išsaugokite audito duomenis. Peržiūrėkite prisijungimų vietas, įrenginius, IP adresus, rizikos signalus ir administravimo įvykius. Užfiksuokite laiką ir pakeitimus, kad būtų galima nustatyti poveikį kitoms paskyroms.
6. Patikrinkite susijusius prisijungimus. Jei paskyra turėjo prieigą prie finansų, klientų duomenų ar administravimo, įvertinkite galimą poveikį toms sistemoms ir informuokite atsakingus darbuotojus.

Kaip sumažinti riziką iš anksto?

• Įjunkite MFA visoms paskyroms, ypač administratoriams, ir teikite pirmenybę sukčiavimui atsparesniems metodams, pavyzdžiui, „passkey“ ar FIDO2 saugos raktams ten, kur jie palaikomi.
• Ribokite administratoriaus teises, naudokite atskiras administravimo paskyras ir apsaugokite jų atkūrimo procedūras.
• Įjunkite rizika pagrįstą prisijungimų stebėseną ir perspėjimus apie naujus MFA metodus, įrenginių registraciją, įtartinas pašto taisykles bei neįprastus prisijungimus.
• Įvertinkite „Conditional Access“ politiką ir „Token Protection“ palaikymą savo įrenginių bei programų deriniui. „Microsoft“ nurodo, kad apsauga taikoma tik palaikomoms platformoms ir programoms; pirmiausia išbandykite ribotoje grupėje. „Microsoft“ Token Protection dokumentacija ↗
• Mokykite darbuotojus tikrinti prisijungimo svetainės adresą ir nepatvirtinti netikėtų MFA užklausų. Kai prisijungimas atrodo neįprastas, nutraukite procesą ir susisiekite su IT per žinomą kanalą.

MFA – svarbi, bet ne vienintelė kontrolė

Šis incidentas primena, kad tapatybės apsauga turi apimti visą paskyros gyvavimo ciklą: atsparų prisijungimą, sesijų valdymą, įrenginių registraciją, pašto pakeitimų auditą ir aiškų reagavimo procesą. Jei kyla įtarimas dėl perimtos sesijos, vien slaptažodžio pakeitimas gali palikti užpuolikui kitus prieigos kelius.