Цей матеріал згенеровано за допомогою штучного інтелекту та опубліковано без попередньої перевірки людиною. Він може містити помилки і не є професійною консультацією. Повідомити про проблему: info@delionsoft.com.
Компанія Microsoft опублікувала дослідження щодо кампаній соціальної інженерії, в яких теми паролів, багатофакторної автентифікації (MFA) та єдиного входу використовуються як приманка для захоплення корпоративних облікових записів Microsoft. Згідно з оригінальним звітом, така активність спостерігається з травня 2026 року і пов’язується з кількома суб’єктами в одній екосистемі вимагання, які відстежуються під назвами Storm-3121 та Storm-3032 і пов’язані з такими групами, як ShinyHunters, Falcon та Helix. Кінцевою метою є не реєстрація пароля, а масове викрадення документів та електронної пошти з Microsoft 365.
Що сталося
Зловмисники вивчають цільову організацію та її персонал за допомогою відкритих джерел, а потім дзвонять або надсилають повідомлення співробітникам, видаючи себе за внутрішню службу ІТ-підтримки. Приводом слугує терміновість: нібито потрібно оновити налаштування пароля, багатофакторної автентифікації (MFA) або єдиного входу (SSO), інакше доступ буде втрачено. Жертвам надсилають посилання — іноді у вигляді SMS на особистий телефон — на сторінки, що імітують вхід у систему Microsoft, або переконують їх ввести наданий код у справжню форму аутентифікації за кодом пристрою від Microsoft.
Обидва способи забезпечують зловмиснику дійсну сесію. Сторінки типу «зловмисник посередині» перехоплюють облікові дані та токени сеансу; фішинг за допомогою коду пристрою видає токен застосунку OAuth, контрольованому зловмисником, без подальшого запиту на MFA. Фішингові домени поєднують назву компанії-жертви зі словами на кшталт «пароль», «SSO» або «синхронізація ключів», часто розміщуючи назву компанії в піддомені.
Після отримання доступу компанія Microsoft зафіксувала розвідувальну діяльність через Microsoft Graph — перелік користувачів, груп, ролей каталогу, зареєстрованих методів аутентифікації, застосунків, сайтів SharePoint та поштових скриньок — після чого спостерігалася тривала активність із завантаженням даних у SharePoint Online, OneDrive for Business та, у деяких випадках, Exchange Online через REST API. Збір даних виглядає автоматизованим (було виявлено користувацький агент python-httpx), але навмисно повільним: швидкість не перевищує приблизно 1 000 файлів або електронних листів на годину, а процес триває годинами або днями. Сталість доступу зазвичай забезпечується шляхом реєстрації додаткового методу MFA, який контролює зловмисник; Microsoft зазначає, що це не зберігається після повного скидання облікових даних та сеансу.
Чому це важливо
Ця кампанія спрямована проти організацій, які вже впровадили MFA. Слабким місцем є людський фактор у процесі зміни ідентифікаційних даних, а також процедури автентифікації, про які більшість компаній навіть не замислюються, наприклад, код пристрою. Одного зламаного облікового запису з широким доступом до SharePoint достатньо для випадку вимагання викупу за викрадені дані, а SSO означає, що один і той самий токен може відкрити Google Workspace, Salesforce, Slack, Atlassian та подібні сервіси.
Невеликі команди є привабливими цілями саме тому, що служба технічної підтримки в них має неформальний характер — часто це одна людина, з якою можна зв’язатися по телефону і яка звикла швидко вирішувати проблеми. Виклики Graph, що використовуються для розвідки, є такими самими, як і ті, що здійснюють легітимні інструменти, тому виявлення залежить від послідовності та обсягу, а не від якогось окремого підозрілого запиту.
Що робити
- Вимкніть аутентифікацію за кодом пристрою в Entra ID через «Умовний доступ», якщо це не потрібно для конкретного робочого процесу, і задокументуйте, для яких саме процесів це необхідно.
- Узгодьте правило, згідно з яким ІТ-відділ ніколи не просить співробітників змінювати налаштування багатофакторної аутентифікації (MFA) або паролів-ключів під час несподіваного дзвінка, та надайте співробітникам канал перевірки для підтвердження таких запитів.
- Перейдіть на методи, стійкі до фішингу (ключі FIDO2, паролі платформи), для адміністраторів та всіх, хто має широкий доступ до SharePoint, і обмежте доступ до конфіденційних ресурсів лише керованими пристроями.
- Надавайте сповіщення про реєстрацію нового методу багатофакторної аутентифікації (MFA) одразу після незвичного входу в систему, а також про велику кількість подій
FileAccessed/FileDownloaded. Переконайтеся, що ваш контрольний список дій у разі інциденту передбачає скасування сеансів та токенів, а не лише скидання пароля.