⚠️ Atakujący włamują się do Microsoft 365 za pomocą fałszywych aplikacji OAuth — oto, co musisz wiedzieć
Cyberprzestępcy znów ewoluowali. Nowo wykryta fala ataków wykorzystuje fałszywe aplikacje Microsoft OAuth — wspierane przez zestaw phishingowy Tycoon — do przejmowania kont Microsoft 365 na całym świecie. Tylko w 2025 roku celem ataków padło już ponad 3000 kont użytkowników i 900+ tenantów.
Fałszywe aplikacje podszywające się pod zaufane marki
Według Proofpoint atakujący tworzą aplikacje OAuth, które podszywają się pod prawdziwe firmy, takie jak:
- RingCentral
- SharePoint
- Adobe
- DocuSign
- I inne…
W jednym z głośnych przypadków ofiary były przekierowywane do aplikacji o nazwie „iLSMART”, podającej się za legalny rynek części lotniczych. Użytkownicy są nakłaniani do przyznania aplikacji uprawnień dostępu w przekonaniu, że to element procesu zapytania ofertowego lub umowy handlowej.
Phishing napędzany zestawami Tycoon i ODx
Atak zaczyna się od wiadomości phishingowych wysyłanych z przejętych kont, w których odbiorca jest proszony o przejrzenie dokumentów. Kliknięcie linków prowadzi do:
- Wyglądającej na autentyczną strony Microsoft OAuth z prośbą o nadanie uprawnień.
- Niezależnie od decyzji użytkownika jest on przekierowywany do:
- Fałszywej CAPTCHA
- Strony phishingowej imitującej logowanie do Microsoft
- Wykorzystuje ona techniki adversary-in-the-middle (AiTM, atak typu „człowiek pośrodku”), aby wykraść poświadczenia oraz tokeny MFA.
Za tym wszystkim stoi Tycoon Phishing-as-a-Service (PhaaS) — coraz popularniejszy wśród cyberprzestępców zestaw narzędzi.
Narastające zagrożenia w 2025 roku
Ta kampania to tylko jedna z wielu. W innym niedawnym przypadku fałszywe aplikacje Adobe były rozpowszechniane za pośrednictwem Twilio SendGrid. Atakujący konsekwentnie łączą ze sobą:
- nadużycia OAuth
- phishing AiTM
- przechwytywanie MFA
- narzędzia RMM do zdalnego sterowania
Narzędzia RMM, takie jak FleetDeck, Action1, SuperOps i Atera, były ukrywane w plikach PDF podszywających się pod faktury lub umowy. Kampanie te od końca 2024 roku w dużej mierze skupiają się na Europie Zachodniej.
Microsoft odpowiada wzmocnieniem zabezpieczeń
W odpowiedzi Microsoft wdraża kluczowe aktualizacje zabezpieczeń do sierpnia 2025 roku:
- Domyślne blokowanie starszych metod uwierzytelniania
- Wymóg zgody administratora dla aplikacji firm trzecich
- Wyłączenie zewnętrznych łączy w skoroszytach do ryzykownych typów plików
Zmiany te mają ograniczyć nadużycia OAuth i utrudnić atakującym utrzymanie dostępu.
Co możesz zrobić
- Regularnie audytuj aplikacje OAuth w swoim środowisku M365.
- Blokuj starsze protokoły uwierzytelniania.
- Edukuj pracowników w zakresie nowoczesnych taktyk phishingowych (AiTM, nadużycia OAuth).
- Rozważ wdrożenie zasad dostępu warunkowego (Conditional Access) i Identity Protection.
Potrzebujesz pomocy w przeglądzie lub poprawie poziomu bezpieczeństwa Microsoft 365?
👉 [Skontaktuj się z Alcaeus] – eksperci w dziedzinie ochrony tożsamości i dostępu.
