Microsoft 365 hesaplarına token yeniden kullanım saldırısı: 79 kuruluşta 97 hesap ele geçirildi

Huntress, adversary-in-the-middle proxy'siyle oturum açma bilgilerini ve MFA kodlarını çalıp erişim token'larını yeniden kullanan bir kampanyayı belgeledi; saldırganlar bazı kuruluşlarda MFA yöntemlerini değiştirerek oturumları iptal etmeyi yetersiz kıldı.

Güvenlik firması Huntress, Microsoft 365 hesaplarını hedef alan bir kampanyayı belgeledi. Saldırganlar, oturum açma sayfalarının önüne bir adversary-in-the-middle aktarım sunucusu yerleştirerek kullanıcı adı ve parolaları, MFA kodlarını ve bunların sonucunda oluşan erişim token'larını topladı. Ele geçirilen bu token'ları kendi altyapılarından yeniden kullandılar.

Huntress'in saydığına göre 14 Temmuz ile 22 Eylül 2026 arasında 200.000'den fazla oturum açma denemesinden 497 başarılı giriş gerçekleşti. Bu girişler 79 kuruluşta 97 hesabın ele geçirilmesine yol açtı. Saldırganlar ayrıca Entra dizinlerinde 48 sahte cihaz kaydetti; böylece token talep etmeye devam edebilecekleri kalıcı bir yol elde ettiler.

En az 19 kuruluşta, ilk girişten üç saat içinde mevcut MFA yöntemleri kaldırıldı ve yerine yeni bir kimlik doğrulayıcı eklendi. Bu nedenle yalnızca oturumları iptal etmek yeterli olmuyor. Huntress; oturumları iptal edip parolaları sıfırlamayı, Entra cihazlarını denetlemeyi, MFA yöntemlerini ve gelen kutusu kurallarını gözden geçirmeyi, cihaz kodu akışlarını kısıtlamayı ve Koşullu Erişim ile tüm kullanıcılar ve uygulamalar için MFA zorunluluğu getirmeyi öneriyor.