Chiến dịch password-spraying nhắm tài khoản Microsoft 365 với hơn 81 triệu lượt đăng nhập
"Huntress reported an aggressive password-spraying campaign against Microsoft 365 environments that generated over 81 million login attempts in two weeks and compromised 78 accounts across 64 organizations. Attackers used valid credentials from prior breaches via Azure CLI and the ROPC OAuth flow to bypass MFA in environments where Conditional Access policies were misconfigured or not enforced; remediation requires enforcing MFA for all cloud apps and flows, avoiding ROPC where possible, and correcting CAP scope and enforcement."
Nguy cơ cao do password-spraying kết hợp ROPC có thể làm bypass MFA khi CAP không bao phủ đúng luồng; hậu quả là tài khoản bị chiếm quyền trên nhiều tổ chức.
Tác động vận hành đáng kể vì có thể gây gián đoạn truy cập và tăng chi phí điều tra/khắc phục; phạm vi ảnh hưởng qua 64 tổ chức cho thấy rủi ro lan rộng trong hệ sinh thái khách hàng.
Một chiến dịch password-spraying nhắm vào môi trường Microsoft 365 đã tạo ra hơn 81 triệu lượt đăng nhập trong khoảng 2 tuần. Theo ghi nhận của Huntress (quan sát từ 12/6 đến 26/6), tác nhân đe doạ đã thử xác thực bằng các cặp username/password vẫn còn hiệu lực nhưng từng bị lộ trong các vụ rò rỉ trước đó.
Khi tìm được thông tin đăng nhập hợp lệ, kẻ tấn công sử dụng Azure CLI để truy cập và sau đó xác thực qua cơ chế OAuth ROPC (Resource Owner Password Credentials). Cách này có thể bypass MFA trong nhiều môi trường do Conditional Access Policy (CAP) được cấu hình không bao phủ đúng luồng tấn công hoặc không được thực thi.
Kết quả được báo cáo gồm 78 tài khoản bị xâm phạm trên 64 tổ chức. Huntress cũng nêu các dấu hiệu sai cấu hình phổ biến: MFA chỉ áp dụng cho một số ứng dụng thay vì All Cloud Apps, MFA chỉ bắt buộc với nhóm người dùng nhất định (ví dụ quản trị viên), CAP chỉ yêu cầu MFA từ vị trí “không tin cậy”, hoặc chính sách ở chế độ report-only. Một số tổ chức không có chính sách MFA.
Khuyến nghị: bắt buộc MFA cho mọi ứng dụng/luồng cloud, hạn chế hoặc tránh ROPC, đồng thời rà soát lại phạm vi và chế độ enforcement của CAP để đảm bảo chính sách được áp dụng thực sự.