Chiến dịch phishing AitM trên Microsoft 365 nhắm vào email tài chính và nhân sự
"Researchers reported an active Microsoft 365 adversary-in-the-middle phishing campaign that hijacks accounts by proxying the Microsoft login flow, stealing credentials and MFA codes, and then maintaining sessions with rotating residential proxies. The intrusions are being used to identify and collect payroll, HR, and finance-related emails, with no CVE disclosed; mitigation centers on detecting anomalous sign-ins, session abuse, and phishing infrastructure that leverages trusted redirect chains."
Ảnh hưởng trực tiếp đến chiếm quyền tài khoản Microsoft 365, đánh cắp MFA, và truy cập hộp thư tài chính/nhân sự; có thể mở đường cho gian lận BEC và rò rỉ dữ liệu nội bộ.
Có thể gây gián đoạn quy trình payroll, invoice và thanh toán; đồng thời làm tăng rủi ro rò rỉ thông tin nhạy cảm và chi phí ứng phó sự cố.
Các nhà nghiên cứu ghi nhận một chiến dịch phishing đang hoạt động nhắm vào Microsoft 365, sử dụng kỹ thuật adversary-in-the-middle (AitM) để chặn luồng đăng nhập, đánh cắp thông tin xác thực và mã MFA, sau đó duy trì phiên truy cập bằng residential proxies luân phiên. Mục tiêu chính là xác định và thu thập email liên quan đến payroll, HR và finance trong nhiều tổ chức tại Mỹ, Canada và châu Âu.
Chuỗi tấn công thường bắt đầu từ email giả mạo theo chủ đề voicemail, dẫn nạn nhân qua một chuỗi chuyển hướng gồm các dịch vụ hợp pháp như Google Meet, Google Ads và Amazon S3 để né bộ lọc dựa trên uy tín. Trang giả mạo còn dùng JavaScript để thu thập dấu vân tay trình duyệt, hệ điều hành, múi giờ và thông tin môi trường trước khi chuyển hướng sang điểm xác thực Microsoft bị proxy.
Khuyến nghị kỹ thuật gồm: giám sát đăng nhập bất thường, phát hiện SessionID bị dùng lại từ IP/ASN khác nhau, rà soát hoạt động qua Microsoft Graph API, và kiểm tra các dấu hiệu lạm dụng phiên thay vì chỉ dựa vào thay đổi mật khẩu hay MFA. Tổ chức cũng nên tăng cường cảnh báo với email chuyển hướng nhiều tầng và các sign-in có user agent không khớp với thiết bị thực tế.