Microsoft 365 hesaplarını hedefleyen token-spraying saldırıları yayılıyor

Huntress araştırmacıları, dünya genelindeki kurumsal Microsoft 365 ortamlarını hedefleyen yaygın bir business email compromise (BEC) kampanyası tespit etti. Temmuz-eylül 2026 arasında 79 müşteri kuruluşundaki şüpheli oturum açma olaylarının incelenmesiyle ortaya çıkarılan operasyonda, kurumsal ağlara erişmek için yüz binlerce deneme yapıldı; saldırılarda sahte giriş sayfaları, device-code phishing, sosyal mühendislik ve çalınmış oturum belirteçleri birlikte kullanıldı.

Araştırmacılar, kampanya kapsamında en az 200 bin giriş denemesi ve 497 başarılı oturum açma gözlemledi. Adversary-in-the-middle (AiTM) saldırılarıyla ele geçirilen belirteçler, gerçek giriş ve MFA doğrulamasının ardından üretildiği için saldırganların hesabı yeniden kullanırken MFA adımını geçmesine olanak sağladı. Bazı vakalarda belirteçlerin çalınmasından yalnızca birkaç dakika sonra ortama erişim sağlandı.

Saldırganlar kalıcılığı artırmak için kurbanların MFA ayarlarını silip kendi telefonlarını ekledi, gelen kutularında belirli iletileri gizleyen kurallar oluşturdu ve Entra ayarlarında kendi cihazlarını kayıtlı cihaz olarak tanımladı. Ele geçirilen posta kutularından payroll temalı phishing iletileri de gönderildi. Huntress, riski azaltmak için uygun yapılandırılmış Conditional Access Policies kullanılmasını; olası token replay durumunda oturumların iptal edilmesini, parolanın sıfırlanmasını, Entra cihazları ve MFA yöntemlerinin denetlenmesini ve gelen kutusu kurallarının incelenmesini öneriyor.

-
Kaynak: https://www.infosecurity-magazine.com/news/tokenspraying-attacks-target/

Bu içerik GPT-5.6-LUNA modeli ile hazırlandı.