Minacce · 3 ore fa
Huntress ha documentato una campagna durata 10 settimane che ha compromesso account Microsoft 365 in 79 organizzazioni usando token di accesso rubati, non password indovinate.
Le vittime accedevano tramite un relay che mostrava la vera schermata Microsoft e la richiesta MFA. Dopo il login, l'attaccante tratteneva il token emesso da Microsoft e poteva riutilizzarlo senza password né una nuova MFA.
Dispositivi Entra non autorizzati e regole nascoste della casella aggiungevano persistenza e potevano celare l'accesso. Reimpostare la password, da sola, non invalida i token sottratti né rimuove queste modifiche. Il caso mostra che, in Microsoft 365 e nei servizi d’identità che rilasciano sessioni riutilizzabili dopo la MFA, il controllo superato non basta a rendere innocuo un token rubato.
3 fonti che coprono questa storia
Microsoft 365 accounts compromised at 79 organizations, no passwords needed - Help Net Security
An attacker used stolen sessions to break into Microsoft 365 accounts at 79 organizations, bypassing MFA and setting up hidden inbox rules
Widespread Token-Spraying Attacks Target Microsoft 365 Accounts
Security researchers identified attempts to access corporate networks which have been linked to a major Microsoft 365-targeted BEC campaign using phishing, stolen session tokens and social engineering
M365 Token Spray and Replay Campaign Compromises Business Email Accounts | Huntress
Huntress tracked a 10-week Microsoft 365 campaign pairing AiTM relays with token replay, rogue Entra devices, MFA tampering, and hidden inbox rules.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-10-23