Se han visto comprometidas cuentas de Microsoft 365 en 79 organizaciones; no se necesitaron contraseñas

Una cam­pa­ña de ata­ques ci­ber­né­ti­cos logró vul­ne­rar cuen­tas de Mi­cro­soft 365 en casi ochen­ta en­ti­da­des dis­tin­tas me­dian­te el uso de se­sio­nes de ini­cio pre­via­men­te sus­traí­das. Los ata­can­tes em­plea­ron mé­to­dos como pá­gi­nas de au­ten­ti­ca­ción fal­sas del tipo "ad­ver­sary-in-the-midd­le" y téc­ni­cas de "phishing" ba­sa­das en có­di­gos de dis­po­si­ti­vos, lo que les per­mi­tió apro­piar­se de los to­kens de se­sión emi­ti­dos tras la au­ten­ti­ca­ción mul­ti­fac­tor y elu­dir la ne­ce­si­dad de con­tra­se­ñas.

Una vez ob­te­ni­das las cre­den­cia­les de ac­ce­so, los in­tru­sos re­pli­ca­ron los to­kens a gran es­ca­la desde ser­vi­do­res de un pro­vee­dor de alo­ja­mien­to y uti­li­za­ron re­glas ocul­tas en las ban­de­jas de en­tra­da para ocul­tar los co­rreos a los pro­pios usua­rios. Ade­más, mo­di­fi­ca­ron los mé­to­dos de au­ten­ti­ca­ción mul­ti­fac­tor en va­rias de las or­ga­ni­za­cio­nes afec­ta­das y re­gis­tra­ron equi­pos fal­sos en los di­rec­to­rios Mi­cro­soft Entra para man­te­ner el ac­ce­so in­clu­so des­pués de que las se­sio­nes ori­gi­na­les ex­pi­ra­ran.

La in­ves­ti­ga­ción de este com­por­ta­mien­to, de­no­mi­na­do "token spra­ying", re­ve­ló que los ac­ce­sos ilí­ci­tos se pro­du­cían mi­nu­tos des­pués de que las víc­ti­mas in­ter­ac­tua­ran con las so­li­ci­tu­des de au­ten­ti­ca­ción le­gí­ti­mas. Ante esta si­tua­ción, los es­pe­cia­lis­tas su­gie­ren la im­ple­men­ta­ción de po­lí­ti­cas de ac­ce­so con­di­cio­nal para blo­quear o exi­gir ma­yo­res re­qui­si­tos de se­gu­ri­dad y han com­par­ti­do guías de mi­ti­ga­ción e in­di­ca­do­res de com­pro­mi­so para ayu­dar a los ad­mi­nis­tra­do­res a con­te­ner estas in­tru­sio­nes.