חוקרי Huntress מתארים שיטת תקיפה שהם מכנים token spraying: טוקן התחברות שנגנב בעזרת אתר התחברות מזויף משמש שוב ושוב, בצורה אוטומטית, מתשתית התוקף. המשמעות היא ש-MFA לבדו לא עוצר את התקיפה אם הטוקן כבר נלכד.
הפרטים
בתקופת התצפית, 14 ביולי עד 22 בספטמבר 2026, נרשמו 497 התחברויות מוצלחות מתוך יותר מ-200 אלף ניסיונות, שהובילו לפריצה ל-97 חשבונות ב-79 ארגונים. תוקף מסוג adversary-in-the-middle יושב בין הקורבן לדף ההתחברות האמיתי, לוכד סיסמה וקוד MFA ומקבל טוקן. מקורות אחרים לטוקנים שצוינו הם פישינג מסוג device-code והנדסה חברתית בזמן התחברות לגיטימית.
כדי לשמור גישה, התוקפים רשמו אפליקציית אימות ו-48 התקנים לא לגיטימיים ב-Entra. לפחות ב-19 ארגונים הוסרו שיטות MFA קיימות ונוספה אחרת בתוך שלוש שעות מההתחברות הראשונה. בתיבות הדואר נוצרו כללים עם שמות מעורפלים, כמו . או sss, שמחקו או הסתירו הודעות עם מילות מפתח כמו שכר, הפקדה ובונוס. חלק מהפעילות יוחסה לטווח 193.26.115.0/24.
נקודות לשים לב
- אחרי חשד לפריצה לא מספיק להחליף סיסמה: בטל הפעלות פעילות, ובדוק שיטות MFA שנוספו ללא ידיעתך.
- סקור את ההתקנים הרשומים ב-Entra והסר לא מוכרים, ובדוק אפליקציות ארגוניות חדשות.
- חפש כללי דואר עם שמות קצרים או חסרי משמעות שמוחקים הודעות בנושאי כספים.
- הגבל את זרימת device-code באמצעות Conditional Access; Huntress ממליצה גם לדרוש MFA או לחסום עבור כל המשתמשים, כל האפליקציות וכל סוגי הלקוחות, ללא תנאים.
- לא נכון להסיק שהבעיה היא ב-MFA עצמו: היא במעבר הטוקן אחרי אימות. מקור הדיווח לא מציין ערכת פישינג מסוימת.
מקורות: Huntress · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
