В июне 2026 года в финансовом секторе резко выросло число атак, построенных на штатном механизме подтверждения входа от Microsoft. Вредоносных файлов в письмах нет. Поддельной страницы с полем для пароля тоже нет. Сотрудник сам проходит проверку и тем самым открывает постороннему доступ к своей рабочей среде. От первого письма до закрепления в инфраструктуре компании проходит три минуты.
Описание
Схема опирается на приём, придуманный для техники без удобной клавиатуры. Телевизор, платёжный терминал или промышленный датчик показывают на экране короткий код. Человек вводит его на официальной странице Microsoft с телефона или ноутбука и подтверждает вход. Сервер возвращает токен доступа - набор данных, который подтверждает права вошедшего, - тому устройству, которое запросило код. Злоумышленник запрашивает код первым, готовит приманку и передаёт код жертве. Жертва доводит вход до конца, включая многофакторную аутентификацию. Проверку прошёл живой сотрудник, а не программа.
Разбор конкретного случая показывает, как это выглядит на практике. Несколько сотрудников одной организации получили письмо со счётом-приманкой: вложение в формате PDF и ссылка внутри него. Отправителем числился взломанный ящик сторонней компании, а само письмо шло через доверенную почтовую инфраструктуру Microsoft, поэтому фильтры репутации пропустили его без замечаний. И ссылка, и вложение вели на поддельный портал, копирующий интерфейс сервиса Adobe Acrobat Sign. Вместо формы ввода пароля посетитель видел код, кнопку копирования и инструкцию перейти на настоящую страницу Microsoft.
Исследование CyberProof Threat Research показало, что дальше события развиваются по минутам. Первый сотрудник открыл письмо в 13:54, через минуту перешёл по ссылке, в 13:56 завершил вход. Уже в 13:57 в каталоге Entra ID (облачная служба Microsoft для управления учётными записями и доступами) появилось новое устройство, подконтрольное атакующему. Автоматическое оповещение сработало в 14:15, то есть через восемнадцать минут после регистрации. Сессию отозвали и пароль сменили в 14:45, а лишнее устройство удалили только в 15:34.
Второй сотрудник прошёл тот же путь двадцать три минуты позже. Письмо ему доставили в 13:54, вложение он открыл в 14:16, вход завершил в 14:19. Ни один автоматический сигнал не сработал. О компрометации узнали лишь в 15:30, когда специалисты, разбиравшие первый случай, расширили поиск по журналам входов. Сессии второго пользователя отозвали в 15:41. Посторонний человек семьдесят минут читал корпоративную почту.
Поиск опирался на инфраструктуру атакующего. В одной кампании злоумышленники обычно используют одни и те же серверы и адреса выхода для нескольких целей, меняя лишь домены и шаблоны страниц. Правило, привязанное к одной учётной записи, такого совпадения не замечает. Когда сопоставили входы по нескольким аккаунтам, картина сложилась: один и тот же внешний источник завершил вход по коду устройства от имени двух сотрудников. По отдельности каждый вход выглядел обычным.
При разборе таких случаев обычно смешивают три группы людей. Одним письмо просто пришло. Другие перешли по ссылке. Третьи довели вход до конца. Реальная компрометация касается только третьей группы, и срочно изолировать нужно именно её.
Главная потеря - не украденный токен, а зарегистрированное устройство. Токен истекает или отзывается. Запись об устройстве живёт долго: она переживает смену пароля, может удовлетворять требованиям политик условного доступа (правил, по которым Microsoft решает, кому и с какого устройства разрешён вход) и открывает доверенный путь обратно в среду. Любое подтверждённое срабатывание схемы стоит рассматривать как инцидент с регистрацией устройства, а проверку списка устройств включать в обязательные шаги разбора.
Один случай не отражает общей картины. За второй и третий кварталы 2026 года подтверждено пять вторжений, а за предыдущие шесть месяцев таких эпизодов было заметно меньше. Рост - четыреста процентов. Банки, страхование, розничная торговля и автопром в Европе, на Ближнем Востоке и в Африке. Внешние оценки масштаб подтверждают: Huntress сообщает о росте на 1380 процентов, CrowdStrike - о пятнадцатикратном увеличении в первом полугодии, Push Security - о тридцати семи с половиной раза больше приманок к апрелю, Microsoft видит от десяти до пятнадцати новых кампаний каждые сутки.
Перелом произошёл в феврале 2026 года. До этого схема оставалась нишевой из-за ручной подготовки каждой кампании. Появление EvilTokens - коммерческого набора "фишинг как услуга", который продают по подписке, - убрало этот барьер. Готовые страницы-обманки под сервисы Microsoft, Adobe Acrobat, DocuSign и SharePoint, шаблоны писем про счета, совещания и зарплату, код для копирования теперь выдаются подписчику в готовом виде. Техническая подготовка перестала быть узким местом, и объём атак вырос сразу.
Защита строится на отказе от самого механизма там, где он не нужен. Политики условного доступа позволяют запретить вход по коду устройства и оставить исключения только для явно одобренных сервисов и групп разработчиков. Регистрацию личных устройств разумно ограничить, а любые новые записи о них - отслеживать отдельно. Срок жизни сессий и токенов обновления сокращают, чтобы перехваченный доступ жил как можно меньше времени. Сотрудникам пригодится простая памятка: рабочий сервис не просит скопировать код и вставить его на другой странице, чтобы открыть обычный счёт или договор.
Индикаторы компрометации
