Atak phishingowy na Microsoft 365 omija 2FA. Jak się chronić?

Nowa, zaawansowana kampania phishingowa wymierzona w użytkowników Microsoft 365 z łatwością omija uwierzytelnianie dwuskładnikowe (2FA), które do tej pory uznawano za jeden z filarów bezpieczeństwa. Eksperci ds. cyberbezpieczeństwa ostrzegają przed narzędziem „EvilTokens”, które wykorzystuje legalny proces logowania, co znacznie utrudnia wykrycie zagrożenia i naraża dane firmowe na kradzież.

„EvilTokens” – phishing dostępny jako usługa

Analitycy z firmy ESET zidentyfikowali nowe zagrożenie, które pojawiło się na kanałach komunikatora Telegram na początku 2026 roku. Narzędzie o nazwie EvilTokens działa w modelu „phishing-as-a-service”, co oznacza, że jest sprzedawane jako gotowy produkt. Dzięki temu nawet osoby bez zaawansowanej wiedzy technicznej mogą przeprowadzać skomplikowane ataki. W krótkim czasie od pojawienia się narzędzia, zostało ono wykorzystane w kampanii skierowanej przeciwko ponad 340 organizacjom w kilku krajach.

Ofiara otrzymuje zazwyczaj wiadomość e-mail, która wygląda jak zaproszenie do wspólnej pracy nad dokumentem lub faktura. Po kliknięciu w link użytkownik jest przekierowywany na stronę, która inicjuje legalny proces logowania do usług Microsoft. W tym momencie atakujący przechwytują token uwierzytelniający, który pozwala im uzyskać dostęp do konta ofiary, omijając potrzebę podawania hasła i kodu 2FA. Co więcej, Microsoft opisał również wariant tego ataku wspierany przez sztuczną inteligencję, w którym proces generowania kodów urządzeń i personalizacji wiadomości phishingowych jest w pełni zautomatyzowany, co zwiększa jego skuteczność.

Dlaczego tradycyjne 2FA to za mało?

Przez lata uwierzytelnianie dwuskładnikowe było rekomendowane jako kluczowy element zabezpieczeń. Ataki takie jak ten z użyciem EvilTokens pokazują jednak, że cyberprzestępcy stale adaptują swoje metody. Problem nie leży w złamaniu samego mechanizmu 2FA, ale w socjotechnice, która skłania użytkownika do nieświadomego autoryzowania sesji atakującego.

Phishing ewoluuje i coraz częściej omija zabezpieczenia, które przez lata uznawano za standard ochrony firmowych kont. Najnowsze kampanie pokazują, że nawet ta warstwa zabezpieczeń może okazać się niewystarczająca, jeśli użytkownik zostanie nakłoniony do autoryzowania sesji cyberprzestępcy.

W tym scenariuszu systemy bezpieczeństwa odnotowują w pełni legalne logowanie, co utrudnia szybką identyfikację incydentu. Atakujący, uzyskując dostęp do konta, mogą kraść dane, rozsyłać złośliwe oprogramowanie wewnątrz organizacji lub prowadzić dalsze, bardziej zaawansowane działania.

Jak chronić konto Microsoft 365 w 2026 roku?

Ochrona przed tak zaawansowanymi atakami wymaga wielowarstwowego podejścia, które wykracza poza standardowe uwierzytelnianie. Eksperci zalecają wdrożenie kompleksowej strategii bezpieczeństwa, która opiera się na narzędziach i odpowiednich procedurach. Kluczowe działania obejmują:

• Wykorzystanie zintegrowanych narzędzi Microsoft: Usługi takie jak Windows Defender mogą chronić użytkownika zarówno lokalnie, jak i w chmurze. Z kolei Microsoft Defender for Office 365 pozwala na zaawansowane dostrojenie polityk antyphishingowych i wykorzystanie mechanizmu Office 365 Threat Intelligence do identyfikacji podobnych zagrożeń.
• Centralizacja i analiza alertów: Skuteczna obrona polega na gromadzeniu i analizowaniu danych telemetrycznych oraz alertów z wielu źródeł w jednym miejscu. Pozwala to na szybsze wykrycie anomalii i zidentyfikowanie poszczególnych etapów ataku.
• Szybka reakcja na incydenty: W przypadku naruszenia bezpieczeństwa konta, priorytetem jest jego natychmiastowe zabezpieczenie i zablokowanie dalszych prób wyłudzenia informacji. Należy niezwłocznie zmienić dane uwierzytelniające i przeanalizować aktywność na koncie.

Konieczne jest również stałe edukowanie pracowników w zakresie rozpoznawania prób phishingu, zwłaszcza tych, które naśladują legalne procesy i komunikację wewnątrz firmy.

Źródła

Izabela Myszkowska, „Nowy atak na Microsoft 365 omija uwierzytelnianie 2FA”, Brandsit, 2026. https://brandsit.pl/nowy-atak-na-microsoft-365-omija-uwierzytelnianie-2fa/

Niebezpiecznik.pl, „Jak ograniczyć ataki phishingowe w środowisku Windows i Office 365?”, https://niebezpiecznik.pl/post/jak-ograniczyc-ataki-phishingowe-w-srodowisku-windows-i-office-365/

Microsoft Learn, „Dostrajanie ochrony przed wyłudzaniem informacji”, https://learn.microsoft.com/pl-pl/defender-office-365/anti-phishing-protection-tuning