Хакеры обошли двухфакторную аутентификацию Microsoft 365 при помощи 81 миллиона попыток подбора паролей

Злоумышленники провели масштабную кибератаку на учетные записи Microsoft 365, совершив более 81 миллиона попыток входа всего за две недели. Используя метод перебора паролей (password-spraying) и уязвимости в настройках безопасности, хакеры смогли получить доступ к десяткам корпоративных аккаунтов, полностью обойдя многофакторную аутентификацию (MFA).

Механизм атаки и обход защиты

Как сообщили специалисты по информационной безопасности из компании Huntress, инцидент произошел в период с 12 по 26 июня. В ходе кампании злоумышленники использовали ранее утекшие в сеть учетные данные. Под угрозой оказались организации, в которых были неверно настроены политики условного доступа (Conditional Access Policies) в облачной среде Microsoft.

Для обхода защиты хакеры задействовали интерфейс командной строки Azure (CLI) и протокол аутентификации ROPC (Resource Owner Password Credentials), входящий в состав OAuth. Этот механизм отправляет пароль напрямую на конечную точку авторизации без вызова интерактивного запроса MFA. В результате, как только система находила совпадающую пару логина и пароля, атакующие беспрепятственно проникали в сеть. Всего за время кампании компрометации подверглись 78 учетных записей Microsoft в 64 различных организациях.

Проблемы с настройкой многофакторной аутентификации

Анализ показал, что успешность взлома была напрямую связана с ошибками при внедрении защитных мер. В отчете экспертов выделены основные сценарии, которыми воспользовались хакеры:

• Полное отсутствие многофакторной аутентификации в некоторых атакованных компаниях.
• Применение MFA только для ограниченного круга пользователей, например, исключительно для системных администраторов.
• Настройка защиты, требующая подтверждения входа только при подключении из недоверенных IP-адресов, что позволило обойти проверку при имитации входа из доверенных зон.
• Использование политик MFA в режиме «только отчет» (report-only), при котором правила безопасности фиксировались, но фактически не применялись к пользователям.

Рекомендации по безопасности

Для предотвращения подобных инцидентов ИБ-специалисты рекомендуют компаниям принять следующие защитные меры:

• Внедрить обязательную многофакторную аутентификацию для всех учетных записей без исключения, включая все облачные сервисы и клиентские приложения.
• Заблокировать доступ к использованию Azure CLI для учетных записей, не имеющих прав администратора.
• Сфокусировать мониторинг безопасности на проверке валидности учетных данных, а не только на объемах трафика от попыток подбора.

Твитнуть