Microsoft 365 sotto assedio Token Spraying: i criminali aggirano MFA rubando token e registrando device Entra fasulli

Una recente campagna di attacchi informatici contro Microsoft 365 ha mostrato come i criminali possano aggirare in modo efficace la protezione MFA sfruttando il token replay. Invece di indovinare password, gli attaccanti intercettano la sessione di accesso tramite tecniche adversary-in-the-middle, posizionandosi tra la vittima e l’infrastruttura Microsoft.

La vittima inserisce credenziali e codici MFA in una pagina di login fasulla che inoltra in tempo reale i dati alla pagina legittima, ottenendo così il token di accesso rilasciato dopo l’autenticazione.

Il punto chiave è che il token rappresenta una prova di accesso già validata. Una volta rubato, può essere riutilizzato in pochi minuti da un dispositivo controllato dagli attaccanti per eseguire accessi automatizzati ai servizi Microsoft 365. Questo metodo è stato descritto come token spraying, perché replica la logica del password spraying ma usando token rubati su larga scala e su più organizzazioni.

Nel periodo di osservazione sono stati rilevati centinaia di accessi riusciti a fronte di oltre duecentomila tentativi di login falliti, con account effettivamente compromessi e registrazione di dispositivi Entra non autorizzati. La registrazione di device fasulli è particolarmente pericolosa perché offre persistenza: un dispositivo registrato può richiedere nuovi token in modo più stabile rispetto alla sola sessione rubata e rimane in directory finché non viene rimosso.

Dopo l’accesso, gli attaccanti puntano a mantenere il controllo aggiungendo un’app di autenticazione propria tra i metodi MFA, talvolta rimuovendo quelli esistenti e registrandone di nuovi in poche ore. Un altro segnale tipico è la creazione di regole email nascoste nella casella di posta, con nomi poco visibili, per eliminare messaggi in ingresso legati a buste paga, depositi o bonus, oppure per spostarli in cartelle poco controllate. In alcuni casi la mailbox viene poi usata per inviare spam verso contatti esterni.

Per ridurre il rischio, è essenziale:

• Revocare le sessioni sospette.
• Reimpostare le password.
• Controllare i dispositivi Entra registrati.
• Verificare metodi MFA e regole inbox inattese.
• Limitare i flussi di device code phishing.

Le Conditional Access Policies aiutano a colmare i gap della MFA se applicate correttamente a tutti gli utenti, tutte le app cloud e tutti i tipi di client.