Фишинг напаѓачите ги искористуваат корисниците на Office 365 кои ја намалиле внимателноста

Microsoft соопшти дека Office 365 корисниците (тенанти) со слаби конфигурации и без строго вклучена заштита од spoofing се особено ранливи. Напаѓачите користат сложени измамнички техники во фишинг нападите за да ги наведат примателите на е-пошта да поверуваат дека пораката е испратена од внатрешноста на организацијата.

Ова го наведува Microsoft Threat Intelligence, кој на 6 јануари објави истражување посветено на тоа како напаѓачите успеале да ги лажираат (spoof) домените на таргетираните организации во Office 365 со цел да олеснат фишинг напади.

Како што објаснува Microsoft, напаѓачите успеваат да лажираат домени преку „сложени сценарија за рутирање и погрешно конфигурирани заштити од spoofing“ кај одредени Office 365 тенанти. Иако ова не е нова техника ниту е специфична само за Microsoft производи, компанијата бележи зголемена употреба од мај 2025 година. Со успешно лажирање на домен, заканувачите полесно ги наведуваат примателите да поверуваат дека фишинг пораката е легитимна внатрешна комуникација.

Во изминатата година се забележани значајни подобрувања во алатките што ги користат фишинг групите – од бројни phishing-as-a-service (PhaaS) платформи до нови техники како ClickFix. Иако фишингот може да изгледа како застарен нападен вектор, напаѓачите и понатаму се потпираат на него бидејќи сè уште функционира. И денес, доволни се малку социјален инженеринг и слаба безбедносна поставеност за сајберкриминалците да добијат целосен пристап.

Бран spoofing напади го погоди Office 365

Microsoft наведува дека тенантите кои ги конфигурирале своите mail exchanger (MX) записи да покажуваат кон нешто различно од Office 365 и немаат строго спроведена заштита од spoofing се особено изложени на овој проблем.
„Поставувањето строги политики за Domain-based Message Authentication, Reporting, and Conformance (DMARC) со режим ‘reject’, како и SPF ‘hard fail’ (наместо ‘soft fail’), заедно со правилна конфигурација на сите third-party конектори, ќе спречи фишинг напади што лажираат домени на организации“, соопшти Microsoft.

Без соодветни заштитни мерки, напаѓачите можат да испраќаат е-пораки кои нормално би паднале дури и на основни безбедносни проверки (на пример, кога адресата на примателот е наведена како испраќач, а пораката доаѓа од надворешна IP адреса). Поради сложеното рутирање и слабата заштита од spoofing кај тенантот, системот не успева да ги препознае овие пораки како злонамерни и тие стигнуваат до корисниците.

Како и кај многу фишинг напади насочени кон компании, дел од пораките се претставуваат како сервиси како DocuSign или како комуникација од одделот за човечки ресурси што бара најава или ресетирање на лозинка. Во вакви случаи, целта се пренасочува кон фишинг страница каде што може да ги предаде своите акредитиви. Во други ситуации, пораката може да изгледа како е-пошта од сметководство или извршен директор со барање за плаќање фактура.

Како да се заштитите од email spoofing и фишинг напади

Microsoft истакнува дека голем дел од фишинг нападите што ги забележал во 2025 година потекнувале од PhaaS платформи како Tycoon2FA, кои им овозможуваат и на напаѓачи со ниско техничко знаење лесно да спроведуваат фишинг кампањи.

„Во октомври 2025 година, Microsoft Defender for Office 365 блокираше повеќе од 13 милиони злонамерни е-пораки поврзани со Tycoon2FA, вклучувајќи и многу напади со лажирање на домени на организации“, се наведува во истражувањето. „PhaaS платформите како Tycoon2FA им обезбедуваат на заканувачите цел сет на можности, поддршка, подготвени фишинг мамки и инфраструктура за изведување напади и компромитирање на акредитиви.“

Како што нагласува Microsoft, email spoofing не е нов проблем. Ова најново истражување е уште еден пример како неправилната конфигурација на тенант може да создаде сериозни безбедносни последици.

Microsoft им препорачува на организациите да спроведат строги DMARC политики, да се осигураат дека third-party конекторите се правилно конфигурирани и да имплементираат автентикација отпорна на фишинг. Ова вклучува користење FIDO2 безбедносни клучеви, passkeys преку апликации за автентикација или други форми на повеќефакторска автентикација, како што е опишано во блогот.

Извори:

• DarkReading – Phishers Exploit Office 365 Users Who Let Their Guard Downs DarkReading