В выпуске за 13 ноября 2026 года – три наблюдения за device-code phishing, атака на веб-почту Университета Тюбингена и рассылка из настоящего Microsoft 365 через захваченную CRM. В двух случаях успешное использование токена не доказано, а в атаке на университет возможная утечка паролей ещё проверяется.
Device-code phishing маскируется под рабочие действия
Код устройства выдали за номер бронирования встречи
Huntress 12 ноября описала целевую атаку на сотрудника строительной компании в США, произошедшую в середине октября [1]. Злоумышленники зарегистрировали домен-двойник другой компании и выдали себя за её настоящего старшего вице-президента. Письмо предлагало обсудить долгосрочные поставки, а ссылка была обёрнута Microsoft Safe Links и прошла через Google share.google.
Поддельный планировщик Microsoft Teams просил выбрать дату, время и продолжительность встречи. После этого сервер запускал штатный механизм входа Microsoft по коду устройства. Сам код страница называла «Booking Reference» и копировала в буфер обмена при подтверждении встречи. Затем открывался настоящий сайт Microsoft, где пользователь вводил код и при необходимости проходил многофакторную аутентификацию, но тем самым разрешал сеанс атакующего.
Huntress зафиксировала успешную аутентификацию через Microsoft Authentication Broker и получение сессионного токена. Центр мониторинга быстро остановил атаку, поэтому дальнейшего развития инцидента не было. Набор скрывал код в зашифрованном JavaScript, использовал жилой прокси и мог заново запустить процедуру, если Microsoft требовала дополнительную проверку. Названия обеих компаний и атрибуция не раскрыты.
Hidden Relay убрал код из интерфейса
KnowBe4 Threat Lab 12 ноября раскрыла другой вариант, обнаруженный при анализе письма о срочном согласовании NDA [2]. Письмо пришло через Mandrill с корректными SPF, DKIM и DMARC. Ссылка проходила через сервис отслеживания кликов, Cloudflare Workers, CAPTCHA и проверки на песочницу или автоматизированный браузер.
Набор запускал OAuth2DeviceAuth и получал девятисимвольный код со сроком действия 900 секунд, но не показывал его пользователю. Сервер заранее открывал сеанс Microsoft Authentication Broker и помещал в фишинговую страницу параметры Microsoft ctx, flowToken и canary. После ввода адреса браузер переходил на настоящий login.microsoftonline.com, где пароль и MFA обрабатывала Microsoft.
Исследователи сравнили внутреннее состояние двух страниц и обнаружили один и тот же 810-байтный flow token. Это подтвердило, что сервер атакующего подготовил сеанс до действий жертвы. Если бы пользователь завершил вход, злоумышленник мог получить токены Microsoft Graph. Но KnowBe4 не утверждает, что конкретная жертва прошла аутентификацию или что токены были выданы и использованы. Страна, организация и последствия не установлены.
Особенность Hidden Relay – сочетание device-code phishing с заранее подготовленным состоянием сеанса без живого обратного прокси. Поэтому правила, которые ищут переход на страницу ввода кода или повторное использование украденной cookie, могут не сработать. Поскольку вход происходит на настоящем домене Microsoft, один только passkey или FIDO2 тоже не устраняет риск. Основная мера – запретить device-code flow для пользователей, которым он не нужен, и отслеживать OAuth2DeviceAuth для Microsoft Authentication Broker.
Nightwatch нашла атаку по событиям браузера
Detections AI 10 ноября сообщила о поиске по телеметрии неназванной организации [3]. На компьютере сотрудника отдела продаж нашли цепочку из PDF, страницы Google Sites, домена-двойника сервиса документов и настоящей страницы входа Microsoft. Тот же процесс Edge отправил код на endpoint авторизации через 19 секунд после загрузки страницы.
SIEM и EDR предупреждений не создали, а доступные журналы Entra не показывали метод аутентификации. Исследователи отличили подозрительную цепочку от легитимного входа администратора: в обычном случае страница кода открылась после установки PowerShell-модулей и без внешнего перенаправления. За 30 дней других компьютеров с тем же доменом или страницей Google Sites не нашли.
Проверка подтверждает, что пользователь ввёл код после фишинговой цепочки, но не доказывает выдачу токена атакующему, доступ к почте или файлам. Доставка PDF по электронной почте вероятна, однако телеметрия этого прямо не установила. При поиске таких атак полезно коррелировать запуск браузера из почтового клиента или PDF с переходом на страницу device-code входа в течение 15 минут, а не реагировать на каждый такой вход отдельно.
Веб-почта и подключённые приложения
Университет Тюбингена отключил webmail после атаки
Университет Тюбингена 11 ноября сообщил об атаке на webmail.uni-tuebingen.de с целью перехвата паролей [4]. Её заметили и остановили в ночь с 10 на 11 ноября, после чего веб-почту превентивно отключили. Нельзя исключить утечку паролей у людей, которые были авторизованы в системе между 22:00 и 00:00.
Потенциально затронутым учётным записям выдали новые начальные пароли. SWR 12 ноября подтвердил отключение системы и сообщил, что связь с другим инцидентом той же недели расследуют [5]. В первой атаке из-за ошибки конфигурации похитили около 3900 записей сотрудников, но университет не установил связь между событиями. Число возможных жертв новой атаки, устройство фишинговой цепочки и подтверждённые последствия не опубликованы.
Захваченная CRM отправляла письма из настоящего ящика
Cyber Unit 11 ноября опубликовала разбор инцидента у анонимизированного малого бизнеса в Канаде или США [6]. В течение примерно трёх дней злоумышленник входил в общую учётную запись облачной CRM по одному паролю с зарубежных адресов. Способ получения пароля неизвестен. На третий день он создал персонализированную рассылку с просьбой подтвердить платёжные данные.
CRM уже имела делегированное разрешение Microsoft Graph Mail.Send и действующий refresh token. Около 200 писем менее чем за два часа ушли из настоящего Microsoft 365 ящика со штатными SPF, DKIM и DMARC. Атакующий не входил в Microsoft 365, поэтому MFA и Conditional Access видели обычное приложение и обычные обновления токена с инфраструктуры поставщика CRM.
Первые признаки появились примерно через 30 минут как автоответы и возвраты писем. Отправка остановилась примерно через 1 час 45 минут по неизвестной причине. Ещё около 40 минут спустя отзыв сеансов Entra отрезал CRM от почты, а несколько сотен писем в очереди не ушли. Cyber Unit сопоставила Exchange message trace, историю устройств CRM и обычные обновления токена, но название поставщика и независимое подтверждение деталей отсутствуют.
Этот случай требует проверять не только Microsoft 365, но и все приложения с доступом Mail.Send или Mail.Read. Для самих CRM, сервисов подписи, планировщиков и помощников нужны MFA или единый вход, отдельные учётные записи и контроль очереди рассылок. При компрометации следует отозвать сеансы, удалить отложенные письма, сбросить пароль SaaS-сервиса и проверить разрешения приложения.
Источники
[1] Huntress, 12 ноября 2026
https://www.huntress.com/blog/crafty-microsoft-teams-booking-flow-disguises-device-code-phishing
[2] KnowBe4 Threat Lab, 12 ноября 2026
https://blog.knowbe4.com/the-hidden-relay-inside-a-device-code-phishing-kit-that-never-shows-the-code
[3] Detections AI, 10 ноября 2026
https://detections.ai/resources/blog/nightwatch-in-action-how-nightwatch-traced-a-device-code-phish-that-ended-on-microsoft-s-own
[4] Университет Тюбингена, 11 ноября 2026
https://uni-tuebingen.de/universitaet/aktuelles-und-publikationen/meldung/nutzersperrungen-nach-angriff-auf-webmail-1/
[5] SWR, 12 ноября 2026
https://www.swr.de/swraktuell/baden-wuerttemberg/tuebingen/cyberangriff-auf-webmail-der-universitaet-tuebingen-100.html
[6] Cyber Unit, 11 ноября 2026
https://cyberunit.com/insights/crm-account-takeover-phishing-microsoft-365