Phishing pod pozorem Microsoftu: jak działa atak przez Microsoft Entra

Kampania phishingowa wykorzystująca powiadomienia Microsoftu to atak, w którym przestępcy wykorzystują legalne funkcje systemu uwierzytelniania, by wyłudzić dane logowania od użytkowników i organizacji. Wykrywcą tej taktyki jest firma Kaspersky, a jej skala w 2026 roku jest znacząca.

Jak oszuści podszywają się pod powiadomienia Microsoftu?

Mechanizm opiera się na tym, że wiadomości wyglądają jak zwykłe komunikaty z ekosystemu Microsoft. Pod pozorem aktualizacji danych logowania albo konieczności podpisania dokumentu ofiara jest skłaniana do kliknięcia linku. Ponieważ nadawcą wydaje się sam Microsoft, czujność użytkowników często spada.

Ustawienie Redirect URI w Microsoft Entra

Pierwsza metoda polega na nadużyciu konfiguracji aplikacji w usłudze Microsoft Entra. Przestępcy zakładają konto Microsoft, otwierają centrum administracyjne Entra i tworzą nową aplikację, a następnie ustawiają w niej adres Redirect URI. Dzięki temu po kliknięciu linku użytkownik trafia na stronę, która kradnie dane, albo na witrynę rozsyłającą złośliwe oprogramowanie. Cała ścieżka wygląda na autoryzowany proces logowania, co utrudnia jego zdemaskowanie.

Phishing w treści powiadomień Microsoft Entra

Druga metoda jest bardziej podstępna. Oszuści umieszczają fałszywą wiadomość bezpośrednio w polu nazwy wyświetlanym na pulpicie nawigacyjnym aplikacji. Ofiara może zobaczyć taki komunikat jako część zaufanego interfejsu, a nie jako zwykły mail.

Ile wiadomości zablokowano i jakie konta są wykorzystywane?

Kaspersky odnotował w okresie od 1 sierpnia do 18 września 2026 roku blokady na poziomie przekraczającym 31 000 wiadomości e-mail. Według danych wykrywcy przestępcy sięgają po tanie licencje lub konta testowe, co pozwala im prowadzić kampanię przy minimalnych kosztach.

Element ataku	Opis
Wykrywca	Kaspersky
Okres blokad	1 sierpnia – 18 września 2026
Zablokowane wiadomości	ponad 31 000
Pretekst	aktualizacja danych logowania lub podpisywanie dokumentów
Metoda 1	nadużycie Redirect URI w Microsoft Entra
Metoda 2	treść phishingu w powiadomieniach Microsoft Entra
Źródło kont	tanie licencje lub konta testowe

Dlaczego system wysyła kody weryfikacyjne, o które nie prosiłeś?

Jednym z najbardziej mylących elementów kampanii jest adres ofiary podawany jako zapasowy e-mail do odzyskiwania hasła. Atakujący wpisują go tak, by system sam wysłał ofierze kod weryfikacyjny, mimo że nigdy o niego nie wnioskowała. Kod często staje się kolejnym narzędziem w rękach oszustów, a jego nieoczekiwane pojawienie się powinno być sygnałem alarmowym.

Jak rozpoznać podejrzaną wiadomość?

Najskuteczniejszą zasadą jest weryfikacja treści i adresu przekierowania. Zanim kliknie się link, warto sprawdzić, dokąd naprawdę prowadzi, i zastanowić się, czy taka prośba pasuje do rzeczywistych działań w organizacji. Podejrzany jest zwłaszcza link wskazujący na nieznaną aplikację lub nagłe żądanie logowania bez wyraźnego powodu.

Kaspersky wskazuje dwa kierunki działań. Dla użytkowników są to rozwiązania antyphishingowe, a dla organizacji lepsze wykrywanie i blokowanie zagrożeń. Komentarz w tej sprawie przedstawia Andriej Kowtun, kierownik zespołu ochrony poczty w Kaspersky.

Co to oznacza dla Ciebie?

Kampania pokazuje, że phishing nie zawsze wygląda jak nieudolna wiadomość z błędami. Może korzystać z zaufanych mechanizmów usługi, które użytkownik zna i stosuje na co dzień. Jeśli korzystasz z kont Microsoft lub pracujesz w środowisku opartym na Microsoft Entra, sprawdzaj każde powiadomienie o aktualizacji danych, zanim wpiszesz hasło. Zwróć uwagę także na nieoczekiwane kody weryfikacyjne, bo mogą oznaczać, że ktoś próbuje przejąć dostęp do Twojego konta.