Microsoft חושפת קמפיין פישינג בנושא code of conduct שפנה ל-35,000 משתמשים

ב-4 במאי 2026 חשפה Microsoft קמפיין פישינג בנושא code of conduct, שהתחזה להודעות משמעת פנימיות. התוקפים שלחו הודעות למעל 35,000 משתמשים ב-13,000 ארגונים, ב-26 מדינות. הקמפיין נמשך בין 14 ל-16 באפריל. מטרתו הייתה לגנוב אסימוני כניסה של Microsoft 365, וכך לעקוף אימות דו-שלבי רגיל.

איך נראה קמפיין ה-code of conduct

ההודעות הגיעו תחת שמות תצוגה כמו Internal Regulatory COC, Workforce Communications ו-Team Conduct Report. הן טענו שנפתחה סקירת code of conduct, והזכירו את שם הארגון. ההודעות הורו לנמען לפתוח צרופה אישית. נושאי המייל עסקו ביומן מקרה לפי מדיניות ההתנהגות, ובתזכורת שהמעסיק פתח תיק אי-ציות.

הקובץ היה PDF בשם כמו Awareness Case Log File או Disciplinary Action. בתוכו היה קישור בשם Review Case Materials. המייל כלל גם באנר שהודעה הגיעה בערוץ פנימי מורשה. בנוסף היה בו באנר ירוק מזויף, שטען להצפנה דרך Paubox, שירות דוא״ל שמצפין הודעות.

ההודעות עברו את בדיקות האימות של הדואר. התוקפים שלחו אותן דרך שירות משלוח לגיטימי, ממספר דומיינים שבשליטתם. כלומר, בדיקות אימות הכתובת לא סימנו אותן כחשודות.

איך הקמפיין עוקף אימות דו-שלבי

הקישור הוביל לאתר של התוקפים, עם CAPTCHA של Cloudflare. Microsoft מעריכה שהוא נועד לעכב ניתוח אוטומטי וארגזי חול. אחר כך הציג האתר הודעה שהמסמכים בהצפנה ושצריך להזדהות, עם כפתור Review & Sign. הקורבן הזין את כתובת המייל שלו, פתר CAPTCHA שני וקיבל הודעה שהאימות הצליח.

האתר השלישי התאים את ההפניה למכשיר, נייד או מחשב. הוא ביקש לקבוע שיחה על התיק, וזה דרש כניסה עם Microsoft. הכפתור Sign in with Microsoft הוביל לדף כניסה אמיתי של Microsoft. התוקפים העבירו אותו דרך שרת ביניים.

זו שיטת AiTM, adversary-in-the-middle. הקורבן מבצע אימות דו-שלבי אמיתי, והתוקפים מעתיקים את האסימון (token) שנוצר בסיום. עם האסימון הם נכנסים לחשבון בלי סיסמה ובלי אימות נוסף. לפי Microsoft, שיטה כזו עוקפת אימות שאינו עמיד לפישינג. Microsoft מציינת גם סימנים לפישינג בקוד מכשיר, אך אישרה רק את חלק ה-AiTM.

איך מתגוננים מהתקפות כמו code of conduct

Microsoft ממליצה על כמה שכבות הגנה. ראשית, כדאי לעבור לשיטות כניסה בלי סיסמה, למשל Windows Hello, מפתחות FIDO או Microsoft Authenticator. בחשבונות מנהל כדאי לדרוש אימות עמיד לפישינג, באמצעות מדיניות Conditional Access. שנית, יש להפעיל הגנות דואר ב-Defender for Office 365: קישורים בטוחים (Safe Links) וצרופות בטוחות (Safe Attachments).

חשוב גם להפעיל ZAP, ההסרה האוטומטית של מיילים זדוניים אחרי שהגיעו לתיבה. בנוסף, Microsoft ממליצה על הדרכת עובדים וסימולציות פישינג. מי שחושד שמשתמש לחץ יכול לחפש מיילים עם אותם נושאים וקישורים ב-Threat Explorer ולהסיר אותם.

סימני אזהרה לניטור מופיעים בבלוג. ב-Entra ID Protection אלה התראות על אסימון חריג ועל מאפייני כניסה לא מוכרים. ב-Defender for Cloud Apps זו התראה על נסיעה בלתי אפשרית.

עוד ב-GEEKLIK: Microsoft השביתה את EvilTokens: שירות פישינג עם צ׳טבוט AI שפרץ ל-12,000 תיבות דואר