לפי Huntress: פישינג Device Code דרך Railway חדר ל-344 ארגוני Microsoft 365
Huntress תיארה קמפיין פישינג שבו קורבנות הקלידו קוד בדף ההתחברות האמיתי של Microsoft. התוקפים קיבלו גישה בלי סיסמה, דרך תשתית Railway, ו-MFA לא עצר אותם.
TL;DR בקצרה
- לפי Huntress, הקמפיין חדר ל-344 ארגוני Microsoft 365 בין 2 ל-19 במרץ 2026, בארה״ב, בקנדה, באוסטרליה, בניו זילנד ובגרמניה.
- הקורבנות הקלידו קוד בדף ההתחברות האמיתי של Microsoft. התוקף קיבל אסימוני OAuth שתקפים עד 90 יום, ו-MFA לא עוצר זאת.
- Railway אומרת ש-Huntress פנתה אליה ב-6 במרץ, ושהיא חסמה את החשבונות והדומיינים.
- ב-23 במרץ 2026 שייכה Huntress את הפעילות לשירות הפישינג EvilTokens. Huntress ממליצה לחסום Device Code ב-Conditional Access.
לפי Huntress, קמפיין פישינג שמבוסס על Device Code חדר ל-344 ארגוני Microsoft 365 בין 2 ל-19 במרץ 2026. התוקפים השתמשו בתשתית של Railway, פלטפורמת ענן שמאפשרת להעלות אפליקציות במהירות. הקורבנות הקלידו קוד בדף ההתחברות האמיתי של Microsoft. כך התוקפים קיבלו גישה בלי לגנוב סיסמה.
Device Code: איך הפישינג עוקף סיסמה ו-MFA
Device Code הוא מנגנון התחברות למכשירים שקשה להקליד בהם, כמו טלוויזיה חכמה, מדפסת או מסוף. המכשיר מציג קוד, והמשתמש מקליד אותו בדף ההתחברות של Microsoft.
בהתקפה, התוקף מבקש קוד מ-Microsoft ושולח אותו לקורבן בהודעה משכנעת. דף הנחיתה מציג את הקוד ואת הכפתור Continue to Microsoft. הכפתור פותח את דף ההתחברות האמיתי.
הקורבן מקליד את הקוד, את הסיסמה ואת קוד האימות הדו-שלבי. אז Microsoft מנפיקה אסימוני OAuth, והתוקף אוסף אותם. אסימון הרענון תקף עד 90 יום, ו-MFA לא עוצר את התהליך. לפי The Hacker News, האסימונים נשארים בתוקף גם אחרי איפוס סיסמה.
ההודעות היו מגוונות. Huntress ספרה כ-24 בקשות להצעת מחיר בענף הבנייה ועוד כ-23 הודעות על מסמך מאובטח בסגנון DocuSign. היו גם הודעות על שיחה קולית ועל הסכם שותפות. הקישורים עברו דרך שירותי הפניה של Cisco, של Trend Micro ושל Mimecast, כדי לעקוף מסנני דואר.
מה Huntress ו-Railway אומרות על הקמפיין
לפי Huntress, שלוש כתובות IP של Railway אחראיות לכ-84% מהאירועים. היא ראתה את הפעילות הראשונה ב-19 בפברואר, ועלייה חדה ב-2 במרץ. הארגונים שנפגעו כוללים משרדי עורכי דין, חברות בנייה, עמותות, נדל״ן, תעשייה, פיננסים, בריאות וגופי ממשל.
Huntress מעריכה שהקורבנות שזיהתה הם חלק קטן מהמספר האמיתי. לפי CyberScoop, המספר עשוי להגיע לאלפים. עד יום שישי 20 במרץ היא ראתה מעל 50 פריצות ביום, שקשורות לדומיינים של Railway.
Angelo Saraceno מ-Railway אמר ל-CyberScoop ש-Huntress פנתה אליה ב-6 במרץ. לדבריו, Railway חסמה את החשבונות והדומיינים. הוא הסביר שהמערכות שלה מחפשות קשרים, כמו כרטיסי אשראי חוזרים וקוד משותף. כשקמפיין מתחמק מהסימנים האלה, הוא מגיע רחוק מהרצוי לה.
לפי CyberScoop, החוקרים חושדים ש-AI יצר את ההודעות, כי אין שני מיילים או דומיינים זהים. Huntress עצמה לא ראתה פריסה בעזרת AI בתוך Railway. ב-23 במרץ היא עדכנה את הפוסט ושייכה את הפעילות לשירות EvilTokens. זו פלטפורמת פישינג כשירות, שהפוסט הראשון שלה בטלגרם הופיע ב-16 בפברואר.
איך חוסמים Device Code ב-Microsoft 365
Huntress ממליצה לחסום את זרימת Device Code ב-Conditional Access, ולאשר אותה רק למי שצריך. היא ממליצה גם לחפש כניסות מוצלחות מכתובות של Railway. כל כניסה כזו נחשבת אצלה לפריצה מאושרת.
אחרי זיהוי יש לבטל את אסימוני הרענון של המשתמש. אסימון גישה שכבר הונפק עלול להישאר בתוקף כשעה, אלא אם Continuous Access Evaluation, או CAE, פעיל. בנוסף, Huntress מציעה לדרוש מכשירים תואמים לגישה ל-Exchange Online ול-SharePoint.
מה קרה מאז: ב-30 במרץ 2026 תיארה Sekoia את EvilTokens כערכת פישינג מוכנה, שנמכרת כשירות מאמצע פברואר. ב-22 בספטמבר 2026 הודיעה Microsoft שתפסה 50 אתרים והשביתה מעל 150 דומיינים של EvilTokens, יחד עם שותפים כמו Railway.
מה זה אומר עבורכם
- חסמו Device Code: ב-Entra, בנו כלל Conditional Access שחוסם את זרימת Device Code. הוציאו מהכלל רק משתמשים שצריכים אותה באמת.
- חפשו כניסות חריגות: בדקו ביומני הכניסה פניות מכתובות של Railway. כניסה מוצלחת אחת מצדיקה טיפול כבפריצה.
- בטלו אסימונים: אם זיהיתם משתמש חשוד, בטלו את אסימוני הרענון שלו. הפעילו CAE כדי לקצר את חלון הסיכון.
- דרשו מכשירים תואמים: הגבילו את הגישה ל-Exchange Online ול-SharePoint למכשירים שעומדים בדרישות. כך אסימון גנוב כבר לא מספיק.
- הסבירו לעובדים: גם דף Microsoft אמיתי יכול לשמש בתקיפה. אם מישהו מבקש מכם להקליד קוד, אל תעשו זאת בלי לוודא מי ביקש.
- כבר לחצתם על קישור חשוד? מה עושים ב-24 השעות הראשונות, לפי CyberGuard.
מקורות והרחבה
- Threat Actors Abuse Railway.com PaaS as Microsoft 365 Token Attack InfrastructureHuntress
- An AI-powered phishing campaign has compromised hundreds of organizationsCyberScoop
- Device Code Phishing Hits 340+ Microsoft 365 Orgs Across Five Countries via OAuth AbuseThe Hacker News
- Disrupting EvilTokens: The AI chatbot built for cybercrimeMicrosoft On the Issues
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
