Svindlere bruger ægte Microsoft-login til at få adgang til konti

En aktiv svindelkampagne mod Microsoft 365-brugere lokker ofrene til at godkende adgang til deres konto gennem Microsofts egen loginfunktion. Sikkerhedsforskerne i LevelBlue SpiderLabs offentliggjorde 20. oktober en analyse af Wazza, et phishingværktøj, der bruger falske dokumenthenvendelser til at føre modtageren frem til en kodegodkendelse.

Fælden er, at den sidste loginhandling kan foregå hos den rigtige udbyder. Derfor er det ikke tilstrækkeligt at kontrollere, om webadressen tilhører Microsoft. Brugeren skal også vide, hvilken handling og hvilken enhed godkendelsen giver adgang til.

Et dokument bliver indgangen

I de angrebsbølger, SpiderLabs har undersøgt, kom beskederne fra allerede kompromitterede mailkonti. De indeholdt arbejdsrelaterede PDF-dokumenter med links. Forskerne beskriver blandt andet sider, der efterligner Adobe, DocuSign og OneDrive, før modtageren bliver ført videre i loginforløbet.

Analysen viser aktivitet tilbage til mindst begyndelsen af juli 2026 og beskriver kampagnen som fortsat aktiv ved offentliggørelsen. Det nye er altså forskernes kortlægning af flere angrebsbølger og varianter, ikke at denne type svindel først er opstået nu. Materialet dokumenterer ikke et bestemt antal danske ofre.

For danske arbejdspladser med Microsoft 365 er angrebets relevans den loginmetode, det misbruger. En henvendelse om at læse eller underskrive et dokument kan ligne en almindelig arbejdsopgave, selv om det næste skridt i virkeligheden giver en anden adgang til kontoen.

Den ægte loginfunktion kan misbruges

Microsoft har selv beskrevet mekanismen i en sikkerhedsanalyse fra april. Funktionen kaldes device code flow og bruges legitimt, når en enhed ikke har et egnet tastatur eller en almindelig browser. Brugeren kan eksempelvis få en kort kode på én enhed og gennemføre login på en anden.

Ved svindel er det angriberen, der har startet adgangsanmodningen. Offeret får koden præsenteret som et nødvendigt trin og gennemfører derefter godkendelsen. Resultatet kan være, at angriberens session får adgang, selv om offeret aldrig har skrevet sin adgangskode på en falsk hjemmeside.

Det forklarer også, hvorfor en ekstra loginbekræftelse ikke automatisk afslører forsøget. Brugeren kan selv gennemføre flerfaktorgodkendelsen som led i det manipulerede forløb. Brugeren bliver vildledt om formålet med en reel godkendelse.

Stop ved en kode, du ikke selv har bedt om

Den praktiske skillelinje er, om du selv har startet den handling, koden skal godkende. En kode fra en uventet mail eller et dokument bør ikke behandles som en rutinemæssig betingelse for at læse en fil.

Microsofts generelle phishingvejledning anbefaler at være særligt opmærksom på beskeder, der kræver hurtig handling, og at kontakte en formodet afsender gennem en kendt kontaktvej, hvis man er i tvivl. Det er mere sikkert end at fortsætte dialogen via kontaktoplysninger i selve den mistænkelige besked.

På en arbejdsplads betyder det eksempelvis at spørge kollegaen via det telefonnummer eller den samtale, man allerede bruger, og få it-afdelingen til at vurdere henvendelsen. At navnet på afsenderen virker bekendt, afgør ikke, om den konkrete anmodning er legitim.

It-afdelingen kan lukke loginvejen

Microsoft anbefaler organisationer at blokere device code flow så langt som muligt. Virksomheder, der ikke bruger funktionen, kan begrænse den gennem adgangspolitikker i Microsoft Entra. Hvor den stadig er nødvendig, anbefaler Microsoft veldokumenterede og sikrede undtagelser.

Det bør ske efter en undersøgelse af den eksisterende brug. Microsofts vejledning beskriver en rapporteringstilstand, hvor administratorer først kan vurdere virkningen, før blokeringen slås til. Det er vigtigt, fordi den samme funktion også kan indgå i legitime arbejdsgange og enhedslogin.

For medarbejderen er opgaven derfor at stoppe og melde mistænkelige anmodninger. For organisationen er den at undersøge, om loginmetoden overhovedet skal være tilgængelig. De to indsatser supplerer hinanden: En teknisk begrænsning mindsker afhængigheden af, at alle altid opdager en overbevisende besked.

En godkendt kode kræver hurtig reaktion

Hvis en medarbejder allerede har indtastet koden og godkendt login, bør it-afdelingen kontaktes straks. Microsofts vejledning om denne angrebstype omfatter undersøgelse af kontoen og tilbagekaldelse af sessioner og adgangstokens. Hændelsen bør derfor ikke betragtes som afsluttet, blot fordi den mistænkelige mail er slettet.

Wazza-analysens centrale konsekvens er konkret: Kontrollen skal handle om både afsender, loginadresse og den adgang, man bliver bedt om at godkende. En ægte Microsoft-side kan bekræfte din identitet uden dermed at bekræfte, at den oprindelige anmodning kom fra en person, du bør stole på.