MFA już nie wystarczy - jak AuthQuake i Device Code Phishing rozbijają ochronę Microsoft 365

Przez wiele lat hasło plus kod z aplikacji uwierzytelniającej było złotym standardem ochrony kont biznesowych. Microsoft sprzedawał to jako wystarczającą tarczę dla ponad 400 milionów płatnych użytkowników pakietu Office 365. Badacze z Oasis Security właśnie pokazali, że ta tarcza miała dziurę wielkości stodoły - a atakujący mogli przez nią przejść, nie budząc nikogo ze snu.

To nie jedyne złe wieści. Równolegle z ujawnieniem AuthQuake rośnie fala ataków Device Code Phishing, w których ofiara samodzielnie - i zupełnie poprawnie - loguje się do prawdziwej strony Microsoftu, a mimo to oddaje dostęp do swojego konta. Mówimy o dwóch zupełnie różnych wektorach ataku, które łączy jedno: tradycyjne uwierzytelnianie wieloskładnikowe (MFA) przestało być wystarczające.

AuthQuake: godzina, brak powiadomień, 50% szans na sukces

Oasis Security - firma specjalizująca się w zarządzaniu tożsamościami niemającymi postaci człowieka - zgłosiła krytyczną lukę Microsoftowi pod koniec czerwca 2024 roku. Atak, nazwany AuthQuake, trafił do Microsoftu w późnym czerwcu, tymczasowa poprawka pojawiła się kilka dni później, a stała naprawa wyszła w październiku.

Oasis ujawniło krytyczną lukę w implementacji uwierzytelniania wieloskładnikowego (MFA) Microsoftu, która umożliwiała atakującym uzyskanie nieautoryzowanego dostępu do kont użytkowników, w tym do poczty Outlook, plików OneDrive, czatów Teams oraz usług Azure Cloud. Microsoft ma ponad 400 milionów płatnych stanowisk Office 365. Obejście ochrony zajmowało średnio tylko godzinę, nie wymagało żadnej interakcji użytkownika i nie generowało żadnych powiadomień.

Skąd taka skuteczność? Luka wynikała z dwóch słabości procesu weryfikacji: kody TOTP pozostawały ważne przez trzy minuty zamiast standardowych 30 sekund, a atakujący mógł prowadzić nieograniczoną liczbę prób w ramach wielu równoczesnych sesji. Badacze obliczyli, że mieli 3% szansy na odgadnięcie poprawnego kodu w jednej sesji. Po 24 sesjach - trwających łącznie nieco ponad 70 minut - szansa przekroczenia 50% progresywnie rosła, co dawało napastnikom bardzo dobre widoki na sukces.

Uwaga ⚠️

AuthQuake działał wyłącznie wtedy, gdy atakujący znał już login i hasło ofiary. Sam w sobie nie kradł danych uwierzytelniających - był ostatnim krokiem po wcześniejszym wycieku lub phishingu hasłowym.

Po zgłoszeniu przez Oasis Security Microsoft potwierdził problem 24 czerwca 2024 roku, wdrożył tymczasową poprawkę 4 lipca, a stałe rozwiązanie uruchomił 9 października 2024 roku. Naprawa polegała na wprowadzeniu znacznie ostrzejszego limitu liczby prób, który aktywuje się po kilku nieudanych wejściach i obowiązuje przez około pół doby.

Device Code Phishing: ofiara robi wszystko sama - i poprawnie

Gdyby AuthQuake był problemem technicznym w implementacji Microsoftu, Device Code Phishing to coś znacznie bardziej perfidnego - atak na logikę samego użytkownika. Mechanizm Device Code flow został pierwotnie zaprojektowany dla urządzeń z ograniczonym interfejsem, takich jak telewizory smart i systemy konferencyjne. Atakujący przechwycili ten legalny mechanizm, by przeprowadzać przejęcia kont na bazie tokenów, omijając uwierzytelnianie wieloskładnikowe (MFA) w całości.</p

Device Code Phishing nie omija uwierzytelniania wieloskładnikowego (MFA) w sensie technicznym - powoduje, że ofiara samodzielnie i poprawnie wykonuje uwierzytelnianie w imieniu atakującego. Założenie bezpieczeństwa wbudowane w większość wdrożeń uwierzytelniania wieloskładnikowego (MFA) - że posiadanie czynnika uwierzytelniającego koreluje z intencją użytkownika - przestaje być prawdziwe, gdy przepływ autoryzacji jest inicjowany przez atakującego, a użytkownik zostaje socjotechnicznie nakłoniony do jego zatwierdzenia.

Atakujący rejestruje aplikację OAuth i generuje unikalny kod urządzenia, który trafia do ofiary drogą e-mailową. Ofiara klika złośliwy link, trafia na stronę podszywającą się pod Microsoft 365 i zostaje poproszona o e-mail oraz wyświetlony kod. Następnie przechodzi na prawdziwy portal Microsoftu (microsoft.com/devicelogin), wpisuje kod i uwierzytelnia się z własnym hasłem i uwierzytelnianiem wieloskładnikowym (MFA). W tym momencie platforma tożsamości Microsoftu wydaje ważny token OAuth - który atakujący natychmiast przechwytuje.

Protip ✅

Jeśli kiedykolwiek dostajesz e-mail z prośbą o wpisanie kodu na stronie microsoft.com/devicelogin - a nie inicjowałeś sam żadnego logowania na urządzeniu - zatrzymaj się. To prawdopodobnie właśnie ten atak.

Token odświeżający to tutaj kluczowy artefakt. Tokeny dostępu są krótkotrwałe, ale tokeny odświeżające mogą pozostawać ważne przez tygodnie lub miesiące w zależności od konfiguracji środowiska - i przeżywają zmiany hasła. Innymi słowy: nawet jeśli ofiara po fakcie zmieni hasło, atakujący nadal ma dostęp.

Kampanie tego typu nasilają się od września 2025 roku, co oznacza wyraźne przejście od ograniczonych, ukierunkowanych ataków do masowego wykorzystywania tej techniki. Pojawienie się platformy EvilTokens Phishing-as-a-Service w lutym 2026 roku oznaczało pełną komercjalizację tej techniki - dostępnej teraz nawet dla mniej zaawansowanych technicznie grup przestępczych.

Co to oznacza dla Twojego działu IT

Połączenie AuthQuake i Device Code Phishing tworzy obraz, który powinien niepokoić każdego administratora środowisk Microsoft 365. Ten trend odzwierciedla szerszy odwrót od klasycznej kradzieży haseł w kierunku nadużywania nowoczesnych przepływów uwierzytelniania w celu obejścia uwierzytelniania wieloskładnikowego (MFA). Mówiąc prościej: napastnicy przestali atakować hasła, bo stało się to zbyt trudne. Atakują teraz samą logikę autoryzacji.

Ponieważ w Device Code Phishing nie ma fałszywej domeny, formularza zbierającego dane ani podejrzanego przekierowania - tylko prawdziwa strona uwierzytelniania Microsoftu - tradycyjne mechanizmy wykrywania phishingu mają tu bardzo ograniczone zastosowanie. Szkolenia koncentrujące się na sprawdzaniu adresów URL czy certyfikatów nie odpowiadają na tę klasę ataków.

Co zrobić? Jeśli Twoja organizacja nie używa Device Code flow dla urządzeń publicznych lub współdzielonych, rozważ jego całkowite wyłączenie - to eliminuje ten wektor ataku w całości. Pilnie przejrzyj i cofnij uprawnienia dla podejrzanych lub nieznanych aplikacji OAuth w centrum administracyjnym Microsoft 365. Regularnie audytuj logi logowania pod kątem zdarzeń uwierzytelniania przez kod urządzenia i szukaj logowań z niestandardowych lokalizacji.

Protip ✅

W Entra ID możesz ograniczyć Device Code flow przez polityki dostępu warunkowego (Conditional Access). To jedno z najskuteczniejszych działań prewencyjnych - i zajmuje mniej niż godzinę konfiguracji.

Odkrycie AuthQuake przypomina, że bezpieczeństwo to nie tylko wdrożenie uwierzytelniania wieloskładnikowego (MFA) - musi być ono też poprawnie skonfigurowane. Skuteczność uwierzytelniania wieloskładnikowego (MFA) zależy od kluczowych ustawień, takich jak limity prób i powiadomienia o nieudanych logowaniach. Te funkcje nie są opcjonalne - są krytyczne dla zachowania widoczności i szybkiego reagowania na podejrzaną aktywność.