Как мошенники отправляют фишинговые письма с реального адреса Microsoft
Злоумышленники используют функции Microsoft Entra ID и настройки арендатора Microsoft 365, чтобы система Microsoft сама отправляла фишинговые письма. Сообщения приходят с настоящего адреса msonlineservicesteam@microsoftonline.com и проходят проверки SPF, DKIM и DMARC, поэтому выглядят технически легитимными.
Злоумышленники используют функции Microsoft Entra ID и настройки арендатора Microsoft 365, чтобы система Microsoft сама отправляла фишинговые письма.
Сообщения приходят с настоящего адреса msonlineservicesteam@microsoftonline.com и проходят проверки SPF, DKIM и DMARC, поэтому выглядят технически легитимными.
Исследователи и антиспам‑организации сообщают, что схема используется уже несколько месяцев и основана на массовом создании одноразовых Microsoft 365‑тенантов.
How are scammers exploiting a vulnerability in Microsoft’s systems to send phishing emails from the legitimate address msonlineservicesteam@Attackers manipulate Microsoft account workflows so phishing emails are sent through Microsoft’s own infrastructure, making them appear authentic.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: How are scammers exploiting a vulnerability in Microsoft’s systems to send phishing emails from the legitimate address msonlineservicesteam@. Article summary: Scammers appear to be abusing Microsoft’s own notification workflow so Microsoft’s infrastructure sends the phishing email for them, which is why messages can come from the legitimate address msonlineservicesteam@microso. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Sophisticated Phishing Campaign Exploiting Microsoft 365 Infrastructure. This technique effectively bypasses traditional email security controls by exploiting inherent trust mech" source context "Microsoft 365 Phishing Campaign: Attack Breakdown - Guardz" Reference image 2: visual subject "Attackers exploit Microsoft Entra ID
openai.com
Обычно фишинговые письма пытаются подделать адрес отправителя или используют домены, похожие на настоящие. В этой кампании злоумышленники пошли дальше — они заставляют саму Microsoft отправлять письма за них.
Исследователи и журналисты заметили, что подозрительные сообщения приходят с реального служебного адреса msonlineservicesteam@microsoftonline.com, который обычно используется для уведомлений о безопасности аккаунта и кодов подтверждения. Поскольку письмо действительно отправляется инфраструктурой Microsoft, оно может выглядеть технически подлинным и проходить стандартные проверки почтовой безопасности.
По данным исследователей, подобная активность продолжается уже несколько месяцев. При этом речь не идет о взломе серверов Microsoft — злоумышленники используют обычные механизмы работы учетных записей и уведомлений.
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Как мошенники отправляют фишинговые письма с реального адреса Microsoft»?
Злоумышленники используют функции Microsoft Entra ID и настройки арендатора Microsoft 365, чтобы система Microsoft сама отправляла фишинговые письма.
Какие ключевые моменты необходимо проверить в первую очередь?
Злоумышленники используют функции Microsoft Entra ID и настройки арендатора Microsoft 365, чтобы система Microsoft сама отправляла фишинговые письма. Сообщения приходят с настоящего адреса msonlineservicesteam@microsoftonline.com и проходят проверки SPF, DKIM и DMARC, поэтому выглядят технически легитимными.
Что мне делать дальше на практике?
Исследователи и антиспам‑организации сообщают, что схема используется уже несколько месяцев и основана на массовом создании одноразовых Microsoft 365‑тенантов.
Как мошенники отправляют фишинговые письма с реального адреса Microsoft
Злоумышленники используют функции Microsoft Entra ID и настройки арендатора Microsoft 365, чтобы система Microsoft сама отправляла фишинговые письма. Сообщения приходят с настоящего адреса msonlineservicesteam@microsoftonline.com и проходят проверки SPF, DKIM и DMARC, поэтому выглядят технически легитимными.
Злоумышленники используют функции Microsoft Entra ID и настройки арендатора Microsoft 365, чтобы система Microsoft сама отправляла фишинговые письма.
Сообщения приходят с настоящего адреса msonlineservicesteam@microsoftonline.com и проходят проверки SPF, DKIM и DMARC, поэтому выглядят технически легитимными.
Исследователи и антиспам‑организации сообщают, что схема используется уже несколько месяцев и основана на массовом создании одноразовых Microsoft 365‑тенантов.
How are scammers exploiting a vulnerability in Microsoft’s systems to send phishing emails from the legitimate address msonlineservicesteam@Attackers manipulate Microsoft account workflows so phishing emails are sent through Microsoft’s own infrastructure, making them appear authentic.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: How are scammers exploiting a vulnerability in Microsoft’s systems to send phishing emails from the legitimate address msonlineservicesteam@. Article summary: Scammers appear to be abusing Microsoft’s own notification workflow so Microsoft’s infrastructure sends the phishing email for them, which is why messages can come from the legitimate address msonlineservicesteam@microso. Topic tags: general, general web. Reference image context from search candidates: Reference image 1: visual subject "# Sophisticated Phishing Campaign Exploiting Microsoft 365 Infrastructure. This technique effectively bypasses traditional email security controls by exploiting inherent trust mech" source context "Microsoft 365 Phishing Campaign: Attack Breakdown - Guardz" Reference image 2: visual subject "Attackers exploit Microsoft Entra ID
openai.com
Обычно фишинговые письма пытаются подделать адрес отправителя или используют домены, похожие на настоящие. В этой кампании злоумышленники пошли дальше — они заставляют саму Microsoft отправлять письма за них.
Исследователи и журналисты заметили, что подозрительные сообщения приходят с реального служебного адреса msonlineservicesteam@microsoftonline.com, который обычно используется для уведомлений о безопасности аккаунта и кодов подтверждения. Поскольку письмо действительно отправляется инфраструктурой Microsoft, оно может выглядеть технически подлинным и проходить стандартные проверки почтовой безопасности.
По данным исследователей, подобная активность продолжается уже несколько месяцев. При этом речь не идет о взломе серверов Microsoft — злоумышленники используют обычные механизмы работы учетных записей и уведомлений.
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Как мошенники отправляют фишинговые письма с реального адреса Microsoft»?
Злоумышленники используют функции Microsoft Entra ID и настройки арендатора Microsoft 365, чтобы система Microsoft сама отправляла фишинговые письма.
Какие ключевые моменты необходимо проверить в первую очередь?
Злоумышленники используют функции Microsoft Entra ID и настройки арендатора Microsoft 365, чтобы система Microsoft сама отправляла фишинговые письма. Сообщения приходят с настоящего адреса msonlineservicesteam@microsoftonline.com и проходят проверки SPF, DKIM и DMARC, поэтому выглядят технически легитимными.
Что мне делать дальше на практике?
Исследователи и антиспам‑организации сообщают, что схема используется уже несколько месяцев и основана на массовом создании одноразовых Microsoft 365‑тенантов.
Анализ кампании показывает, что она связана с использованием возможностей Microsoft Entra ID (ранее Azure Active Directory) и настроек брендинга арендатора.
Типичная схема выглядит так:
Создание нового тенанта Microsoft 365
Злоумышленники регистрируют новый Microsoft 365‑тенант, часто используя временный домен вида *.onmicrosoft.com. Это дает им доступ к стандартным административным настройкам.
Изменение полей брендинга
В настройках Entra ID можно задать название организации и другие элементы брендинга. Исследователи обнаружили, что злоумышленники помещают прямо в эти поля текст мошеннического сообщения — например предупреждение о «покупке», «подозрительной операции» или номер телефона «службы поддержки».
Запуск системного уведомления
Далее атакующий инициирует легитимное действие — например добавление нового email‑адреса для входа или восстановления аккаунта. Вместо своего адреса он указывает email жертвы.
Отправка письма системой Microsoft
После этого Microsoft автоматически отправляет уведомление на указанный адрес. Поскольку шаблон письма содержит название организации или элементы брендинга тенанта, мошеннический текст оказывается встроенным в официальное письмо Microsoft.
Фактически злоумышленник вставляет фишинговый текст внутрь настоящего системного уведомления Microsoft.
Какие уловки используют злоумышленники
Исследователи отмечают несколько приемов, которые делают письма более убедительными и помогают обходить фильтры:
Манипуляция темой письма — длинный текст мошенничества помещается в поле названия организации и попадает в тему или предпросмотр сообщения.
Похожие символы (homoglyphs) — использование похожих букв и специальных символов, чтобы обойти фильтры ключевых слов.
Скрытые номера телефонов — цифры могут заменяться буквами или необычными символами, чтобы автоматические антиспам‑системы не распознали номер.
Почему такие письма выглядят настоящими
Главная проблема в том, что письмо не является обычной подделкой.
Поскольку сообщение отправляется из инфраструктуры Microsoft, оно проходит проверки подлинности электронной почты — SPF, DKIM и DMARC. Многие почтовые системы используют именно эти механизмы, чтобы убедиться, что отправитель настоящий.
Кроме того, получатель видит знакомый адрес отправителя, связанный с уведомлениями о безопасности аккаунта Microsoft. Это повышает доверие даже тогда, когда содержание письма вызывает сомнения.
Что сообщили исследователи и антиспам‑организации
Расследования журналистов и специалистов по безопасности показали, что:
мошеннические письма с адреса Microsoft приходили в разные почтовые ящики и имели похожую структуру;
в сообщениях использовались типичные сценарии — уведомления о покупке, проблемах с оплатой или срочные обращения в «службу поддержки»;
злоумышленники массово создают и быстро удаляют тенанты Microsoft 365, действуя по схеме «создал‑использовал‑выбросил».
Антиспам‑эксперты также критиковали возможность слишком гибко настраивать текст в автоматических уведомлениях. По их мнению, если контроль слабый, доверенная инфраструктура может превратиться в канал распространения фишинга.
При этом на момент публикации сообщений Microsoft публично не подтверждала точную техническую причину проблемы.
Как понять, что письмо от Microsoft подозрительное
Даже если адрес отправителя настоящий, стоит обращать внимание на контекст. Тревожные признаки:
уведомление о покупке или платеже, который вы не совершали;
просьба срочно позвонить по номеру поддержки;
ссылки для «срочного решения проблемы с аккаунтом»;
коды подтверждения для действий, которые вы не инициировали.
Адрес отправителя сам по себе больше не является надежным признаком подлинности.
Что делать, если пришло подозрительное письмо
Если вы получили такое сообщение:
не переходите по ссылкам и не звоните по указанным номерам;
откройте сервис Microsoft вручную, введя официальный адрес сайта в браузере;
проверьте активность аккаунта в панели безопасности;
пометьте письмо как фишинг или спам в почтовом клиенте;
если вы уже взаимодействовали с письмом, смените пароль и проверьте историю входов.
Этот случай показывает растущую тенденцию в киберпреступности: вместо поддельных доменов злоумышленники все чаще используют доверенную инфраструктуру крупных платформ, что делает фишинг значительно убедительнее и сложнее для обнаружения.
helpnetsecurity.comThreat actors weaponize OAuth redirection logic to deliver ...
Анализ кампании показывает, что она связана с использованием возможностей Microsoft Entra ID (ранее Azure Active Directory) и настроек брендинга арендатора.
Типичная схема выглядит так:
Создание нового тенанта Microsoft 365
Злоумышленники регистрируют новый Microsoft 365‑тенант, часто используя временный домен вида *.onmicrosoft.com. Это дает им доступ к стандартным административным настройкам.
Изменение полей брендинга
В настройках Entra ID можно задать название организации и другие элементы брендинга. Исследователи обнаружили, что злоумышленники помещают прямо в эти поля текст мошеннического сообщения — например предупреждение о «покупке», «подозрительной операции» или номер телефона «службы поддержки».
Запуск системного уведомления
Далее атакующий инициирует легитимное действие — например добавление нового email‑адреса для входа или восстановления аккаунта. Вместо своего адреса он указывает email жертвы.
Отправка письма системой Microsoft
После этого Microsoft автоматически отправляет уведомление на указанный адрес. Поскольку шаблон письма содержит название организации или элементы брендинга тенанта, мошеннический текст оказывается встроенным в официальное письмо Microsoft.
Фактически злоумышленник вставляет фишинговый текст внутрь настоящего системного уведомления Microsoft.
Какие уловки используют злоумышленники
Исследователи отмечают несколько приемов, которые делают письма более убедительными и помогают обходить фильтры:
Манипуляция темой письма — длинный текст мошенничества помещается в поле названия организации и попадает в тему или предпросмотр сообщения.
Похожие символы (homoglyphs) — использование похожих букв и специальных символов, чтобы обойти фильтры ключевых слов.
Скрытые номера телефонов — цифры могут заменяться буквами или необычными символами, чтобы автоматические антиспам‑системы не распознали номер.
Почему такие письма выглядят настоящими
Главная проблема в том, что письмо не является обычной подделкой.
Поскольку сообщение отправляется из инфраструктуры Microsoft, оно проходит проверки подлинности электронной почты — SPF, DKIM и DMARC. Многие почтовые системы используют именно эти механизмы, чтобы убедиться, что отправитель настоящий.
Кроме того, получатель видит знакомый адрес отправителя, связанный с уведомлениями о безопасности аккаунта Microsoft. Это повышает доверие даже тогда, когда содержание письма вызывает сомнения.
Что сообщили исследователи и антиспам‑организации
Расследования журналистов и специалистов по безопасности показали, что:
мошеннические письма с адреса Microsoft приходили в разные почтовые ящики и имели похожую структуру;
в сообщениях использовались типичные сценарии — уведомления о покупке, проблемах с оплатой или срочные обращения в «службу поддержки»;
злоумышленники массово создают и быстро удаляют тенанты Microsoft 365, действуя по схеме «создал‑использовал‑выбросил».
Антиспам‑эксперты также критиковали возможность слишком гибко настраивать текст в автоматических уведомлениях. По их мнению, если контроль слабый, доверенная инфраструктура может превратиться в канал распространения фишинга.
При этом на момент публикации сообщений Microsoft публично не подтверждала точную техническую причину проблемы.
Как понять, что письмо от Microsoft подозрительное
Даже если адрес отправителя настоящий, стоит обращать внимание на контекст. Тревожные признаки:
уведомление о покупке или платеже, который вы не совершали;
просьба срочно позвонить по номеру поддержки;
ссылки для «срочного решения проблемы с аккаунтом»;
коды подтверждения для действий, которые вы не инициировали.
Адрес отправителя сам по себе больше не является надежным признаком подлинности.
Что делать, если пришло подозрительное письмо
Если вы получили такое сообщение:
не переходите по ссылкам и не звоните по указанным номерам;
откройте сервис Microsoft вручную, введя официальный адрес сайта в браузере;
проверьте активность аккаунта в панели безопасности;
пометьте письмо как фишинг или спам в почтовом клиенте;
если вы уже взаимодействовали с письмом, смените пароль и проверьте историю входов.
Этот случай показывает растущую тенденцию в киберпреступности: вместо поддельных доменов злоумышленники все чаще используют доверенную инфраструктуру крупных платформ, что делает фишинг значительно убедительнее и сложнее для обнаружения.
helpnetsecurity.comThreat actors weaponize OAuth redirection logic to deliver ...
techcrunch.comScammers are abusing an official Microsoft email address to send ...
abnormal.aiHow Attackers Force Microsoft to Send Phishing Emails | Abnormal AI
thehackernews.comMicrosoft Warns OAuth Redirect Abuse Delivers Malware to ...
bleepingcomputer.comMicrosoft: Hackers abuse OAuth error flows to spread malware