Inköpsfällan: Nya kampanjen kapar Microsoft 365-sessioner – MFA räcker inte

Vad är ”The Procurement Trap” – och varför är den farlig?

Den 22 juli 2026 publicerade Infoblox Threat Intelligence en djupgående rapport om en global nätfiskekampanj de kallar ”The Procurement Trap”. Till skillnad från vanlig nätfiske som stjäl lösenord använder den här kampanjen en så kallad adversary-in-the-middle (AiTM)-teknik. Här är det särskilt oroväckande att den helt kringgår de multifaktorautentiseringar (MFA) som många organisationer förlitar sig på .

Så här fungerar attacken:

1. Inköpstematiserade mejl – Offret får ett mejl som ser ut att komma från en kollega eller samarbetspartner. Ämnet kan vara en förfrågan om uppgifter (RFI), en anbudsinbjudan eller ett projekt dokument. Mejlet skickas från en tidigare kapad Outlook-konto, vilket gör det trovärdigt .
2. Länk till en proxyserver – Om man klickar på länken i mejlet hamnar man inte på en vanlig nätfiskesida, utan på en omvänd proxyserver som placeras mellan användaren och Microsofts äkta inloggningstjänst .
3. Sessionen kapas – När offret loggar in och till och med slutför MFA (till exempel en push-notis eller engångskod), fångar proxyn den så kallade sessionscookien efter att MFA godkänts. Denna cookie kan angriparen sedan använda för att logga in som offret – utan att ange lösenord eller MFA igen .

Måltavlorna är universitet, stora företag och multinationella institutioner, däribland EU:s och FN:s myndigheter .

Tre phishing-as-a-service-kit används

Kampanjen växlar mellan flera kommersiella nätfiskeverktyg, så kallade PhaaS (Phishing-as-a-Service):

• EvilProxy – Ett väletablerat verktyg som fångar sessionscookies och därmed kringgår SMS-koder, autentiseringsappar och push-notiser .
• FlowerStorm – En PhaaS-operatör som nyligen börjat använda en webbläsarbaserad virtuell maskin för att dölja skadlig kod och undvika e-postsäkerhet .
• Kali365 – En relativt ny plattform som först sågs i april 2026. Den distribueras via Telegram och använder en metod som kallas device code phishing. Den kräver varken lösenord eller MFA-kod för att stjäla sessionstoken .

Angriparna använder också så kallade algoritmiskt genererade domäner (RDGA) – stora mängder snabbt roterande webbadresser som gör blockering svår .

Varför räcker inte vanlig MFA?

Microsoft själva varnar för att AiTM-nätfiske kan kringgå de vanligaste formerna av MFA . Sessionscookies är utformade för att bevisa att du redan har loggat in och klarat MFA. Om den cookien blir stulen kan angriparen återanvända den från vilken enhet som helst, var som helst – tills cookien löper ut eller en administratör återkallar den .

Problemet är inte att MFA är svag – problemet är att hela inloggningsflödet kapas av en proxy som står mellan dig och den verkliga tjänsten .

Försvar som faktiskt fungerar

Infoblox rekommenderar att organisationer inte enbart förlitar sig på MFA, utan bygger ett skiktat försvar med följande metoder :

1. DNS-säkerhet – Blockera kända skadliga domäner och nyskapade RDGA-domäner på DNS-nivå. Det hindrar användare från att ens nå nätfiskesidan.
2. FIDO2/WebAuthn-nycklar – Använd hårdvarusäkerhetsnycklar eller Windows Hello for Business. Dessa bygger på en kryptografisk signatur som är bunden till den specifika webbplatsens domän – en AiTM-proxy kan inte vidarebefordra den typen av utmaning.
3. Villkorlig åtkomst (Conditional Access) – Ställ in strikta policyer i Microsoft Entra ID, till exempel krav på tokenbindning, blockering av inloggningar från ovanliga platser och kortare livslängd på sessioner.
4. Varumärkesövervakning – Proaktivt identifiera nätfiskedomäner som efterliknar organisationen och ta ner infrastrukturen innan användarna utsätts.
5. Användarmedvetenhet – Utbilda personalen att känna igen inköpstematiserad nätfiske och uppmana dem att rapportera misstänkta mejl till SOC.

Dessutom har FBI specifikt varnat för Kali365 och rekommenderar att organisationer granskar sina MFA-metoder, loggar efter avvikande device code-flöden och överväger att blockera device code-autentisering för alla utom betrodda applikationer .

Slutsats

”The Procurement Trap” visar tydligt vart utvecklingen är på väg: angripare försöker inte knäcka MFA – de rundar det helt genom att stjäla sessionscookien efter att MFA är genomfört. Tekniska motmedel som FIDO2-nycklar och DNS-blockering är effektiva, men den första försvarslinjen är fortfarande en vaksam användare. Alla organisationer som använder Microsoft 365 bör omedelbart granska sina autentiseringsloggar och prioritera införandet av nätfiskeresistenta autentiseringsmetoder.

---

Källa: Infoblox rapport den 22 juli 2026 , FBI PSA om Kali365 samt ytterligare rapportering från Huntress , Paubox , Microsoft och Adversis .