Inköpsfällan: Nya kampanjen kapar Microsoft 365-sessioner – MFA räcker inte

Måltavlorna är universitet, stora företag och multinationella institutioner, däribland EU:s och FN:s myndigheter .

Tre phishing-as-a-service-kit används

Kampanjen växlar mellan flera kommersiella nätfiskeverktyg, så kallade PhaaS (Phishing-as-a-Service):

• EvilProxy – Ett väletablerat verktyg som fångar sessionscookies och därmed kringgår SMS-koder, autentiseringsappar och push-notiser .
• FlowerStorm – En PhaaS-operatör som nyligen börjat använda en webbläsarbaserad virtuell maskin för att dölja skadlig kod och undvika e-postsäkerhet .
• Kali365 – En relativt ny plattform som först sågs i april 2026. Den distribueras via Telegram och använder en metod som kallas device code phishing. Den kräver varken lösenord eller MFA-kod för att stjäla sessionstoken .

Angriparna använder också så kallade algoritmiskt genererade domäner (RDGA) – stora mängder snabbt roterande webbadresser som gör blockering svår .

Varför räcker inte vanlig MFA?

Microsoft själva varnar för att AiTM-nätfiske kan kringgå de vanligaste formerna av MFA . Sessionscookies är utformade för att bevisa att du redan har loggat in och klarat MFA. Om den cookien blir stulen kan angriparen återanvända den från vilken enhet som helst, var som helst – tills cookien löper ut eller en administratör återkallar den .

Problemet är inte att MFA är svag – problemet är att hela inloggningsflödet kapas av en proxy som står mellan dig och den verkliga tjänsten .

Försvar som faktiskt fungerar

Infoblox rekommenderar att organisationer inte enbart förlitar sig på MFA, utan bygger ett skiktat försvar med följande metoder :

1. DNS-säkerhet – Blockera kända skadliga domäner och nyskapade RDGA-domäner på DNS-nivå. Det hindrar användare från att ens nå nätfiskesidan.
2. FIDO2/WebAuthn-nycklar – Använd hårdvarusäkerhetsnycklar eller Windows Hello for Business. Dessa bygger på en kryptografisk signatur som är bunden till den specifika webbplatsens domän – en AiTM-proxy kan inte vidarebefordra den typen av utmaning.
3. Villkorlig åtkomst (Conditional Access) – Ställ in strikta policyer i Microsoft Entra ID, till exempel krav på tokenbindning, blockering av inloggningar från ovanliga platser och kortare livslängd på sessioner.
4. Varumärkesövervakning – Proaktivt identifiera nätfiskedomäner som efterliknar organisationen och ta ner infrastrukturen innan användarna utsätts.
5. Användarmedvetenhet – Utbilda personalen att känna igen inköpstematiserad nätfiske och uppmana dem att rapportera misstänkta mejl till SOC.

Dessutom har FBI specifikt varnat för Kali365 och rekommenderar att organisationer granskar sina MFA-metoder, loggar efter avvikande device code-flöden och överväger att blockera device code-autentisering för alla utom betrodda applikationer .

Slutsats

”The Procurement Trap” visar tydligt vart utvecklingen är på väg: angripare försöker inte knäcka MFA – de rundar det helt genom att stjäla sessionscookien efter att MFA är genomfört. Tekniska motmedel som FIDO2-nycklar och DNS-blockering är effektiva, men den första försvarslinjen är fortfarande en vaksam användare. Alla organisationer som använder Microsoft 365 bör omedelbart granska sina autentiseringsloggar och prioritera införandet av nätfiskeresistenta autentiseringsmetoder.

Källa: Infoblox rapport den 22 juli 2026 , FBI PSA om Kali365 samt ytterligare rapportering från Huntress , Paubox , Microsoft och Adversis .