Inköpsfällan: Nya kampanjen kapar Microsoft 365-sessioner – MFA räcker inte
Infoblox har avslöjat en global nätfiskekampanj, ”The Procurement Trap”, som med inköpstematiserade mejl från kapade Outlook konton stjäl Microsoft 365 sessions cookies. Attacken fungerar genom en omvänd proxy som fångar sessionscookien efter att offret slutfört MFA – MFA kringgås helt.
Publicerad avRedigerad med DeepSeek-V4-FlashBilder genererade med GPT Image 1.5
Infoblox har avslöjat en global nätfiskekampanj, ”The Procurement Trap”, som med inköpstematiserade mejl från kapade Outlook konton stjäl Microsoft 365 sessions cookies.
Attacken fungerar genom en omvänd proxy som fångar sessionscookien efter att offret slutfört MFA – MFA kringgås helt.
Search & fact-check with cited sources for What is the new Microsoft 365 session hijacking campaign that leverages compromised Outlook mailbAdversary-in-the-middle (AiTM) phishing works by placing a proxy between the victim and the legitimate authentication service, capturing the session cookie issued after MFA.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the new Microsoft 365 session hijacking campaign that leverages compromised Outlook mailb. Article summary: ## The "Procurement Trap" Campaign. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Vad är ”The Procurement Trap” – och varför är den farlig?
Den 22 juli 2026 publicerade Infoblox Threat Intelligence en djupgående rapport om en global nätfiskekampanj de kallar ”The Procurement Trap”. Till skillnad från vanlig nätfiske som stjäl lösenord använder den här kampanjen en så kallad adversary-in-the-middle (AiTM)-teknik. Här är det särskilt oroväckande att den helt kringgår de multifaktorautentiseringar (MFA) som många organisationer förlitar sig på .
Så här fungerar attacken:
Inköpstematiserade mejl – Offret får ett mejl som ser ut att komma från en kollega eller samarbetspartner. Ämnet kan vara en förfrågan om uppgifter (RFI), en anbudsinbjudan eller ett projekt dokument. Mejlet skickas från en tidigare kapad Outlook-konto, vilket gör det trovärdigt .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Inköpsfällan: Nya kampanjen kapar Microsoft 365-sessioner – MFA räcker inte"?
Infoblox har avslöjat en global nätfiskekampanj, ”The Procurement Trap”, som med inköpstematiserade mejl från kapade Outlook konton stjäl Microsoft 365 sessions cookies.
What are the key points to validate first?
Infoblox har avslöjat en global nätfiskekampanj, ”The Procurement Trap”, som med inköpstematiserade mejl från kapade Outlook konton stjäl Microsoft 365 sessions cookies. Attacken fungerar genom en omvänd proxy som fångar sessionscookien efter att offret slutfört MFA – MFA kringgås helt.
Inköpsfällan: Nya kampanjen kapar Microsoft 365-sessioner – MFA räcker inte
Infoblox har avslöjat en global nätfiskekampanj, ”The Procurement Trap”, som med inköpstematiserade mejl från kapade Outlook konton stjäl Microsoft 365 sessions cookies. Attacken fungerar genom en omvänd proxy som fångar sessionscookien efter att offret slutfört MFA – MFA kringgås helt.
Publicerad avRedigerad med DeepSeek-V4-FlashBilder genererade med GPT Image 1.5
Infoblox har avslöjat en global nätfiskekampanj, ”The Procurement Trap”, som med inköpstematiserade mejl från kapade Outlook konton stjäl Microsoft 365 sessions cookies.
Attacken fungerar genom en omvänd proxy som fångar sessionscookien efter att offret slutfört MFA – MFA kringgås helt.
Search & fact-check with cited sources for What is the new Microsoft 365 session hijacking campaign that leverages compromised Outlook mailbAdversary-in-the-middle (AiTM) phishing works by placing a proxy between the victim and the legitimate authentication service, capturing the session cookie issued after MFA.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is the new Microsoft 365 session hijacking campaign that leverages compromised Outlook mailb. Article summary: ## The "Procurement Trap" Campaign. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Vad är ”The Procurement Trap” – och varför är den farlig?
Den 22 juli 2026 publicerade Infoblox Threat Intelligence en djupgående rapport om en global nätfiskekampanj de kallar ”The Procurement Trap”. Till skillnad från vanlig nätfiske som stjäl lösenord använder den här kampanjen en så kallad adversary-in-the-middle (AiTM)-teknik. Här är det särskilt oroväckande att den helt kringgår de multifaktorautentiseringar (MFA) som många organisationer förlitar sig på .
Så här fungerar attacken:
Inköpstematiserade mejl – Offret får ett mejl som ser ut att komma från en kollega eller samarbetspartner. Ämnet kan vara en förfrågan om uppgifter (RFI), en anbudsinbjudan eller ett projekt dokument. Mejlet skickas från en tidigare kapad Outlook-konto, vilket gör det trovärdigt .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Inköpsfällan: Nya kampanjen kapar Microsoft 365-sessioner – MFA räcker inte"?
Infoblox har avslöjat en global nätfiskekampanj, ”The Procurement Trap”, som med inköpstematiserade mejl från kapade Outlook konton stjäl Microsoft 365 sessions cookies.
What are the key points to validate first?
Infoblox har avslöjat en global nätfiskekampanj, ”The Procurement Trap”, som med inköpstematiserade mejl från kapade Outlook konton stjäl Microsoft 365 sessions cookies. Attacken fungerar genom en omvänd proxy som fångar sessionscookien efter att offret slutfört MFA – MFA kringgås helt.
Länk till en proxyserver – Om man klickar på länken i mejlet hamnar man inte på en vanlig nätfiskesida, utan på en omvänd proxyserver som placeras mellan användaren och Microsofts äkta inloggningstjänst .
Sessionen kapas – När offret loggar in och till och med slutför MFA (till exempel en push-notis eller engångskod), fångar proxyn den så kallade sessionscookien efter att MFA godkänts. Denna cookie kan angriparen sedan använda för att logga in som offret – utan att ange lösenord eller MFA igen .
Måltavlorna är universitet, stora företag och multinationella institutioner, däribland EU:s och FN:s myndigheter .
Tre phishing-as-a-service-kit används
Kampanjen växlar mellan flera kommersiella nätfiskeverktyg, så kallade PhaaS (Phishing-as-a-Service):
EvilProxy – Ett väletablerat verktyg som fångar sessionscookies och därmed kringgår SMS-koder, autentiseringsappar och push-notiser .
FlowerStorm – En PhaaS-operatör som nyligen börjat använda en webbläsarbaserad virtuell maskin för att dölja skadlig kod och undvika e-postsäkerhet .
Kali365 – En relativt ny plattform som först sågs i april 2026. Den distribueras via Telegram och använder en metod som kallas device code phishing. Den kräver varken lösenord eller MFA-kod för att stjäla sessionstoken .
Angriparna använder också så kallade algoritmiskt genererade domäner (RDGA) – stora mängder snabbt roterande webbadresser som gör blockering svår .
Varför räcker inte vanlig MFA?
Microsoft själva varnar för att AiTM-nätfiske kan kringgå de vanligaste formerna av MFA . Sessionscookies är utformade för att bevisa att du redan har loggat in och klarat MFA. Om den cookien blir stulen kan angriparen återanvända den från vilken enhet som helst, var som helst – tills cookien löper ut eller en administratör återkallar den .
Problemet är inte att MFA är svag – problemet är att hela inloggningsflödet kapas av en proxy som står mellan dig och den verkliga tjänsten .
Försvar som faktiskt fungerar
Infoblox rekommenderar att organisationer inte enbart förlitar sig på MFA, utan bygger ett skiktat försvar med följande metoder :
DNS-säkerhet – Blockera kända skadliga domäner och nyskapade RDGA-domäner på DNS-nivå. Det hindrar användare från att ens nå nätfiskesidan.
FIDO2/WebAuthn-nycklar – Använd hårdvarusäkerhetsnycklar eller Windows Hello for Business. Dessa bygger på en kryptografisk signatur som är bunden till den specifika webbplatsens domän – en AiTM-proxy kan inte vidarebefordra den typen av utmaning.
Villkorlig åtkomst (Conditional Access) – Ställ in strikta policyer i Microsoft Entra ID, till exempel krav på tokenbindning, blockering av inloggningar från ovanliga platser och kortare livslängd på sessioner.
Varumärkesövervakning – Proaktivt identifiera nätfiskedomäner som efterliknar organisationen och ta ner infrastrukturen innan användarna utsätts.
Användarmedvetenhet – Utbilda personalen att känna igen inköpstematiserad nätfiske och uppmana dem att rapportera misstänkta mejl till SOC.
Dessutom har FBI specifikt varnat för Kali365 och rekommenderar att organisationer granskar sina MFA-metoder, loggar efter avvikande device code-flöden och överväger att blockera device code-autentisering för alla utom betrodda applikationer .
Slutsats
”The Procurement Trap” visar tydligt vart utvecklingen är på väg: angripare försöker inte knäcka MFA – de rundar det helt genom att stjäla sessionscookien efter att MFA är genomfört. Tekniska motmedel som FIDO2-nycklar och DNS-blockering är effektiva, men den första försvarslinjen är fortfarande en vaksam användare. Alla organisationer som använder Microsoft 365 bör omedelbart granska sina autentiseringsloggar och prioritera införandet av nätfiskeresistenta autentiseringsmetoder.
Källa: Infoblox rapport den 22 juli 2026 , FBI PSA om Kali365 samt ytterligare rapportering från Huntress , Paubox , Microsoft och Adversis .
csoonline.comFlowerStorm phishing gang adopts virtual-machine ...
Länk till en proxyserver – Om man klickar på länken i mejlet hamnar man inte på en vanlig nätfiskesida, utan på en omvänd proxyserver som placeras mellan användaren och Microsofts äkta inloggningstjänst .
Sessionen kapas – När offret loggar in och till och med slutför MFA (till exempel en push-notis eller engångskod), fångar proxyn den så kallade sessionscookien efter att MFA godkänts. Denna cookie kan angriparen sedan använda för att logga in som offret – utan att ange lösenord eller MFA igen .
Måltavlorna är universitet, stora företag och multinationella institutioner, däribland EU:s och FN:s myndigheter .
Tre phishing-as-a-service-kit används
Kampanjen växlar mellan flera kommersiella nätfiskeverktyg, så kallade PhaaS (Phishing-as-a-Service):
EvilProxy – Ett väletablerat verktyg som fångar sessionscookies och därmed kringgår SMS-koder, autentiseringsappar och push-notiser .
FlowerStorm – En PhaaS-operatör som nyligen börjat använda en webbläsarbaserad virtuell maskin för att dölja skadlig kod och undvika e-postsäkerhet .
Kali365 – En relativt ny plattform som först sågs i april 2026. Den distribueras via Telegram och använder en metod som kallas device code phishing. Den kräver varken lösenord eller MFA-kod för att stjäla sessionstoken .
Angriparna använder också så kallade algoritmiskt genererade domäner (RDGA) – stora mängder snabbt roterande webbadresser som gör blockering svår .
Varför räcker inte vanlig MFA?
Microsoft själva varnar för att AiTM-nätfiske kan kringgå de vanligaste formerna av MFA . Sessionscookies är utformade för att bevisa att du redan har loggat in och klarat MFA. Om den cookien blir stulen kan angriparen återanvända den från vilken enhet som helst, var som helst – tills cookien löper ut eller en administratör återkallar den .
Problemet är inte att MFA är svag – problemet är att hela inloggningsflödet kapas av en proxy som står mellan dig och den verkliga tjänsten .
Försvar som faktiskt fungerar
Infoblox rekommenderar att organisationer inte enbart förlitar sig på MFA, utan bygger ett skiktat försvar med följande metoder :
DNS-säkerhet – Blockera kända skadliga domäner och nyskapade RDGA-domäner på DNS-nivå. Det hindrar användare från att ens nå nätfiskesidan.
FIDO2/WebAuthn-nycklar – Använd hårdvarusäkerhetsnycklar eller Windows Hello for Business. Dessa bygger på en kryptografisk signatur som är bunden till den specifika webbplatsens domän – en AiTM-proxy kan inte vidarebefordra den typen av utmaning.
Villkorlig åtkomst (Conditional Access) – Ställ in strikta policyer i Microsoft Entra ID, till exempel krav på tokenbindning, blockering av inloggningar från ovanliga platser och kortare livslängd på sessioner.
Varumärkesövervakning – Proaktivt identifiera nätfiskedomäner som efterliknar organisationen och ta ner infrastrukturen innan användarna utsätts.
Användarmedvetenhet – Utbilda personalen att känna igen inköpstematiserad nätfiske och uppmana dem att rapportera misstänkta mejl till SOC.
Dessutom har FBI specifikt varnat för Kali365 och rekommenderar att organisationer granskar sina MFA-metoder, loggar efter avvikande device code-flöden och överväger att blockera device code-autentisering för alla utom betrodda applikationer .
Slutsats
”The Procurement Trap” visar tydligt vart utvecklingen är på väg: angripare försöker inte knäcka MFA – de rundar det helt genom att stjäla sessionscookien efter att MFA är genomfört. Tekniska motmedel som FIDO2-nycklar och DNS-blockering är effektiva, men den första försvarslinjen är fortfarande en vaksam användare. Alla organisationer som använder Microsoft 365 bör omedelbart granska sina autentiseringsloggar och prioritera införandet av nätfiskeresistenta autentiseringsmetoder.
Källa: Infoblox rapport den 22 juli 2026 , FBI PSA om Kali365 samt ytterligare rapportering från Huntress , Paubox , Microsoft och Adversis .
csoonline.comFlowerStorm phishing gang adopts virtual-machine ...
cyberpress.orgHackers Use Procurement Phishing and AiTM Kits to Hijack MFA-Protected Microsoft 365 Sessions
learn.microsoft.comAlert grading for session cookie theft alert
hivesecurity.gitlab.ioAitM Phishing: How Attackers Bypass MFA and How to Stop Them — Hive Security
adversis.ioYour MFA Isn't Protecting You: Inside the EvilProxy Campaigns ...