Μια ιδιαίτερα εξελιγμένη εκστρατεία phishing έχει εμφανιστεί, η οποία καταφέρνει να παρακάμπτει αποτελεσματικά τον πολυπαραγοντικό έλεγχο ταυτότητας, θέτοντας σε σοβαρό κίνδυνο χρήστες των πλατφορμών Microsoft 365 και Okta και κατ’ επέκταση, τους οργανισμούς που βασίζονται σε αυτές για τη διαχείριση ταυτοτήτων.
Δείτε επίσης: Η Microsoft διερευνά προβλήματα πρόσβασης στο Defender Portal
Η καμπάνια, που εντοπίστηκε στις αρχές Δεκεμβρίου 2025, αποδεικνύει βαθιά κατανόηση των μηχανισμών πιστοποίησης.
Οι επιθέσεις στοχεύουν επιχειρήσεις από διάφορους κλάδους μέσω ιδιαίτερα πειστικών phishing email, τα οποία εμφανίζονται ως ειδοποιήσεις σχετικές με ανθρώπινο δυναμικό ή παροχές. Οι αναλυτές ασφαλείας της Datadog Security Labs εντόπισαν αυτήν την ενεργή καμπάνια, που επικεντρώνεται σε οργανισμούς που χρησιμοποιούν Microsoft 365 και Okta για υπηρεσίες single sign-on.
Οι δράστες αξιοποιούν σύγχρονες τεχνικές phishing που υποκλέπτουν τις νόμιμες ροές SSO, επιτρέποντάς τους να αποσπούν τόσο τα διαπιστευτήρια των χρηστών όσο και τα session tokens πριν το MFA εμποδίσει την παράνομη πρόσβαση.
Παράλληλα, έχουν καταχωρίσει μια σειρά από παραπλήσιους τομείς, όπως τα sso.okta-secure.io, sso.okta-cloud.com και sso.okta-access.com, δημιουργώντας ιδιαίτερα πειστικά αντίγραφα των αυθεντικών σελίδων πιστοποίησης.
Δείτε ακόμα: Microsoft: Διερευνά ζήτημα του Copilot σχετικά με την επεξεργασία αρχείων
Τα phishing emails, τα οποία αποστέλλονται από παραβιασμένους λογαριασμούς που συνδέονται με το Salesforce Marketing Cloud, χρησιμοποιούν δολώματα που σχετίζονται με αποδοχές, όπως ετήσιες ανασκοπήσεις μισθών και πληροφορίες για μπόνους.
Τα μηνύματα περιέχουν συντομευμένους συνδέσμους που οδηγούν τα θύματα σε αρχικούς phishing ιστότοπους, οι οποίοι φιλοξενούνται σε υποδομή της Cloudflare. Τις τελευταίες εβδομάδες, οργανισμοί έχουν αναφέρει ότι εκατοντάδες χρήστες σε διάφορες εταιρείες έλαβαν αυτά τα emails, με την καμπάνια να παραμένει ενεργή μέχρι και τον Δεκέμβριο του 2025.
Η επίθεση λειτουργεί μέσω μιας διαδικασίας phishing δύο σταδίων, η οποία αξιοποιεί JavaScript για την υποκλοπή διαπιστευτηρίων. Στο πρώτο στάδιο, οι δράστες προωθούν τις νόμιμες σελίδες της Okta μέσω proxy, ενώ ενσωματώνουν κακόβουλο κώδικα που καταγράφει ονόματα χρήστη και παρακολουθεί για session cookies. Το ενσωματωμένο script inject.js παρακολουθεί συνεχώς συγκεκριμένα κρίσιμα cookies — όπως τα idx, JSESSIONID, proximity_, DT και sid — που είναι απαραίτητα για τη διατήρηση ενεργών συνεδριών.
Δείτε επίσης: Μήνυση κατά της Microsoft για παραπλάνηση εκατομμυρίων συνδρομητών του Microsoft 365
Κάθε δευτερόλεπτο, το script ελέγχει για νέα ή τροποποιημένα cookies και τα αποστέλλει στον διακομιστή του επιτιθέμενου μέσω POST request προς το endpoint /log_cookie, επιτρέποντας στον επιτιθέμενο να αναπαράγει τη συνεδρία του θύματος στον δικό του browser.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
