Zespół CSIRT CEZ ostrzega przed trwającą od maja 2025 roku kampanią phishingową wymierzoną w organizacje korzystające z Microsoft 365. Cyberprzestępcy wykorzystują mało znaną funkcjonalność Direct Send, aby podszywać się pod zaufanych nadawców bez przejmowania kont użytkowników. Ofiary często otrzymują sfałszowane wewnętrzne e-maile z załącznikami PDF i kodami QR, które przekierowują na fałszywe strony logowania.
Z tego artykułu dowiesz się…
- Jak działa atak phishingowy z wykorzystaniem funkcji Direct Send w Microsoft 365.
- Dlaczego ta technika omija tradycyjne zabezpieczenia poczty elektronicznej.
- Jakie są rekomendacje Zespołu CSIRT CEZ dla placówek medycznych i farmaceutycznych.
Zespół CSIRT CEZ ostrzega: atak bez włamania
Zespół CSIRT CEZ wydał komunikat dotyczący trwającej kampanii phishingowej skierowanej do organizacji korzystających z Microsoft 365. Atak opiera się na wykorzystaniu funkcji Direct Send w Exchange Online, która pierwotnie została stworzona z myślą o umożliwieniu wewnętrznym urządzeniom – takim jak drukarki – wysyłania e-maili bez uwierzytelniania.
Wykorzystywana luka pozwala atakującym wysyłać wiadomości wyglądające jak wewnętrzna korespondencja, bez konieczności przejmowania kont. To zdecydowanie utrudnia wykrycie zagrożenia – wiadomości wyglądają wiarygodnie, często imitując wewnętrzne alerty lub powiadomienia.
Skala zagrożenia: ponad 70 organizacji na celowniku
Zgodnie z analizą firmy Varonis, kampania phishingowa rozpoczęta w maju 2025 roku dotknęła już ponad 70 organizacji na całym świecie. Ataki są skuteczne, ponieważ mechanizmy filtrowania Microsoft traktują wiadomości wysłane przez smart hosta jako wewnętrzne, mimo że pochodzą z zewnętrznych adresów IP.
Najczęściej spotykane tematy wiadomości to rzekome powiadomienia o wiadomościach głosowych i faksach. Wiadomości zawierają załączniki PDF z kodem QR. Po jego zeskanowaniu użytkownik trafia na fałszywą stronę logowania Microsoft 365 – celem ataku jest pozyskanie loginu i hasła.
Jak działa atak przy użyciu Direct Send?
Aby przeprowadzić atak, przestępcy potrzebują jedynie:
- domeny organizacji (dostępnej publicznie),
- adresu e-mail pracownika (często dostępny przez OSINT lub wycieki),
- przewidywalnego formatu smart hosta, np. organizacja.mail.protection.outlook.com
Wiadomość wysłana przez zewnętrzny serwer może wyglądać jak autentyczna korespondencja, np. „od samego siebie”. Dodatkowo, możliwe jest spoofowanie pola „From”, czyli podszywanie się pod dowolnego pracownika.
Dlaczego to zagrożenie jest wyjątkowo groźne?
Skuteczność tej techniki wynika z kilku czynników:
- brak potrzeby logowania – wiadomości są przyjmowane bez uwierzytelniania,
- system Microsoft 365 traktuje je jako wewnętrzne,
- wiele zabezpieczeń bazuje na reputacji nadawcy lub SPF/DKIM/DMARC, które tu często zawiodą,
- atakujący mogą używać PowerShell jako agenta użytkownika, co dodatkowo utrudnia identyfikację ataku.
Co rekomenduje CSIRT CEZ?
Zespół CSIRT CEZ zaleca wszystkim placówkom ochrony zdrowia korzystającym z Microsoft 365:
- wyłączyć funkcję Direct Send (Exchange Admin Center > Reject Direct Send),
- ustawić politykę DMARC na poziomie p=reject,
- aktywować „SPF hardfail” i oznaczać nieuwierzytelnione wiadomości do analizy lub kwarantanny,
- wdrożyć polityki anti-spoofingu w Microsoft 365 oraz przypisać statyczny adres IP w rekordzie SPF.
Dodatkowo, jeśli istnieje podejrzenie, że organizacja padła ofiarą ataku:
- przeanalizować logi pod kątem nietypowych wzorców (np. wiadomości wysyłane od użytkownika do siebie),
- sprawdzić aktywność kont, które otrzymały podejrzane wiadomości,
- zrewidować konfigurację bezpieczeństwa zgodnie z zaleceniami Microsoft,
- wdrożyć kampanię edukacyjną dla personelu.
Każdy podejrzany przypadek należy zgłosić zespołom IT lub bezpieczeństwa.
Główne wnioski
- Od maja 2025 roku ponad 70 organizacji padło ofiarą kampanii phishingowej wykorzystującej podatność w funkcji Direct Send dostępnej w Microsoft 365 (Exchange Online).
- Atakujący nie potrzebują logowania ani przejęcia konta – wystarczy im znajomość domeny i adresu e-mail, aby wysłać sfałszowaną wiadomość, która wygląda jak wewnętrzna korespondencja.
- CSIRT CEZ zaleca natychmiastowe wyłączenie funkcji Direct Send oraz wdrożenie polityk DMARC, SPF hardfail i anti-spoofingu, aby ograniczyć ryzyko dalszych ataków.
Źródło:
- CeZ
