En spray, inte ett genombrott

Säkerhetsföretaget Huntress har avslöjat en password spraying-kampanj som pågick från den 12 till den 26 juni 2026 och toppade den 22 juni. Under de två veckorna riktades mer än 81 miljoner inloggningsförsök mot Microsoft 365-konton. Trafiken kom från ett IPv6-intervall registrerat på en enda operatör, och angriparna gissade inte lösenord i blindo. De spelade upp par av användarnamn och lösenord som de hämtat ur tidigare och helt orelaterade dataintrång, med satsningen att folk återanvänder samma inloggningsuppgifter från tjänst till tjänst. Ur den floden kom 78 komprometterade konton hos 64 organisationer.

Det anmärkningsvärda är frånvaron av allt exotiskt. Ingen nolldagssårbarhet, ingen listig skadlig kod, inget knep i leveranskedjan. Det fanns volym, återanvända inloggningsuppgifter och en svag autentiseringsväg. Den kombinationen ligger inom räckhåll för vilken vanlig angripare som helst, och just därför förtjänar den en ägares uppmärksamhet. Tekniken är billig, går att upprepa hur många gånger som helst och riktar sig mot det identitetslager som de flesta företag utgår från att de redan har säkrat med multifaktorautentisering.

Hur inloggningarna tog sig förbi MFA

Mekanismen var en föråldrad inloggningsväg. Angriparna autentiserade sig via Azures kommandoradsverktyg med flödet Resource Owner Password Credentials, känt som ROPC, en äldre OAuth-metod som tar emot användarnamn och lösenord direkt och i många klienter inte utlöser någon multifaktorfråga alls. Där en klient hade MFA påslaget men snävt avgränsat gick de återanvända inloggningsuppgifterna rakt genom glappet. Huntress hittade samma felkonfigurationer gång på gång: MFA tillämpat bara på utvalda applikationer, MFA framtvingat bara för administratörsgrupper, MFA krävt bara från ej betrodda platser och Conditional Access-policyer som blivit kvar i enbart rapportläge, där de loggar men aldrig blockerar.

Den mindre uppenbara lärdomen är att MFA inte är en strömbrytare, utan en täckningskarta. En klient kan klara en granskning som bara frågar om MFA finns och ändå lämna en gammal dörr olåst. Angriparna besegrade inte multifaktorautentisering. De hittade de inloggningar där den aldrig efterfrågades. Hela historien ligger i den skillnaden, och den är osynlig till dess att någon kontrollerar vilka autentiseringsvägar en klient fortfarande tillåter.

Halvtimmen som stänger luckan

Ett konfigurationsproblem har ett konfigurationssvar, och det mesta av det är en kort administrativ session och inget inköp. Blockera föråldrad autentisering och stäng av ROPC-flödet, så att inloggningar med användarnamn och lösenord som hoppar över MFA helt enkelt nekas. Tvinga fram multifaktorautentisering på varje applikation och varje inloggning, inte bara på administratörskonton eller ej betrodda platser, och flytta Conditional Access från enbart rapportläge till aktiv blockering. Gå sedan igenom inloggningsloggarna efter mönstret från de misslyckade sprayförsöken och återställ varje inloggningsuppgift som ett tidigare intrång kan ha blottlagt.

För ett europeiskt företag finns det ytterligare ett skäl att agera snabbt. Om återanvända inloggningsuppgifter öppnar en brevlåda med personuppgifter kan händelsen utlösa en anmälningsplikt enligt GDPR inom 72 timmar, och en ljudlös identitetslucka blir därmed en anmälningspliktig händelse och ett samtal med tillsynsmyndigheten. Att stänga dörren kostar en eftermiddags konfiguration. Att lämna den öppen kostar upplysningsskyldigheter och förtroende. Behandla identitetslagret som det som det har blivit, nämligen perimetern.

Läs vidare: AI-granskning missade Linux-hålet som ger root  |  29 år gammalt Squid-fel läcker inloggningar i klartext