По данным «Лаборатории Касперского», атака наблюдалась с начала апреля по середину мая 2026 года и была замаскирована под уведомления от юридической фирмы. Пользователи получали письма с защищённым паролем PDF-файлом, после открытия которого им предлагалось перейти по ссылке на фишинговый сайт, имитирующий портал для просмотра юридических документов. Там жертве предлагалось ввести заранее сгенерированный злоумышленниками одноразовый код на официальной странице Microsoft — таким образом пользователь самостоятельно подтверждал доступ атакующих к своей учётной записи. Получив токены сессии, злоумышленники могли читать почту, отправлять письма от имени жертвы и получать доступ к файлам в OneDrive и переписке в Teams.
Анатолий Лысов, менеджер продукта ALD Pro «Группы Астра», объясняет, в чём принципиальная опасность подобной схемы. В основу атаки был положен легитимный механизм протокола OAuth2, изначально разработанный для удобства входа с устройств с ограниченными возможностями ввода — игровых приставок, Smart TV и подобной техники. Классический фишинг требует от жертвы ввести пароль на поддельном сайте, и к таким угрозам большинство пользователей уже относятся настороженно. Здесь же пользователь видит доверенный ресурс — официальную страницу Microsoft — и без опасений вводит код, психологический барьер снижается многократно.
«Данный инцидент является очередным подтверждением того, что Identity Security перестала быть просто технологическим трендом и превратилась в насущную потребность. Речь идёт о комплексном подходе, включающем внедрение службы каталога, многофакторной аутентификации, PAM и ITDR. Однако важно понимать, что даже самый совершенный технологический стек не гарантирует безопасность, если упускать из виду человеческий фактор. Регулярное обучение сотрудников основам цифровой гигиены должно быть неотъемлемой частью стратегии безопасности — иначе именно человек станет самым слабым звеном всей системы», — прокомментировал эксперт Анатолий Лысов.
