Rosyjscy hakerzy masowo przechwytywali tokeny Microsoft 365 przez routery. Jak się chronić?

W kwietniu 2026 roku badacze z Black Lotus Labs oraz Microsoft ujawnili zakrojoną na szeroką skalę operację rosyjskiej grupy szpiegowskiej Forest Blizzard (APT28). Hakerzy wykorzystali znane luki w starszych routerach, by masowo przechwytywać tokeny OAuth użytkowników Microsoft Office. W szczycie kampanii, w grudniu 2025 roku, skompromitowanych zostało ponad 18 tysięcy routerów, a incydent dotknął co najmniej 200 organizacji i 5 tysięcy urządzeń konsumenckich.

Jak działał atak bez złośliwego oprogramowania

W przeciwieństwie do typowych kampanii szpiegowskich, Forest Blizzard nie instalował malware na przejmowanych urządzeniach. Zamiast tego grupa wykorzystała podatności w routerach – głównie marki Mikrotik i TP-Link z rynku SOHO – by zmodyfikować ustawienia DNS. Przekierowanie zapytań na kontrolowane przez atakujących serwery DNS pozwalało na przechwytywanie ruchu sieciowego wszystkich użytkowników w danej sieci lokalnej.

Jak tłumaczy Ryan English z Black Lotus Labs, „wszyscy szukają wyrafinowanego malware, a ci goście nie użyli żadnego. Zrobili to w starym, siwobrodym stylu – mało seksownym, ale skutecznym”. Po zmianie DNS każdy token OAuth przesyłany po pomyślnym zalogowaniu do usług Microsoft (np. Outlook w przeglądarce) trafiał w ręce hakerów, omijając nawet uwierzytelnianie wieloskładnikowe.

Kto stał za atakiem i kogo dotknął

Forest Blizzard, znany również jako Fancy Bear, jest przypisywany wywiadowi wojskowemu Rosji (GRU). Ta sama grupa stała za włamaniem do komitetu wyborczego Hillary Clinton w 2016 roku. Brian Krebs opisuje kampanię, wskazując, że celem były głównie ministerstwa spraw zagranicznych, organy ścigania oraz zewnętrzni dostawcy poczty elektronicznej. Microsoft potwierdził, że zaobserwował wykorzystanie przejętych tokenów do ataków typu adversary-in-the-middle na połączenia TLS z domenami Outlook w przeglądarce.

Co istotne, grupa błyskawicznie dostosowuje taktykę. Po publikacji raportu brytyjskiego NCSC w sierpniu 2025 roku, Forest Blizzard porzucił wcześniejsze podejście oparte na malware i w ciągu jednego dnia przestawił się na masową modyfikację DNS w tysiącach podatnych routerów.

Dlaczego tokeny są cenniejsze niż hasła

Token OAuth jest wydawany po przejściu pełnego procesu logowania – łącznie z kodem z aplikacji uwierzytelniającej czy kluczem sprzętowym. Przechwycenie go daje atakującemu bezpośredni dostęp do konta ofiary, bez konieczności ponownego uwierzytelniania. W praktyce oznacza to, że nawet prawidłowo skonfigurowane MFA nie zatrzymało tego ataku – hakerzy po prostu czekali, aż użytkownik sam się zaloguje, a następnie kradli już aktywną sesję.

W przypadku firm korzystających z Microsoft 365 taki token może umożliwić odczyt poczty, dostęp do plików w SharePoint czy dalsze ruchy boczne w infrastrukturze. Dlatego incydenty związane z kradzieżą tokenów są traktowane jako krytyczne naruszenie bezpieczeństwa.

Jak sprawdzić, czy router jest bezpieczny

Podstawowym warunkiem powodzenia ataku było wykorzystanie przestarzałych urządzeń z niezałatanymi lukami. Dlatego każdy administrator – zarówno w firmie, jak i w domu – powinien niezwłocznie:

• zaktualizować oprogramowanie routera do najnowszej wersji,
• zmienić domyślne hasło administracyjne na silne i unikalne,
• wyłączyć zdalny dostęp do panelu konfiguracyjnego (WAN),
• sprawdzić, czy adresy serwerów DNS w ustawieniach routera nie zostały zmienione na nieznane.

W organizacjach warto również monitorować logi uwierzytelniania w Microsoft 365 pod kątem nietypowych lokalizacji lub nagłego pojawienia się tokenów wydanych dla znanych użytkowników z podejrzanych adresów IP. Microsoft udostępnia w tym celu narzędzia w Azure AD i Microsoft Defender.

Choć kampania Forest Blizzard została ujawniona, zagrożenie nie zniknęło – podobne grupy mogą skopiować technikę. Regularne audyty urządzeń brzegowych i szybkie wdrażanie poprawek to najprostsza, a zarazem najskuteczniejsza obrona przed atakami, które nie potrzebują malware, by wyrządzić poważne szkody.