Mirage2FA slår mot Microsoft 365 – 4 500 företag drabbade i USA och EU

Vad har hänt?

Rapporter från medier visar att kampanjen Mirage2FA under 2024–2026 har påverkat tusentals företag och att omkring 4 500 organisationer i USA och EU pekas ut som drabbade. Verktyget beskrivs som ett kommersiellt "phishing-as-a-service" som riktar in sig mot Microsoft 365-konton genom att missbruka legitima inloggningsflöden och kringgå tvåfaktorsautentisering (2FA).

Enligt rapporteringen utnyttjar angriparna tekniker som får legitima inloggningsmoment att se äkta ut för både användare och autentiseringssystem, vilket gör att traditionella 2FA-lösningar delvis kan förlora effekt mot dessa typer av phishing‑upplägg. Forskning från tredje part nämns i rapporteringen som underlag för omfattningen av kampanjen.

Vad betyder detta för svenska SMB?

Svenska små och medelstora företag som använder Microsoft 365 har samma sorters konton och inloggningsflöden som organisationer i USA och EU, och kan därför vara sårbara mot liknande attacker. För SMB är följande konsekvenser särskilt viktiga att beakta:

• Kontotillgångar till e-post och molnbaserade filer kan ge angripare möjlighet att utföra ekonomisk bedrägeri, förstöra data eller genomföra vidare intrång mot kunder och leverantörer.
• Traditionell 2FA (t.ex. SMS eller e-postbaserade koder) kan vara otillräcklig om angriparen lurar användaren att godkänna en falsk inloggning.
• Mindre organisationer har ofta begränsade resurser för kontinuerlig övervakning, vilket gör tidig upptäckt svårare.

Vad bör du göra nu? Konkret åtgärdslista för svenska företag

• Genomför en snabb inventering av vilka konton som har Global Admin- eller andra höga rättigheter i Microsoft 365 och begränsa dessa till ett minimum.
• Aktivera och prioritera phishing-resistent autentisering (t.ex. säkerhetsnycklar / FIDO2) för administratörer och kritiska användare.
• Granska och förstärk Conditional Access‑policys i Azure AD: kräva modern autentisering, blockera äldre protokoll och använd riskbaserad inloggning där det är möjligt.
• Inför flerlagersövervakning: logga och larma vid ovanliga inloggningsmönster, geografiska avvikelser eller snabba token‑godkännanden.
• Utbilda användare i att känna igen phishing‑sidor som imiterar legitima inloggningssidor och att aldrig godkänna inloggningar de inte initierat.
• Säkerhetskopiera kritiska data och ha en plan för återställning om konton komprometteras.

Slutsats

Mirage2FA-rapporteringen visar att angripare blir skickligare på att manipulera legitima inloggningsflöden och kringgå enklare typer av 2FA. För svenska SMB innebär det att standardåtgärder som enbart SMS‑koder inte längre är tillräckliga för administratörs- och andra kritiska konton. Prioritera stärkta autentiseringsmetoder, övervakning och användarutbildning.

Kort råd: Granska era Microsoft 365‑administratörskonton och skifta snabbt till phishing‑resistenta autentiseringsmetoder för att minska risken för kontoövertagande.

Källa: The Hacker News