#aitm
10 artikkelia
Ilmainen ChatGPT Pro ja SpaceX-osake syöttinä – väärennetyt tapahtumakutsut vievät työtilit
Tietoturvayhtiö Push Security kertoo, että väärennetyt OpenAI-, SpaceX- ja Anthropic-tapahtumakutsut houkuttelevat työntekijöitä kirjautumaan työtilillään. Microsoft-tileihin hyökätään laitekoodikalastelun ja AiTM-välityspalvelimen yhdistelmällä, Google-tileihin AiTM:llä. Kampanjan takana oleva toimija on ollut aktiivinen toukokuusta 2026.
Rikolliset eivät varasta enää salasanoja – he varastavat kirjautumisen
Kyberturvallisuuskeskus julkaisi 13. lokakuuta oppaan AiTM-hyökkäyksistä, joissa rikollinen asettuu uhrin ja aidon kirjautumissivun väliin ja kaappaa istuntotunnuksen vasta onnistuneen kaksivaiheisen tunnistautumisen jälkeen. Kyberturvallisuuskeskuksen kehityspäällikkö Arttu Lehmuskallio kuvaili samaa ilmiötä Kauppalehdessä: rikollisuus on siirtynyt tunnusten varastamisesta tunnistautumisen varastamiseen. ENISA nimeää AiTM-kalastelupaketit vuoden 2026 yleisimmäksi tavaksi ohittaa kaksivaiheinen tunnistautuminen.
Uusi kalastelutekniikka yhdistää väärennetyn selainikkunan ja istunnon kaappauksen – ohittaa tavallisen kaksivaiheisen tunnistautumisen
Tietoturvayhtiö Proofpoint raportoi kiinalaisvetoisen TA419-ryhmän käyttäneen selaimen sisään piirrettyä väärää kirjautumisikkunaa yhdessä istunnon kaappauksen kanssa yhdysvaltalaisten ja japanilaisten AI-politiikan asiantuntijoiden tileille pääsemiseksi. Yhdistelmä varastaa salasanan, tunnistautumiskoodin ja itse istuntoevästeen, jolloin tavallinen kaksivaiheinen tunnistautuminen ei pysäytä hyökkäystä. Kyberturvallisuuskeskus on suositellut tätä hyökkäystyyppiä vastaan FIDO2-tunnistautumista jo aiemmin julkaisemassaan ohjeessa.
Kalastelupalvelu BigBear 2.0 ohitti kaksivaiheisen tunnistautumisen 258 organisaatiossa
Tietoturvayhtiö CloudSEK paljasti rikollisille vuokratun BigBear 2.0 -kalastelupalvelun, joka on murtautunut 258 organisaation Microsoft 365 -tileille kaappaamalla kirjautumisistuntoja kaksivaiheisen tunnistautumisen läpäisyn jälkeen. Palvelu on levinnyt yli 40 maahan ja varastanut yli 5 000 tunnuserää, vaikka mitään yksittäistä viranomaisvaroitusta siitä ei Suomessa ole annettu.
Aito DocuSign-viesti kätkee väärennetyn asiakirjan – NovaCookies-kalastelu kaappaa Microsoft 365 -istunnon
Island.io kuvaa raportissaan NovaCookies-kalastelupalvelun, joka lähettää aidon DocuSign-ilmoituksen mutta piilottaa haitallisen linkin ilmoituksen sisällä olevaan väärennettyyn asiakirjaan. Linkin klikkaus käynnistää OAuth-uudelleenohjausketjun, joka päättyy live-välityspalvelimelle ja kaappaa käyttäjätunnuksen, salasanan sekä kirjautuneen istunnon evästeen, jolloin kaksivaiheinen tunnistautuminen ei enää auta. Kyse on eri palvelusta kuin aiemmin uutisoitu Mirage2FA, vaikka molemmat kohdistuvat Microsoft 365 -tileihin.
Mirage2FA-kalastelupaketti kaappaa istuntoevästeen ja ohittaa Microsoft 365:n kaksivaiheisen tunnistautumisen
ANY.RUN:n analyysi kuvaa Mirage2FA-nimisen kalastelupaketin, joka kaappaa Microsoft 365 -tilien istuntoevästeitä ja ohittaa siten kaksivaiheisen tunnistautumisen. Aineisto kattaa lähes 22 kuukautta ja koskee pääosin yhdysvaltalaisia yrityksiä, mutta Kyberturvallisuuskeskus on varoittanut samasta hyökkäystavasta myös suomalaisille Microsoft 365 -käyttäjille. Ainoa varma suoja on tunnistautuminen, joka ei kulje väärennetyn sivun kautta, kuten passkey tai FIDO2-avain.
Soittaja lupaa auttaa pääsyavaimen käyttöönotossa – ja valitsee tarkoituksella työntekijän oman puhelimen
Google Threat Intelligence Group kuvaa kampanjan, jossa soittaja esiintyy oman työpaikan IT-tukena ja opastaa työntekijän ottamaan käyttöön FIDO2-pääsyavaimen valesivustolla. Välityspalvelin nappaa salasanan ja välittää monivaiheisen tunnistautumisen haasteen reaaliajassa, joten oikea koodi ei pysäytä murtoa. Puhelu soitetaan tarkoituksella työntekijän omaan kännykkään, jonne työnantajan valvonta ei ulotu.
Huhtikuun Kybersää: M365-tilikaappaukset nousivat, vaikka ilmoitukset muuten vähenivät
Kyberturvallisuuskeskus kirjasi huhtikuussa 87 ilmoitusta M365-tilien kaappauksista. Hyökkäys alkaa kalasteluviestistä, joka tulee jo kaapatusta kumppaniorganisaation tilistä, ja AiTM-välityspalvelin varastaa kirjautumisen istuntotunnisteen MFA-hyväksynnän jälkeen.
ManageWP-tunnuksia kalastellaan Google-mainosten kautta – TOTP ei suojaa, FIDO2 suojaa
Guardio Labs paljasti kampanjan, jossa hyökkääjät ostavat Google Search -mainoksia hakusanalle 'managewp' ja ohjaavat liikenteen pikselintarkalle kirjautumiskloonille. AitM-välitys tekee TOTP-pohjaisesta kaksivaiheisesta tunnistautumisesta hyödyttömän, ja vain FIDO2-laitteistoavaimet suojaavat. Vahvistettuja uhreja on toistaiseksi 200, ja luku on todennäköisesti aliarvio.
Microsoft paljasti laajan kalastelun: 35 000 käyttäjää 26 maassa, houkutteena väärennetyt 'kurinpitoilmoitukset'
Microsoftin Defender Research havaitsi kahdessa viikossa kampanjan, joka tavoitti 35 000 käyttäjää yli 13 000 organisaatiossa. Houkutteena toimivat väärennetyt 'code of conduct' -kurinpitoilmoitukset, joiden PDF-linkki johtaa AiTM-kirjautumissivulle. Tekniikka ohittaa sovelluspohjaisen ja SMS-pohjaisen MFA:n.
