Onderzoekers melden een campagne gericht op Microsoft 365 token replay-aanvallen waarbij aanvallers sign-in sessies onderscheppen en daarna gestolen tokens opnieuw afspelen. Daardoor konden ze binnenkomen zonder opnieuw langs de hele MFA-check te hoeven gaan—met in totaal 97 gecompromitteerde accounts bij 79 organisaties.
De activiteit liep volgens de waarnemers van 14 juli tot 22 september 2026. In die periode werden honderden succesvolle sign-in-events gezien, nadat miljoenen pogingen in totaal over veel loginpogingen waren verdeeld. Hieronder lees je wat er precies gebeurt, welke sporen onderzoekers zagen en wat je het beste direct kunt doen als je vermoedt dat dit ook bij jou speelt.
Wat is Microsoft 365 token replay?
Bij een Microsoft 365 token replay-aanval draait het om het hergebruiken van toegangsbewijzen. In plaats van wachtwoorden te raden, proberen aanvallers het token te bemachtigen dat Microsoft uitgeeft nadat een gebruiker is ingelogd. Vervolgens herhalen ze dat token vanaf hun eigen omgeving om opnieuw toegang te krijgen.
De kern is dat het token een vorm van “bewijs van login” bevat. Als dat token eenmaal is vastgelegd, hoeft de aanvaller het proces niet opnieuw te doorlopen om MFA te omzeilen—tenzij het token intussen ongeldig is geworden. In de praktijk bleek dat aanvallers snel handelen en doorzetten.
AitM relay: onderscheppen van credentials én MFA
De campagne maakte gebruik van een adversary-in-the-middle (AitM) aanpak. Daarbij staat een nep-loginpagina “tussen” de gebruiker en de legitieme Microsoft-infrastructuur. De aanvaller vangt dan:
- de ingevulde aanmeldgegevens;
- de MFA-codes die de gebruiker invoert;
- en vooral: de informatie die volgt uit een succesvolle sign-in.
Onderzoekers constateerden dat dit gebeurt via een door de aanvaller gehoste pagina die de invoer doorstuurt naar de echte login. Zo ontstaat de basis om het later “heraf te spelen” token te gebruiken.
Token spraying op schaal
Het hergebruik werd niet beperkt tot één slachtoffer. De aanpak werd door onderzoekers token spraying genoemd: aanvallers replayen een verzameling gestolen tokens in een tempo en omvang die vergelijkbaar is met hoe password spraying werkt. Het doel is om op meerdere organisaties en accounts tegelijk kansen te creëren.
Huntress gaf aan dat er 497 succesvolle Microsoft 365 sign-in events werden gezien over slachtoffers heen, voortkomend uit meer dan 200.000 loginpogingen. Daarbij werden ook herleidbare mislukte pogingen in dezelfde campagneperiode teruggekoppeld naar één IP-blok.
Wat gebeurt er na succesvolle toegang?
Na een succesvolle login gingen de aanvallers verder dan alleen “even binnenkomen”. Ze richtten zich op persistentie en uitval van detectie.
MFA omzeilen door nieuwe authenticators te registreren
In minstens 19 organisaties zagen onderzoekers dat bestaande MFA-methoden werden verwijderd en dat een nieuwe authenticatiemethode werd geregistreerd binnen drie uur na de eerste succesvolle sign-in. In één waarneming werd al binnen minder dan 51 minuten een nieuwe authenticator-app met de naam “iPhone 13” geactiveerd.
Deze stap maakt het voor het slachtoffer moeilijker om met een reset alles direct “op slot” te zetten. Zelfs als het token niet langer werkt, kan de nieuwe MFA-route de aanvaller blijven ondersteunen.
Rogue Entra devices voor langdurigere tokenaanvragen
Daarnaast registreerden aanvallers valse apparaten in de Microsoft Entra-directory. Onderzoekers meldden dat ze ten minste 48 fake computers konden terugvinden. Het voordeel voor de aanvaller is dat een geregistreerd apparaat langer “blijft bestaan” in de directory, waardoor tokenaanvragen persistenter worden dan alleen met een gestolen sessietoken.
Verborgen mailregels om berichten te wissen of te verstoppen
Op e-mailniveau zetten aanvallers ook defensie-ondermijnende acties op. Ze plaatsten verborgen mailregels met korte en onduidelijke namen, bedoeld om inkomende berichten met trefwoorden rond bijvoorbeeld payroll, deposit en bonus te verwijderen of naar minder opvallende mappen te verplaatsen.
In één mailbox labelde de regel alle binnenkomende berichten als gelezen en verwijderde ze daarna. Vervolgens gebruikte de mailbox de uitgaande kant voor spam naar honderden externe ontvangers. En dat gebeurde terwijl de account later door Entra ID Protection als high risk werd geclassificeerd.
Waar kwamen de tokens vandaan?
Onderzoekers gaven aan dat de gestolen tokens meerdere herkomstbronnen kunnen hebben. De waargenomen bronnen omvatten:
- AitM-relays achter neppe “sign-in” pagina’s;
- device-code phishing;
- social engineering tijdens een legitiem lijkend inlogmoment.
Dat betekent dat één enkele campagne niet per se één techniek vereist; dezelfde aanvallers kunnen combineren en zo de kans vergroten dat ze tokens bemachtigen.
Tekenen die je kunt controleren
Als je bang bent voor Microsoft 365 token replay, zijn er enkele praktische signalen om op te letten. Onderzoekers adviseren om gericht te zoeken in de volgende onderdelen:
- Sessions intrekken en direct sessies herroepen;
- wachtwoord resetten (waar nodig ook voor accounts die mogelijk alleen als “tussenstop” dienden);
- Entra-apparaten auditen en verwijderen wat niet klopt;
- MFA-methoden nakijken op onverwachte authenticators;
- Controleer inbox rules op nieuwe of obscure regels;
- Zoek naar onverwachte enterprise applications of toestemmingstoekenningen.
Daarnaast wordt aangeraden om de device-code workflow te beperken met Conditional Access Policies (CAP’s).
Conditional Access: MFA aanvullen, niet alleen erop leunen
CAP’s kunnen gaten dichten die MFA op zichzelf niet volledig dicht. De onderzoekers benadrukken dat CAP’s alleen effectief zijn als ze correct worden geïmplementeerd. Hun advies: configureer beleid voor alle gebruikers en relevante cloud apps en client app types, en laat MFA hierbij standaard de deur dicht doen (of juist blokkeren waar het moet).
Concreet luidt het advies om CAP’s in te richten met een aanpak zoals: vereis MFA (of blokkeer) voor All Users, All Cloud Apps en All Client App types, zonder uitzonderingen die ongewenste paden openzetten.
Waarom dit type aanval extra gevaarlijk is
De reden dat Microsoft 365 token replay zo hard kan aankomen, is dat het minder “ruis” oplevert dan wachtwoordaanvallen. Als tokens al geldig zijn, kan het lijken alsof de gebruiker normaal inlogt—zeker als aanvallers snel persistente MFA en apparaten toevoegen.
Bovendien kunnen aanvallers door het gebruik van AitM en replay zowel de sessiestap als de vervolgacties (regels, spam, apparaatregistraties) combineren. Daardoor is een simpele “even MFA resetten” soms onvoldoende.
Gerelateerde aanpakken: verbeter je sessie- en accounthygiëne
Heb je te maken met signalen rondom gecompromitteerde sessies, dan helpt het om je breder te richten op token-, sessie- en toegangspaden. Over vergelijkbare manieren waarop aanvallers toegang omzeilen met sessie-gerelateerde technieken, is er bijvoorbeeld extra context in:
- Tailscale SSH-flaws: van toegang naar root — om te begrijpen hoe escalatie kan plaatsvinden nadat toegang eenmaal is afgedwongen.
- AI-agenten als insider threat: wat je nu ziet — nuttig om te herleiden hoe persistente misbruiksporen soms “legit” lijken in logs.
Wat je vandaag kunt doen (praktische checklist)
Als je dit soort risico serieus neemt, kun je het volgende als startpunt gebruiken. Werk dit af voor de accounts die het meest privileges hebben en voor recente verdachten (nieuwe MFA, nieuwe apparaten, onbekende regels).
- Intrek sessies en controleer of er daarna geen nieuwe verdacht inloggedrag ontstaat.
- Reset wachtwoorden voor gecompromitteerde of vermoedelijke accounts.
- Audit Entra devices: verwijder rogue geregistreerde computers.
- Herbekijk MFA: verwijder onbekende authenticators en check of MFA-methoden niet zijn aangepast.
- Doorzoek mailregels op verborgen regels met rare namen en uitzonderingen.
- Check enterprise apps en permissions die je niet herkent.
- Versterk Conditional Access met beleid dat MFA bewaakt en device-code workflows beperkt.
Conclusie
Microsoft 365 token replay-aanvallen tonen een nieuw niveau van accountcompromittering: aanvallers onderscheppen sign-in sessies via AitM, pakken de uitgegeven token(s) en replayen die om toegang te krijgen. Vervolgens bouwen ze persistentie in via nieuwe MFA-methoden en rogue Entra-apparaten, terwijl e-mailregels en spam helpen om vervolgschade te verbergen.
Door snel sessies in te trekken, wachtwoorden te resetten, Entra devices te auditen, MFA te controleren en Conditional Access goed in te richten, verklein je de kans dat een gestolen token nog bruikbaar blijft of dat aanvallers de controle over het account behouden.
Bron: https://thehackernews.com/2026/10/microsoft-365-token-replay-attacks.html
