Жертва вводит пароль. Потом – шестизначный код из приложения-аутентификатора. Microsoft принимает оба, многофакторная проверка отрабатывает честно, вход засчитан. Всё по-настоящему: по ту сторону отвечает подлинный login.microsoft.com, а не его муляж. И ровно в этот момент аккаунт уже не принадлежит владельцу.
Пароль атакующему не был нужен ни секунды. Он охотился за тем, что Microsoft выписывает после успешного входа, – за куками авторизованной сессии. Снял их копию – и дальше заходит в почту без пароля, без кода, без единого запроса второго фактора: сессия уже открыта, предъявлять нечего.
Это adversary-in-the-middle, AitM: не фальшивая форма логина, а прозрачный прокси, посаженный между жертвой и настоящим Microsoft. Он гонит через себя весь трафик входа в обе стороны, отдаёт жертве подлинные ответы Microsoft и снимает копию сессии на выходе. Так работает группа, которую Proofpoint отслеживает под кодом TA419, – и бьёт она не по банкам, а по тем, кто пишет американскую политику в области ИИ.
В феврале 2026-го одной из приманок стало письмо от имени сотрудника компании Anthropic с темой «Request for Feedback on Military Integration of Claude» – «просьба об отзыве по военной интеграции Claude». Мишень и легенда здесь подобраны так же прицельно, как технический инструмент.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Оформить подписку →Автор: hacker@shifry.local