Федеральное бюро расследований США и Агентство по кибербезопасности (CISA) выпустили совместное предупреждение: группировка, идентифицированная как российская APT, использовала скомпрометированные корпоративные маршрутизаторы для перехвата аутентификационных токенов Microsoft Office 365. Инцидент затронул организации в США, Европе и, по ряду данных, государства-партнёры НАТО.
Схема атаки
Согласно Krebs on Security, атака строилась в несколько этапов¹. На первом злоумышленники получали доступ к уязвимым корпоративным роутерам — устройствам Cisco, Juniper и Netgear с известными уязвимостями, которые IT-службы не успели закрыть. Доступ обеспечивался через публично известные CVE и ранее скомпрометированные учётные данные.
Установившись на роутере, атакующие организовывали перехват трафика (man-in-the-middle). При использовании OAuth-авторизации (стандартная схема входа в Microsoft 365, Teams, SharePoint) сессионные токены передаются через сеть. Если соединение не зашифровано корректно или злоумышленник контролирует промежуточный узел, токен можно перехватить и использовать без знания пароля.
Масштаб и жертвы
ФБР не называет конкретные организации жертвами. По данным Krebs on Security, речь идёт о нескольких сотнях скомпрометированных роутеров в США и около двух десятков в Европе. Среди жертв предположительно — государственные структуры, оборонные подрядчики и крупные корпорации.
CISA рекомендует организациям: немедленно обновить прошивки роутеров, включить принудительное HTTPS для всего внутреннего трафика, перейти на FIDO2/passkeys вместо OAuth-токенов там, где это возможно.
Технический контекст: почему токены уязвимы
OAuth-токены — удобный механизм «бессерверной» авторизации, позволяющий приложениям работать без многократного ввода пароля. Но это же делает их ценной целью. В отличие от пароля, который хранится хэшированным, токен в момент передачи представляет собой «живой» ключ доступа.
Microsoft начиная с 2024 года активно внедряет дополнительную защиту токенов (Continuous Access Evaluation, CAE), привязывая сессию к IP-адресу и другим параметрам. Однако CAE ещё не везде включена по умолчанию, а часть корпоративных клиентов использует устаревшие конфигурации.
Контекст для российских читателей
Новость затрагивает несколько аспектов, важных для российской аудитории. Во-первых, методы перехвата токенов через скомпрометированные сетевые устройства — не новость в профессиональных кругах, и российские компании сами сталкиваются с подобными атаками. По данным BI.ZONE и Positive Technologies, атаки на сетевое оборудование входят в топ-5 векторов угроз для российских организаций.
Во-вторых, упоминание «российской APT» в американских пресс-релизах — стандартная практика, которую российские официальные лица неизменно отрицают, ссылаясь на отсутствие публичных доказательств.
---
¹ Источник: Krebs on Security — https://krebsonsecurity.com/2026/04/russia-hacked-routers-to-steal-microsoft-office-tokens/