Microsoft оценила сканирование URL в OneDrive как низкоуровневый риск

Microsoft сообщила корпоративным клиентам, что обнаружение имён пользователей через сканирование URL в OneDrive и SharePoint само по себе не означает компрометацию учётных записей. Компания относит такой метод к разведывательным техникам с низким уровнем риска, поскольку он не позволяет напрямую обойти аутентификацию.

Ссылки на файлы и каталоги в OneDrive и SharePoint нередко содержат основные имена пользователей — User Principal Names (UPN). Злоумышленник может попытаться подобрать адреса ресурсов и использовать найденные данные для дальнейших атак: фишинга, перебора паролей, подстановки украденных учётных данных или социальной инженерии.

Проблема для служб безопасности заключается в том, что подобные проверки URL не отражаются в журналах входа и Microsoft Purview. В результате организации не получают отдельных уведомлений о сканировании, а сам факт разведывательной активности может остаться незамеченным.

При этом Microsoft указывает, что раскрытие UPN не даёт злоумышленнику доступа к аккаунту, если в организации применяются базовые защитные меры. Компания рекомендует использовать многофакторную аутентификацию и политики условного доступа, которые ограничивают возможность входа в зависимости от контекста запроса и уровня риска.

Сервисы Microsoft также ограничивают частые обращения к несуществующим ресурсам. Если кто-то многократно пытается открыть подобные адреса в SharePoint или OneDrive, система может вернуть ошибку HTTPS 429 — «слишком много запросов». Это затрудняет автоматизированный перебор ссылок в поисках действительных имён пользователей.

Какие меры рекомендует Microsoft

Если UPN всё же оказался у злоумышленника, основной защитой от фишинга Microsoft называет предварительное обучение сотрудников. Пользователям необходимо объяснять, как распознавать подозрительные запросы, ссылки и уведомления о входе или подтверждении многофакторной аутентификации.

• Для защиты от подстановки учётных данных Microsoft рекомендует использовать Entra MFA.
• Против социальной инженерии следует применять Entra Conditional Access и контроль рисков при входе.
• Организациям важно сочетать технические меры с регулярным обучением сотрудников и надёжным управлением учётными записями.

В компании подчёркивают, что выявление имён пользователей через OneDrive остаётся пассивным и относительно малорисковым этапом разведки. Однако собранная информация может стать основой для более опасных атак, если злоумышленник использует её против сотрудников или привилегированных пользователей.

Ранее сообщалось об атаках на производственные среды Microsoft 365 и Azure, в которых злоумышленник применял легитимные приложения и административные функции для кражи данных. Целями становились пользователи с расширенными полномочиями, включая IT-специалистов и руководителей. После получения учётных данных Microsoft Entra ID атакующий мог получить доступ к данным в приложениях Microsoft 365.

Предположительно, в одной из схем использовалась процедура самостоятельного сброса пароля (SSPR). Злоумышленник инициировал сброс для учётной записи сотрудника, а затем с помощью социальной инженерии добивался подтверждения запросов многофакторной аутентификации. Этот сценарий показывает, что даже относительно безобидные разведывательные методы могут использоваться как первый этап более сложной атаки.