Według Cisco Talos panel ARToken służy do phishingu kodem urządzenia i działań po przejęciu kont Microsoft 365. W analizie opublikowanej 1 lipca badacze wskazali utrwalanie dostępu przez PRT, dostęp do poczty oraz eksfiltrację danych z SharePoint. Dla finansów, HR i administratorów usług chmurowych płynie stąd wspólny wniosek: ochrona powinna obejmować tokeny, rejestrację urządzeń i aktywność po zalogowaniu.

Czy zgłoszenie przejęcia konta Microsoft 365 można zamknąć, zanim ustalimy, co działo się z firmową pocztą i dokumentami? Potraktujmy to pytanie jako początek ćwiczenia dla administratora oraz przedstawicieli finansów i HR. Załóżmy jawnie hipotetyczną sytuację: zespół ma ocenić zakres incydentu, ale dysponuje jedynie informacją o przejętym koncie. Poprośmy uczestników o wskazanie, czego potrzebują przed decyzją o zakończeniu sprawy. Opis ARToken daje do tej rozmowy konkretne tematy: trwałość dostępu, pocztę i SharePoint. Poniższe zalecenia są redakcyjnymi wnioskami z tych możliwości panelu. Ćwiczenie ma sprawdzić naszą organizację; nie odtwarza zachowania ofiar ani ich procedur.

ARToken obejmuje także działania po przejęciu konta

Jak podaje Cisco Talos w analizie ARToken, phishing kodem urządzenia jest częścią zestawu możliwości panelu. Obok niego badacze opisali utrwalanie dostępu przez PRT, dostęp do poczty i eksfiltrację SharePoint, czyli wyprowadzanie danych z tej usługi. Zestawienie tych funkcji uzasadnia spojrzenie na incydent szerzej niż przez sam moment przejęcia konta.

W planie sprawdzenia Microsoft 365 rozdzielmy pytania o uzyskanie dostępu, jego utrzymanie i wykorzystanie. Administratorowi przypiszmy ustalenie, co da się sprawdzić przy tokenach, rejestracji urządzeń i aktywności na koncie. Przy PRT zapiszmy osobno zakres możliwego sprawdzenia oraz luki wymagające dalszej analizy. Odnotujmy, kto ma rozstrzygnąć każdą z nich.

Pocztę i SharePoint uwzględnijmy jako odrębne pozycje w ocenie incydentu. Dla każdej poprośmy o ustalenia dotyczące dostępu oraz dostępnych śladów działań. Możliwości opisane przez Cisco Talos traktujmy jako podstawę pytań, bez uznawania ich za dowód wykorzystania wszystkich funkcji przeciw konkretnej firmie.

Ocena przejęcia konta Microsoft 365 kończy się dopiero pytaniem o dalszy dostęp i wykorzystanie firmowych danych.

Procedura dla Microsoft 365 wymaga próby z finansami i HR

Przytoczone ustalenia o ARToken nie opisują procedur ofiar ani decyzji ich pracowników. Nie pozwalają więc ocenić, gdzie konkretna instrukcja rozminęła się z praktyką. Takie porównanie proponujemy wykonać we własnej firmie: zestawić zapisaną ścieżkę obsługi przejęcia konta z odpowiedziami administratora, finansów i HR.

W ćwiczeniu poprośmy administratora o wskazanie informacji, które przekaże właścicielowi procesu po zgłoszeniu podejrzenia dostępu do poczty. Finanse i HR niech określą, jakich ustaleń potrzebują do oceny korespondencji oraz dokumentów związanych ze swoją pracą. Następnie sprawdźmy w instrukcji, kto ma połączyć te odpowiedzi w decyzję o dalszej obsłudze sprawy.

Jeżeli procedura Microsoft 365 nie wskazuje osoby odpowiedzialnej za ocenę SharePoint, zapiszmy ten brak i przypiszmy jego uzupełnienie. Podobnie potraktujmy brak odpowiedzi na pytanie o PRT lub rejestrację urządzeń. Wynikiem próby powinien być wykaz odpowiedzialności i niewiadomych. Nie wymagajmy od finansów ani HR samodzielnego rozstrzygania pytań o tokeny; poprośmy je o określenie zakresu spraw biznesowych do oceny.

Zarząd powinien wymagać oceny poczty i SharePoint

Dla zarządu proponujemy przełożyć opis ARToken na kryteria zamknięcia incydentu. W raporcie dotyczącym Microsoft 365 zażądajmy informacji, co ustalono o utrzymaniu dostępu, poczcie i SharePoint, kto odpowiada za ocenę każdego obszaru oraz czego nadal nie wiadomo. Przy braku danych poprośmy o wskazanie następnego kroku i osoby, która podejmie decyzję.

Nie wyliczajmy kosztu incydentu z samego katalogu funkcji ARToken. Przytoczone fakty nie podają kwoty strat ani zakresu szkód w konkretnej organizacji. Do rozmowy o konsekwencjach zaprośmy finanse i HR z zadaniem wskazania własnych procesów korzystających z poczty i SharePoint. Ustalenie wpływu na te procesy pozostawmy do weryfikacji na podstawie danych z firmy.

W decyzji zarządczej rozdzielmy wynik oceny technicznej Microsoft 365 od zgody na zakończenie obsługi sprawy biznesowej. Dla obu wskażmy odpowiedzialnego i wymagane informacje. Taki podział proponujemy jako sposób uporządkowania reakcji; jego przyjęcia nie traktujmy jako potwierdzenia, że zespół wyjaśnił incydent w całości.

Zarząd powinien otrzymać ustalenia o poczcie i SharePoint wraz z listą niewiadomych oraz osobą odpowiedzialną za każdą z nich.

Polska firma może zacząć od własnego zakresu Microsoft 365

Fakty przytoczone w tej analizie nie pozwalają ustalić, czy ARToken wykorzystano przeciw polskim organizacjom. Nie podajemy zatem liczby krajowych ofiar ani nie szacujemy, ile polskich organizacji mógł dotknąć ARToken. Dla polskiej firmy korzystającej z Microsoft 365 proponujemy wykorzystać opis panelu do przeglądu własnej odpowiedzialności za usługi chmurowe.

Zacznijmy od ustalenia z finansami i HR, czy i w jakim zakresie korzystają z poczty oraz SharePoint. W notatce uwzględnijmy wyłącznie potwierdzone zastosowania tych usług. Jeśli dany zespół nie używa SharePoint, zaznaczmy to zamiast dopisywać mu hipotetyczny zbiór dokumentów. Administrator niech wskaże kontakt do osoby mogącej ocenić tokeny i rejestrację urządzeń.

Do wspólnej rozmowy dołączmy analizę Cisco Talos z 1 lipca 2026 r. jako uzasadnienie zakresu przeglądu. Finansów i HR poprośmy o wskazanie osoby uprawnionej do decyzji w ich procesach, a administratora o określenie brakujących ustaleń technicznych. Każde przekazanie sprawy między tymi rolami zakończmy zapisem odbiorcy, zakresu zadania i informacji oczekiwanej w odpowiedzi.

Co z tym zrobić w poniedziałek

Na każde działanie przeznacz do 30 minut; zakończ je krótką notatką z ustaleniami lub brakami.

  1. Przejrzyj instrukcję obsługi przejęcia konta Microsoft 365. Sprawdź, czy obejmuje tokeny, PRT, rejestrację urządzeń, pocztę i SharePoint. Przy brakujących pozycjach zapisz osobę, która ma doprecyzować zakres kontroli. Rezultatem ma być lista uzupełnień do instrukcji.
  2. Przeprowadź krótką próbę z finansami lub HR. Na hipotetycznym zgłoszeniu przejęcia konta sprawdź, komu zespół przekazuje podejrzenie i od kogo oczekuje informacji o poczcie oraz dokumentach. Zapisz rozbieżności między odpowiedziami a instrukcją.
  3. Przygotuj szablon decyzji o zamknięciu incydentu. Umieść w nim osobne miejsca na ustalenia o utrzymaniu dostępu, poczcie i SharePoint. Przy każdym dodaj pole na niewiadome, odpowiedzialnego i następny krok. Przekaż szablon właścicielowi procedury do uzgodnienia.

Po analizie ARToken przyjmijmy dla Microsoft 365 kryterium: decyzja o zakończeniu sprawy wymaga oceny dalszego dostępu i aktywności po zalogowaniu. Tokeny, rejestracja urządzeń, poczta i SharePoint powinny mieć wskazanych odpowiedzialnych za sprawdzenie. Od finansów, HR i administratorów oczekujmy wspólnego uzgodnienia, jakie ustalenia wystarczą do decyzji, a jakie niewiadome wymagają dalszej pracy.

Źródła

  1. Cisco Talos: ARToken: Inside an EvilTokens affiliate panel targeting Microsoft 365. Publikacja: 1 lipca 2026 r.

Redakcja cyberinsight.pl.