Краткая сводка

Подразделение Okta Threat Intelligence расследует масштабную серию инцидентов, связанных с разведкой, мошеннической регистрацией и попытками вторжения в сотни тенантов Auth0 и Okta.

Данная активность имеет масштабный характер и значительно возросла в октябре и начале ноября 2026 года. Она распределена среди клиентов как Auth0, так и Okta, при этом сторонние исследователи (Wiz и Microsoft) зафиксировали аналогичную активность в Amazon Cognito и Microsoft Entra. Мы не зафиксировали эксплуатации неправильных конфигураций или уязвимостей, специфичных для какой-либо платформы идентификации.

Угроза включает в себя сканирование публичных конечных точек, мошенническую регистрацию учетных записей и другие распространенные методы атак на идентификационные данные, такие как подстановка учетных данных (credential stuffing). В большинстве организаций наиболее серьезным последствием этой активности является мошенническая регистрация аккаунтов. Однако в случаях, когда организации используют федерацию идентификации, связывание учетных записей или другие варианты смешанного использования клиентами, партнерами и сотрудниками, присутствие таких аккаунтов создает риск потенциального компрометирования в будущем.

Мы полагаем, что несколько злоумышленников почти наверняка поручили одному или нескольким агентским фреймворкам (вероятно, многоагентному автономному фреймворку тестирования на проникновение ARTEX) проведение масштабной разведки на основе идентификационных данных и попыток компрометации веб-приложений. Часть зафиксированной нами активности совпадает с действиями конкретного оператора ARTEX, выявленного корпорацией Microsoft, . Тем не менее, Okta не может независимо подтвердить, что вся наблюдаемая активность осуществлялась именно с помощью ARTEX.

Рассматриваемые агенты пытаются использовать известные (распространенные) ошибки конфигурации и атаки с высокой скоростью и в больших масштабах. Мы пока не зафиксировали никаких новых форм эксплуатации.

Изначально мы наблюдали описанные ниже паттерны активности в отношении тенантов цифровой идентичности клиентов из сферы криптовалютных провайдеров, однако впоследствии они распространились и на другие организации.

Цель данной публикации в блоге — предоставить клиентам Auth0 и Okta дополнительный контекст относительно большого объема событий, появляющихся в их журналах, о том, что именно пытаются сделать злоумышленники, и какие конкретные конфигурации подвергаются наибольшему риску.

Анализ угроз

Характер наблюдаемой активности различается для каждой организации/тенанта и, судя по всему, настраивается на лету в зависимости от результатов разведывательной деятельности.

Наиболее распространенными особенностями являются:

Разведка публичных конечных точек Мы зафиксировали мошеннические запросы OAuth, в которых поля client_id и redirect_uri были заполнены действующими URL-адресами со страниц входа приложений, федеративных с Okta. Весьма вероятно, что эта информация была получена путем сбора данных из общедоступных источников.

Разведка публичных конечных точек Мы зафиксировали мошеннические запросы OAuth, в которых поля client_id и redirect_uri были заполнены действующими URL-адресами со страниц входа приложений, федеративных с Okta. Весьма вероятно, что эта информация была получена путем сбора данных из общедоступных источников.

Попытки манипулирования потоками авторизации Мы зафиксировали тестирование потоков OAuth с целью проверить, разрешает ли приложение домены в перенаправлениях OAuth, правильно ли приложение проверяет области (scopes) OAuth, требуют ли запросы авторизации PKCE, требуют ли запросы действительного заголовка DPoP или правильно ли приложение проверяет подпись JWT (JSON Web Tokens).

Попытки манипулирования потоками авторизации Мы зафиксировали тестирование потоков OAuth с целью проверить, разрешает ли приложение домены в перенаправлениях OAuth, правильно ли приложение проверяет области (scopes) OAuth, требуют ли запросы авторизации PKCE, требуют ли запросы действительного заголовка DPoP или правильно ли приложение проверяет подпись JWT (JSON Web Tokens).

Мошенническая регистрация учетных записей Мы зафиксировали мошенническую регистрацию тысяч аккаунтов в нескольких сотнях тенантов Auth0 и Okta, поддерживающих самостоятельную регистрацию (self-service registration). Адреса электронной почты, использованные при регистрации аккаунтов, демонстрировали определенные закономерности, описанные ниже.

Мошенническая регистрация учетных записей Мы зафиксировали мошенническую регистрацию тысяч аккаунтов в нескольких сотнях тенантов Auth0 и Okta, поддерживающих самостоятельную регистрацию (self-service registration). Адреса электронной почты, использованные при регистрации аккаунтов, демонстрировали определенные закономерности, описанные ниже.

Подстановка учетных данных и распыление паролей Там, где тестирование с помощью агентов выявило слабые или уязвимые потоки аутентификации, такие как предоставление учетных данных владельца ресурса (ROPC) или Auth0’s cross-origin authentication flow, мы зафиксировали проведение в отношении организаций проверок, оценивающих лимиты запросов (rate limits), а также многократные попытки входа в учетные записи с использованием распространенных или известных скомпрометированных учетных данных.

Подстановка учетных данных и распыление паролей Там, где тестирование с помощью агентов выявило слабые или уязвимые потоки аутентификации, такие как предоставление учетных данных владельца ресурса (ROPC) или , мы зафиксировали проведение в отношении организаций проверок, оценивающих лимиты запросов (rate limits), а также многократные попытки входа в учетные записи с использованием распространенных или известных скомпрометированных учетных данных.

Мошенническая регистрация учетных записей

Везде, где доступна самостоятельная регистрация, мы наблюдали мошенническую регистрацию тестовых аккаунтов в тенантах Auth0 и Okta. По нашей оценке, эти учетные записи, вероятнее всего, регистрировались для проверки того, как целевое приложение реагирует на определенные условия, которые иногда использовались в ходе последующей активности. Проверяемые условия включали, помимо прочего, следующие:

Создание учетной записи с использованием имени пользователя, которое уже зарегистрировано
Проверка того, требует ли вновь зарегистрированная учетная запись подтверждения владельца почтового ящика, указанного в качестве имени пользователя
Вход в систему с использованием несуществующих имен пользователей (адресов электронной почты)
Восстановление пароля для зарегистрированной или незарегистрированной учетной записи
Восстановление пароля учетной записи из несуществующего почтового ящика

Адреса электронной почты зарегистрированных учетных записей имели следующие закономерности:

Несуществующие адреса электронной почты — часто помеченные соответствующим образом в имени пользователя (эти «пробные учетные записи» подробно описаны ниже).
Распространенные префиксы электронной почты, используемые для общих учетных записей в рабочем окружении (эти «общие почтовые ящики» подробно описаны ниже).
Адреса электронной почты, созданные с использованием сервисов одноразовой почты (эти «одноразовые учетные записи» подробно описаны ниже).
Адреса электронной почты, ранее включенные в различные утекшие списки, используемые при атаках методом подстановки учетных данных.

Пробные учетные записи

В выборке наблюдаемых регистраций учетных записей информация о назначении аккаунта была зашифрована в адресе электронной почты, указанном при регистрации.

Мы зафиксировали регистрацию пользователей у нескольких клиентов, например, когда новые учетные записи соответствовали схеме наименования, определяющей:

(a) тип атаки, для проведения которой будет использоваться аккаунт, и (b) десятизначный код, представляющий метку времени UNIX для момента создания учетной записи пользователя.

Например: i04probe1792451568@disposableemailservice[.]com

Мы полагаем, что буква «i» в «i04», вероятнее всего, относится к конкретному «намерению» (intent) в рамках активности, то есть к технике, которую попытался применить агент. 1792451568 — это метка времени UNIX для понедельника, 19 октября 2026 г., 23:12:48 UTC, точное время создания новой учетной записи в клиенте.

Рисунок 1. Пример тестового адреса электронной почты для проверки

Мы полагаем, что эти идентификаторы были заложены в имена учетных записей в стремлении упростить определение назначения учетной записи в тестах, описанных нами далее.

Общие почтовые ящики

В большом числе зафиксированных регистраций учетных записей в клиентах CIAM (Customer Identity and Access Management) злоумышленники регистрировали учетные записи с использованием общих префиксов электронной почты, применяемых для общих почтовых ящиков в корпоративной среде. Это был ярко выраженный паттерн в кластере активности, нацеленном на криптовалютные биржи.

Мы зафиксировали попытки регистрации новых учетных записей в целевых доменах компаний с использованием таких общих терминов, как:

accounting@, admin@, billing@, careers@, compliance@, digital@, info@, investors@, ir@, legal@, marketing@, marketoperations@, membership@, noreply@, sales@, security@, support@

Рисунок 2. Пример формата электронной почты общего почтового ящика

Во многих случаях эти адреса электронной почты были действительными для рассматриваемого домена, и попытка регистрации приводила к отправке запросов по электронной почте для подтверждения новой учетной записи. Мы также зафиксировали случаи, когда сотрудник организации случайно нажимал на ссылку для подтверждения регистрации учетной записи.

Хотя мы не наблюдали этого напрямую в ходе данного расследования, третьи лица сообщали об инцидентах, в рамках которых злоумышленники получали привилегированный доступ к публичному приложению путем успешной регистрации учетной записи с именем пользователя, содержащим доменное имя, используемое для внутренних пользователей.

Одноразовые учетные записи

Мы зафиксировали регистрацию пользовательских учетных записей с использованием провайдеров одноразовой электронной почты, причем наблюдалось явное предпочтение сервисов, предоставляющих хорошо документированные (удобные для агентов!) API.

Основным примером является служба временной электронной почты mail[.]tm, которая выдает адреса электронной почты вида [account]@maxxspace[.]com. Этот API можно использовать для автоматизации создания и управления одноразовыми учетными записями без требования ключа API.

Атака методом подбора учетных данных (credential stuffing) и распыление паролей

Мы зафиксировали попытки подбора учетных данных для существующих учетных записей в некоторых из тех же целевых приложений, что и при мошеннической регистрации. Мы также зафиксировали распыление паролей, распределенное по пулам жилых прокси. Этот паттерн согласуется со стремлением обойти лимиты блокировки по IP-адресам.

Это особенно важно для клиентов, поддерживающих кросс-доменную аутентификацию (Auth0) или предоставление прав ROPC (в Auth0 или Okta). Этот тип предоставления прав был разработан для миграции со старых систем идентификации на потоки на базе OAuth и не подходит для текущей среды угроз. Клиенты Okta могут обратиться к предыдущим рекомендациям по угрозам, чтобы понять, почему эти типы предоставления прав являются проблемными.

Связь со Storm-0940

Часть всей зафиксированной активности пересекается с конкретным оператором ARTEX, которого Microsoft называет Storm-0940. Microsoft связывает активность Storm-0940 с субъектом, связанным с правительством Китая, который использовал агентский фреймворк тестирования на проникновение на базе ИИ ARTEX для атак на сотни организаций по всему миру в период с сентября по октябрь 2026 года. Примечательно, что Storm-0940 провел атаку на цепочку поставок клиентов Entra через компрометацию секретов от ConnectWise, американского провайдера программных решений для поставщиков управляемых ИТ-услуг.

Компания ConnectWise отключила семь интеграций приложений с Microsoft 17 октября 2026 года после того, как секрет, используемый для подключения ее службы облачного резервного копирования («Cloud Backup», ранее «SkyKick») к клиентам Entra, был использован для получения несанкционированного доступа к средам Microsoft 365.

TTP, используемые Storm-0940, согласуются с нашими собственными наблюдениями, отмеченными в рамках этих рекомендаций:

«Storm-0940 использовала ARTEX для ускорения сканирования и разведки, распыления паролей и злоупотребления приложениями OAuth у жертв на последующих этапах цепочки».

Okta Threat Intelligence зафиксировала пересечения между IP-адресами, совместно используемыми ConnectWise и , и некоторой активностью ARTEX, которую мы наблюдали с 9 по 23 октября 2026 года:

144.172.64.60
144.172.64.99
144.172.64.128

Эта конкретная инфраструктура использовалась для атак на клиентов Okta в секторах энергетики, оборонной промышленности, производства, права и государственной политики.

Мы также зафиксировали пассивную разведку по меньшей мере двух других поставщиков программного обеспечения, которые предлагают свои услуги поставщикам управляемых ИТ-услуг — организациям, аналогичным ConnectWise.

По нашей оценке, Storm-0940 является одним из нескольких операторов, использующих форк или производную ARTEX, каждый из которых имеет разные мотивы, и все они проводили разведывательные и интрузивные кампании в сентябре и октябре 2026 года. Некоторые сходства в этих атаках также могут быть результатом использования общих агентских навыков, которые могут интегрироваться с этими платформами.

Примечание об оценочной лексике

Команды аналитики угроз Okta используют следующие термины для выражения вероятности или шансов, как описано в Директиве разведывательного сообщества США № 203 «Аналогичные стандарты» (US Office of the Director of National Intelligence, Intelligence Community Directive 203 - Analytic Standards).

Вероятность

Практически нулевой шанс

Крайне маловероятно

Маловероятно

Примерно равные шансы

Вероятно

Очень вероятно

Практически наверленно

Вероятность

Минимальная

Краевы неправдоподобно

Неправдоподобно

Примерно равные шансы

Вероятно

Крайне вероятно

Почти наверняка

Процент

1-5%

5-20%

20-45%

45-55%

55-80%

80-95%

95-99%

Бретт Винтерфорд, Мэтью Вудьярд, Кэти Никелс, Коди Лабрек, Ян Ван и Джереми Кирк также внесли свой вклад в это исследование.

Настоящее информационное уведомление предоставляется исключительно в ознакомительных целях, без каких-либо гарантий или ответственности, не является профессиональной консультацией и не должно использоваться в качестве основы для учета всех аспектов рассматриваемого вопроса. Каждый клиент по-прежнему несет единоличную ответственность за консультации с квалифицированными специалистами, оценку собственных рисков кибербезопасности, а также за выбор и внедрение методов обеспечения безопасности, наиболее подходящих для его конкретных операционных потребностей.

Краткая сводка

Анализ угроз

Наиболее распространенными особенностями являются:

Разведка публичных конечных точек Мы зафиксировали мошеннические запросы OAuth, в которых поля client_id и redirect_uri были заполнены действующими URL-адресами со страниц входа приложений, федеративных с Okta. Весьма вероятно, что эта информация была получена путем сбора данных из общедоступных источников.

Попытки манипулирования потоками авторизации Мы зафиксировали тестирование потоков OAuth с целью проверить, разрешает ли приложение домены в перенаправлениях OAuth, правильно ли приложение проверяет области (scopes) OAuth, требуют ли запросы авторизации PKCE, требуют ли запросы действительного заголовка DPoP или правильно ли приложение проверяет подпись JWT (JSON Web Tokens).

Мошенническая регистрация учетных записей Мы зафиксировали мошенническую регистрацию тысяч аккаунтов в нескольких сотнях тенантов Auth0 и Okta, поддерживающих самостоятельную регистрацию (self-service registration). Адреса электронной почты, использованные при регистрации аккаунтов, демонстрировали определенные закономерности, описанные ниже.

Подстановка учетных данных и распыление паролей Там, где тестирование с помощью агентов выявило слабые или уязвимые потоки аутентификации, такие как предоставление учетных данных владельца ресурса (ROPC) или Auth0’s cross-origin authentication flow, мы зафиксировали проведение в отношении организаций проверок, оценивающих лимиты запросов (rate limits), а также многократные попытки входа в учетные записи с использованием распространенных или известных скомпрометированных учетных данных.