In de eerste zes maanden van 2026 is een enorme toename van 155 keer in password spraying aanvallen vastgesteld, waarbij aanvallers gebruikmaken van kwetsbaarheden in multi-factor authenticatie (MFA). Dit blijkt uit onderzoek van Huntress Labs. Een belangrijke oorzaak van deze stijging was een campagne gericht op Microsoft's Azure CLI, een command-line tool voor het beheer van Azure en Entra resources. De aanvallen kwamen vanuit een IPv6-adresblok dat beheerd wordt door internetprovider LSHIY LLC.

In juni 2026 alleen al registreerde Huntress meer dan 81 miljoen inlogpogingen gerelateerd aan deze campagne, met 78 gecompromitteerde accounts binnen een periode van twee weken. De gebruikte methode combineerde grootschalige password spraying met het hergebruik van geldige gebruikersnaam-wachtwoordcombinaties uit eerdere datalekken die niet waren gewijzigd. Dit maakte elke succesvolle poging waardevoller dan een standaard gok.

De aanvallers maakten daarbij gebruik van Resource Owner Password Credentials (ROPC), een verouderde OAuth-methode die niet compatibel is met moderne authenticatiestromen zoals MFA of SSO. ROPC stuurt gebruikersnaam en wachtwoord rechtstreeks naar het /token-eindpunt zonder een interactieve MFA-uitdaging, waardoor een hergebruikt wachtwoord kan leiden tot een actieve sessie zonder extra verificatie.

Veel van de getroffen organisaties hadden MFA geïmplementeerd via een Conditional Access Policy (CAP), maar deze was niet geconfigureerd om deze specifieke authenticatiestroom te dekken. Hierdoor konden aanvallers alsnog toegang krijgen ondanks MFA. Volgens Andrew “Spike” Brandt, Principal Threat Intelligence Incident Commander bij Huntress, is deze methode technisch gezien een vorm van impersonatie, ondanks dat het als autorisatiemethode wordt gezien.

Na succesvolle inlogpogingen werden geen verdere compromitterende activiteiten waargenomen, wat erop wijst dat de aanvaller mogelijk credentials valideerde voor doorverkoop op het dark web, aldus Rich Mozeleski, Staff Product Manager bij Huntress. LSHIY heeft later de aanvallen vanaf het oorspronkelijke IP-bereik beëindigd en bevestigd dat de aanvaller gebruikmaakte van hun bring-your-own-IP (BYOIP) dienst.

BYOIP stelt klanten in staat om eigen IP-adressen via een provider te routeren, wat aanvallers flexibiliteit geeft om tussen IP-bereiken en providers te wisselen. Dit bemoeilijkt het blokkeren en detecteren van aanvallen, vooral bij gebruik van IPv6, dat een zeer groot adresbereik biedt. De aanvallen van de LSHIY-campagne kwamen voort uit het IPv6-bereik 2a0a:d683::/32, wat het moeilijk maakt om op IP-adresniveau effectief te blokkeren.