ConsentFix og ClickFix: Slik kaprer du Microsoft 365-kontoer på bare sekunder

Sikkerhetseksperter advarer om to raskt voksende angrepsmetoder, ClickFix og ConsentFix, som utnytter brukeratferd til å kapre Microsoft 365-økter. Angripere trenger ikke å stjele passord eller omgå flerfaktorautentisering gjennom tradisjonelle metoder. I stedet utnytter de legitime autentiseringsflyter og brukertillit, noe som gjør angrepene betydelig vanskeligere å oppdage.

I løpet av det siste året har disse teknikkene blitt observert i et økende antall målrettede kampanjer mot bedrifter og offentlige organisasjoner. Sikkerhetsforskere spår at angrep vil fortsette å øke ettersom de er avhengige av sosial manipulasjon og legitim funksjonalitet snarere enn å utnytte tekniske sårbarheter.

Moderne cyberangrep utnytter menneskelig atferd

Nettkriminelle fokuserer i økende grad på brukeratferd snarere enn tekniske sikkerhetsfeil. Vi er vant til å klikke oss gjennom CAPTCHA-sjekker, godta forespørsler om informasjonskapsler og følge instruksjoner på skjermen uten å stille spørsmål.

Det er nettopp disse refleksive handlingene angripere utnytter.

I stedet for å tvinge frem brannmurer eller utnytte programvaresårbarheter, plasserer de seg midt i en legitim arbeidsflyt og tvinger brukeren til å utføre handlingen som fører til sikkerhetsbruddet.

ClickFix lurer brukeren til å kjøre angriperens kode

ClickFix er en angrepsmetode der brukeren blir presentert for en falsk bekreftelsesside som ber dem om å utføre enkle handlinger, for eksempel å bruke bestemte tastekombinasjoner for å “bekrefte” identiteten sin eller fullføre en prosess.

Det som ser ut som en vanlig verifisering fører faktisk til at brukeren ubevisst limer inn og kjører angriperens kommandoer på sin egen datamaskin.

Ingen sikkerhetshull trenger å utnyttes, og ingen brannmur trenger å omgås. Angriperen er helt avhengig av at brukeren følger instruksjonene.

ClickFix økte kraftig i 2025 og brukes fortsatt aktivt av flere trusselaktører i angrep mot både selskaper og myndigheter.

ConsentFix flytter angrepet til Microsoft 365

Den nyere angrepsvarianten ConsentFix retter seg mot Microsoft 365 OAuth-basert autentisering.

OAuth er en etablert standard som lar brukere gi applikasjoner begrenset tilgang til kontoene sine uten å dele passordet sitt. Hvis disse tilgangstokenene havner i gale hender, kan en angriper utgi seg for å være den legitime brukeren og få tilgang til organisasjonens ressurser.

Angrepet starter vanligvis med en phishing-e-post distribuert via kjente tjenester som Dropbox eller DocSend. I noen tilfeller er dokumentet også passordbeskyttet, noe som gjør det vanskeligere for sikkerhetsløsninger å analysere innholdet.

Når brukeren åpner dokumentet, blir de presentert for det som ser ut til å være en legitim Microsoft-pålogging.

Brukeren blir deretter bedt om å fullføre autentiseringen ved å dra en localhost-lenke inn i nettleseren.

Det er nettopp dette øyeblikket som utgjør angrepet.

I stedet for å fullføre en legitim autentisering, sender brukeren uvitende sine OAuth-tokener til angriperen. Disse gir tilgang til Microsoft 365-økten og kan brukes til å få tilgang til e-post, dokumenter, Teams og andre Microsoft 365-tjenester uten at angriperen trenger å vite brukerens passord.

Brukeren oppgir aldri innloggingsdetaljene sine på en falsk nettside. Det er den allerede godkjente økten som kapres.

Hvorfor flerfaktorautentisering ikke hjelper

Flerfaktorautentisering er fortsatt et av de viktigste sikkerhetstiltakene, men det stopper ikke alle typer identitetsangrep.

ConsentFix krever ikke tradisjonell innlogging.

I stedet utnytter angriperen en allerede autentisert økt.

Dette betyr at:

• brukerens passord trenger aldri å bli stjålet
• ingen ny innlogging kreves
• angriperen bruker den allerede autoriserte økten og dens OAuth-token
• flerfaktorautentisering er allerede fullført av den legitime brukeren

Dette gjør angrepet betydelig vanskeligere å identifisere med tradisjonelle sikkerhetskontroller.

Angripere deler verktøy åpent

I mars 2026 ble en detaljert anmeldelse av ConsentFix publisert på et åpent russisk forum om nettkriminalitet.

Materialet inneholdt fungerende kode, ferdig infrastruktur, skjermbilder, videoguider og detaljerte instruksjoner for hvordan man bygger og utfører angrepet.

Guiden beskrev også hvordan angripere kartlegger målene sine via åpne kilder som LinkedIn før de sender phishing-meldingene sine. Ved å samle informasjon om organisasjoner og individuelle ansatte kan lokkeduene skreddersys til å virke betydelig mer troverdige.

Dette betyr at avanserte angrepsmetoder som tidligere krevde omfattende teknisk ekspertise, nå har blitt betydelig enklere å implementere.

Hvordan organisasjoner kan redusere risiko

Brukeropplæring er fortsatt en viktig del av sikkerhetsarbeidet, men det må suppleres med tekniske beskyttelsestiltak.

Fordi begge ClickFix og Samtykkerett Basert på legitime arbeidsflyter må organisasjoner kunne oppdage unormal atferd i stedet for bare å blokkere kjent skadelig programvare.

Sikkerhetseksperter anbefaler blant annet at organisasjoner:

• lærer brukere å stille spørsmål ved uvanlige instruksjoner som krever hurtigtaster eller dra-og-slipp-handlinger i nettleseren
• overvåker uvanlig PowerShell-aktivitet som startes fra normale brukerprosesser
• oppdager nye Microsoft 365-økter fra uventede geografiske steder eller enheter
• gjennomgår regelmessig OAuth-apper og brukersamtykker
• begrenser brukernes mulighet til å gi samtykke til tredjepartsapplikasjoner
• bruker Microsoft Entra ID Identity Protection og betinget tilgangspolicyer
• overvåker mistenkelig tokenbasert autentisering og uvanlige øktendringer
• suppleres med avansert identitets- og endepunktovervåking for å oppdage kompromitterte økter på et tidlig stadium

Identitet og økter blir den neste store sikkerhetsutfordringen

ConsentFix viser hvordan cybertrusler fortsetter å utvikle seg fra tradisjonell phishing til betydelig mer sofistikerte identitetsangrep der angriperen utnytter brukernes tillit til legitime autentiseringsprosesser.

I stedet for å stjele passord, blir den aktive økten stjålet.

Dette gjør angrepene raskere, mer diskrete og vanskeligere å oppdage.

For organisasjoner betyr dette at beskyttelse ikke lenger kan fokusere utelukkende på passord og flerfaktorautentisering. Identitet, aktive økter, OAuth-tillatelser og kontinuerlig overvåking blir en stadig viktigere del av en moderne Zero Trust-innsats.

Ettersom angripere ikke lenger prøver å bryte seg inn gjennom døren, men i stedet følger brukeren gjennom den åpne inngangsdøren, må også sikkerhetsstrategiene endres. Organisasjoner som kombinerer brukeropplæring med kontinuerlig identitetsovervåking, risikobaserte tilgangskontroller og kontinuerlig OAuth-autorisasjonsgjennomgang, vil være betydelig bedre posisjonert til å oppdage og stoppe neste generasjon identitetsbaserte angrep før de fører til et fullstendig kontobrudd.