{"id":28239,"date":"2026-07-06T12:37:50","date_gmt":"2026-07-06T10:37:50","guid":{"rendered":"https:\/\/itbranschen.com\/?p=28239"},"modified":"2026-07-06T12:38:08","modified_gmt":"2026-07-06T10:38:08","slug":"consentfix-clickfix-microsoft-365","status":"publish","type":"post","link":"https:\/\/itbranschen.com\/sv\/consentfix-clickfix-microsoft-365\/","title":{"rendered":"ConsentFix och ClickFix: S\u00e5 kapas Microsoft 365-konton p\u00e5 bara n\u00e5gra sekunder"},"content":{"rendered":"\n

S\u00e4kerhetsexperter varnar f\u00f6r tv\u00e5 snabbt v\u00e4xande attackmetoder, ClickFix och ConsentFix, som utnyttjar anv\u00e4ndarnas invanda beteenden f\u00f6r att kapa Microsoft 365-sessioner. Angriparna beh\u00f6ver varken stj\u00e4la l\u00f6senord eller kringg\u00e5 multifaktorautentisering genom traditionella metoder. I st\u00e4llet utnyttjar de legitima autentiseringsfl\u00f6den och anv\u00e4ndarnas f\u00f6rtroende, vilket g\u00f6r attackerna betydligt sv\u00e5rare att uppt\u00e4cka.<\/strong><\/p>\n\n\n\n

Under det senaste \u00e5ret har dessa tekniker observerats i allt fler riktade kampanjer mot f\u00f6retag och offentliga verksamheter. S\u00e4kerhetsforskare bed\u00f6mer att attackerna kommer att forts\u00e4tta \u00f6ka eftersom de bygger p\u00e5 social manipulation och legitim funktionalitet i st\u00e4llet f\u00f6r att utnyttja tekniska s\u00e5rbarheter.<\/p>\n\n\n\n

Moderna cyberattacker utnyttjar m\u00e4nniskors beteenden<\/h2>\n\n\n\n

Cyberbrottslingar fokuserar i allt h\u00f6gre grad p\u00e5 anv\u00e4ndarnas invanda beteenden snarare \u00e4n p\u00e5 tekniska s\u00e4kerhetsbrister. Vi \u00e4r vana vid att klicka oss igenom CAPTCHA-kontroller, acceptera cookie-f\u00f6rfr\u00e5gningar och f\u00f6lja instruktioner som visas p\u00e5 sk\u00e4rmen utan att ifr\u00e5gas\u00e4tta dem.<\/p>\n\n\n\n

Det \u00e4r just dessa reflexm\u00e4ssiga handlingar som angriparna utnyttjar.<\/p>\n\n\n\n

I st\u00e4llet f\u00f6r att forcera brandv\u00e4ggar eller exploatera programvarus\u00e5rbarheter placerar de sig mitt i ett legitimt arbetsfl\u00f6de och f\u00e5r anv\u00e4ndaren att sj\u00e4lv utf\u00f6ra den handling som leder till intr\u00e5nget.<\/p>\n\n\n\n

ClickFix lurar anv\u00e4ndaren att k\u00f6ra angriparens kod<\/h2>\n\n\n\n

ClickFix \u00e4r en attackmetod d\u00e4r anv\u00e4ndaren m\u00f6ts av en falsk verifieringssida som uppmanar till att utf\u00f6ra enkla \u00e5tg\u00e4rder, exempelvis anv\u00e4nda vissa tangentkombinationer f\u00f6r att “bekr\u00e4fta” sin identitet eller slutf\u00f6ra en process.<\/p>\n\n\n\n

Det som ser ut som en vanlig verifiering leder i sj\u00e4lva verket till att anv\u00e4ndaren omedvetet klistrar in och k\u00f6r angriparens kommandon p\u00e5 sin egen dator.<\/p>\n\n\n\n

Ingen s\u00e4kerhetslucka beh\u00f6ver utnyttjas och ingen brandv\u00e4gg beh\u00f6ver kringg\u00e5s. Angriparen f\u00f6rlitar sig helt p\u00e5 att anv\u00e4ndaren f\u00f6ljer instruktionerna.<\/p>\n\n\n\n

ClickFix \u00f6kade kraftigt under 2025 och anv\u00e4nds fortfarande aktivt av flera hotakt\u00f6rer i attacker mot b\u00e5de f\u00f6retag och myndigheter.<\/p>\n\n\n\n

\"ConsentFix<\/figure>\n\n\n\n

ConsentFix flyttar attacken till Microsoft 365<\/h2>\n\n\n\n

Den nyare attackvarianten ConsentFix riktar in sig p\u00e5 Microsoft 365<\/a> OAuth-baserade autentisering.<\/p>\n\n\n\n

OAuth \u00e4r en etablerad standard som g\u00f6r det m\u00f6jligt f\u00f6r anv\u00e4ndare att ge applikationer begr\u00e4nsad \u00e5tkomst till sina konton utan att dela sitt l\u00f6senord. Om dessa \u00e5tkomsttoken hamnar i fel h\u00e4nder kan angriparen agera som den legitima anv\u00e4ndaren och f\u00e5 tillg\u00e5ng till organisationens resurser.<\/p>\n\n\n\n

Attacken b\u00f6rjar vanligtvis med ett n\u00e4tfiskemeddelande som distribueras via v\u00e4lk\u00e4nda tj\u00e4nster som Dropbox eller DocSend. I vissa fall skyddas dokumentet dessutom med l\u00f6senord, vilket g\u00f6r det sv\u00e5rare f\u00f6r s\u00e4kerhetsl\u00f6sningar att analysera inneh\u00e5llet.<\/p>\n\n\n\n

N\u00e4r anv\u00e4ndaren \u00f6ppnar dokumentet visas vad som ser ut att vara en legitim Microsoft-inloggning.<\/p>\n\n\n\n

Anv\u00e4ndaren uppmanas d\u00e4refter att slutf\u00f6ra autentiseringen genom att dra en localhost-l\u00e4nk till webbl\u00e4saren.<\/p>\n\n\n\n

Det \u00e4r just detta moment som utg\u00f6r attacken.<\/p>\n\n\n\n

I st\u00e4llet f\u00f6r att avsluta en legitim autentisering \u00f6verf\u00f6r anv\u00e4ndaren omedvetet sina OAuth-token till angriparen. Dessa ger \u00e5tkomst till Microsoft 365-sessionen och kan anv\u00e4ndas f\u00f6r att komma \u00e5t e-post, dokument, Teams och andra Microsoft 365-tj\u00e4nster utan att angriparen beh\u00f6ver k\u00e4nna till anv\u00e4ndarens l\u00f6senord.<\/p>\n\n\n\n

Anv\u00e4ndaren skriver allts\u00e5 aldrig in sina inloggningsuppgifter p\u00e5 en falsk webbplats. Det \u00e4r den redan godk\u00e4nda sessionen som kapas.<\/p>\n\n\n\n

D\u00e4rf\u00f6r hj\u00e4lper inte multifaktorautentisering<\/h2>\n\n\n\n

Multifaktorautentisering \u00e4r fortfarande en av de viktigaste s\u00e4kerhets\u00e5tg\u00e4rderna, men den stoppar inte alla typer av identitetsattacker.<\/p>\n\n\n\n

I ConsentFix sker ingen traditionell inloggning.<\/p>\n\n\n\n

I st\u00e4llet utnyttjar angriparen en redan autentiserad session.<\/p>\n\n\n\n

Det inneb\u00e4r att:<\/p>\n\n\n\n