Angripare lurade anställda att klicka på legitima notiser från videoplattformen Frame.io, för att sedan stjäla deras Microsoft 365-uppgifter. Kampanjen, kallad "Phantom Preview", gömde skadliga länkar i PDF-filer och kringgick e-postsäkerhet som inte flaggade en enda av de 22 mejlen.

Säkerhetsföretaget Ocean Security upptäckte attacken den 27 augusti 2026. Angriparna skapade ett delat dokument på Frame.io och skickade en legitim delningsnotis med avsändaren notifications@frame.io och ämnesraden "Jason Pitts shared 'BTF Project' with you". Mejlet såg ut som ett vanligt arbetsflöde, och konventionella säkerhetsfilter godkände det.

Så fungerade attacken

Länken i mejlet gick till Frame.io, där ett PDF-dokument visades som en förhandsgranskning utan möjlighet att klicka. Inuti PDF:en låg en dold länk som säkerhetsskannrar inte granskade. Länken gick via en Cloudflare Pages-subdomän och en 301-omdirigering till domänen msauth.biz, registrerad den 6 augusti 2026 via eNom och hostad på DigitalOcean. Vid kontroll visade VirusTotal noll träffar på 91 säkerhetsmotorer.

En anställd rapporterade det första misstänkta mejlet tre minuter efter att det anlände. Trots det hade säkerhetsverktygen inte flaggat hotet. Ocean Security:s AI-agent Ray spårade sedan upp ytterligare 21 identiska mejl i organisationens e-posthistorik.

Frame.io var inte komprometterat. Angriparna utnyttjade plattformens legitima system för att skicka mejlen.

Vad svenska företag bör göra

Attacken är ett exempel på en AiTM-attack (Adversary-in-the-Middle), där angriparen fångar upp autentiseringstoken i realtid och kringgår flerfaktorsautentisering. Taktiken fungerar mot alla organisationer som använder Microsoft 365, oavsett bransch eller storlek.

Ocean Security rekommenderar att säkerhetsteam inte bara granskar avsändare och länkar utan även innehållet i PDF-bilagor. Specifikt bör dolda URL:er inuti PDF-filer granskas, särskilt mot nyregistrerade domäner och okända Cloudflare Pages-adresser.

• Granska PDF-bilagor för dolda länkar, inte bara e-postavsändaren
• Var misstänksam mot delningsnotiser från betrodda plattformar som Frame.io, OneDrive och SharePoint
• Aktivera avancerat skydd för klickade länkar (Safe Links) i Microsoft Defender
• Utbilda medarbetare om att notiser från betrodda tjänster kan innehålla gömda hot

Källa: Hackread / Ocean Security