Мошенники выманивают доступ к Microsoft 365 под видом настройки passkey
По данным Microsoft, злоумышленники звонят сотрудникам от имени ИТ-поддержки и отправляют им SMS со ссылками на поддельные страницы входа. После получения доступа они добавляют собственные способы аутентификации и массово выгружают корпоративные данные.
Microsoft сообщила о кампании социальной инженерии, в которой злоумышленники используют тему passkey, многофакторной аутентификации и единого входа (SSO), чтобы получить доступ к облачным учётным записям организаций. Активность фиксируется как минимум с мая 2026 года.
Атака начинается со звонка или сообщения на личный номер сотрудника. Злоумышленники выдают себя за службу ИТ-поддержки и убеждают жертву срочно обновить passkey, настройки MFA или SSO, ссылаясь на риск потери доступа. Затем сотруднику отправляют SMS со ссылкой на поддельный сайт, имитирующий страницу входа Microsoft.
Целью может быть кража учётных данных либо получение согласия на вход или подключение от имени атакующих через схемы adversary-in-the-middle и device code. После компрометации учётной записи злоумышленники добавляют свои способы аутентификации, а затем обращаются к Microsoft Graph, скачивают данные из SharePoint и OneDrive и собирают почту через REST API.
Microsoft отмечает, что атакующие, вероятно, заранее изучают сотрудников и структуру компаний по открытым источникам, включая социальные сети и профессиональные профили. В отдельных случаях они используют уже скомпрометированные аккаунты для рассылки похожих сообщений через Microsoft Teams.
Для фишинговой инфраструктуры регистрируются домены с упоминанием passkey, регистрации SSO, активации аккаунта и проверки личности. Название целевой организации при этом добавляют в качестве поддомена, чтобы ссылка выглядела убедительнее.
Microsoft связывает первоначальный доступ в этой кампании с несколькими группами, в том числе Storm-3121 и Storm-3032. При этом исследователи указывают на сходство методов с активностью, которую в отрасли отслеживают под названиями Cordial Spider, O-UNC-045, PREY-0058 и UNC6671, однако точный характер этой связи остаётся неясным.