Microsoft предупредила о новой волне атак на корпоративные учётные записи Microsoft 365, в которых злоумышленники используют тему passkeys — ключей доступа — как приманку для социальной инженерии. Активность наблюдается как минимум с мая 2026 года.
Схема начинается с телефонного звонка, SMS или сообщения от человека, который представляется сотрудником IT-поддержки. Жертве сообщают, что необходимо срочно настроить или обновить passkey, многофакторную аутентификацию либо единый вход SSO, после чего направляют на сайт, похожий на настоящую страницу Microsoft.
Сами passkeys при этом не взламываются. Microsoft подчёркивает, что ключи доступа устойчивы к фишингу, а злоумышленники используют их лишь как предлог, чтобы провести жертву через фишинг типа adversary-in-the-middle или авторизацию по device code и получить действующий токен сеанса.
После проникновения атакующие стараются закрепиться в аккаунте, добавляя собственный метод MFA — например, номер телефона или приложение-аутентификатор. Затем они изучают структуру Microsoft 365 и получают доступ к электронной почте, SharePoint и OneDrive.
Microsoft фиксировала массовый поиск и выгрузку файлов, вложений и писем. В отдельных случаях уже скомпрометированные аккаунты использовались для дальнейшей рассылки сообщений через Microsoft Teams.
Компания связывает подобные атаки с несколькими группами, включая Storm-3121 и Storm-3032. Организациям рекомендуют контролировать новые методы аутентификации, ограничивать ненужные device-code потоки и использовать устойчивую к фишингу MFA.
Источник: www.playground.ru