Microsoft: o campanie de phishing prin serviciul de asistență, bazată pe tema „passkey”, vizează conturile Microsoft 365

Microsoft a publicat un studiu privind campaniile de inginerie socială care utilizează teme legate de parolele de acces, autentificarea multifactorială (MFA) și autentificarea unică (single sign-on) ca momeală pentru a prelua controlul asupra conturilor corporative Microsoft. Conform raportului original, activitatea a fost observată încă din mai 2026 și este atribuită mai multor actori din același ecosistem de șantaj, urmăriți sub denumirile Storm-3121 și Storm-3032 și asociați cu grupuri precum ShinyHunters, Falcon și Helix. Scopul final nu este înregistrarea parolelor, ci furtul în masă de documente și e-mailuri din Microsoft 365.

Ce s-a întâmplat

Atacatorii cercetează o organizație țintă și personalul acesteia din surse publice, apoi sună sau trimit mesaje angajaților, dându-se drept serviciul intern de asistență IT. Pretextul este urgența: o parolă, o setare MFA (autentificare multifactorială) sau SSO (autentificare unică) trebuie, se presupune, actualizată, altfel accesul va fi pierdut. Victimelor li se trimit — uneori prin SMS pe un telefon personal — linkuri către pagini care imită procesul de autentificare Microsoft sau sunt convinse să introducă un cod furnizat în formularul autentic de autentificare prin cod de dispozitiv al Microsoft.

Ambele căi generează o sesiune validă pentru atacator. Paginile de tip „adversar în mijloc” (man-in-the-middle) capturează datele de autentificare și token-urile de sesiune; phishingul bazat pe codul dispozitivului emite un token către o aplicație OAuth controlată de atacator, fără o solicitare suplimentară de autentificare multifactorială (MFA). Domeniile de phishing combină numele companiei victimei cu cuvinte precum „parolă”, „SSO” sau „sincronizare cheie”, plasând adesea numele companiei într-un subdomeniu.

După obținerea accesului, Microsoft a observat activități de recunoaștere prin Microsoft Graph — enumerarea utilizatorilor, grupurilor, rolurilor de director, metodelor de autentificare înregistrate, aplicațiilor, site-urilor SharePoint și căsuțelor poștale — urmate de o activitate susținută de descărcare în SharePoint Online, OneDrive for Business și, în unele cazuri, Exchange Online prin intermediul API-ului REST. Colectarea pare automatizată (a fost observat un agent de utilizator python-httpx), dar deliberat lentă, rămânând sub aproximativ 1.000 de fișiere sau e-mailuri pe oră și desfășurându-se timp de ore sau zile. Persistența este de obicei stabilită prin înregistrarea unei metode MFA suplimentare controlate de atacator; Microsoft menționează că aceasta nu supraviețuiește unei resetări complete a credențialelor și a sesiunii.

De ce este important

Această campanie vizează organizațiile care au implementat deja autentificarea multifactorială (MFA). Punctul slab îl reprezintă procesul uman legat de modificările de identitate, precum și fluxurile de autentificare la care majoritatea companiilor nu se gândesc niciodată, cum ar fi codul dispozitivului. Un singur cont compromis cu acces extins la SharePoint este suficient pentru un caz de șantaj prin furt de date, iar SSO înseamnă că același token poate deschide Google Workspace, Salesforce, Slack, Atlassian și servicii similare.

Echipele mai mici sunt ținte atractive tocmai pentru că serviciul de asistență este informal — adesea o singură persoană, accesibilă la telefon, obișnuită să rezolve problemele rapid. Apelurile către Graph utilizate pentru recunoaștere sunt aceleași cu cele efectuate de instrumentele legitime, astfel încât detectarea depinde mai degrabă de secvență și volum decât de o singură solicitare suspectă.

Ce trebuie făcut

• Dezactivați autentificarea prin cod de dispozitiv în Entra ID prin intermediul Accesului condiționat, cu excepția cazului în care un flux de lucru specific o necesită, și documentați care anume o necesită.
• Stabiliți o regulă conform căreia departamentul IT nu va cere niciodată personalului să modifice setările MFA sau ale cheii de acces în timpul unui apel nesolicitat și oferiți angajaților un canal de verificare pentru a verifica astfel de solicitări.
• Treceți la metode rezistente la phishing (chei FIDO2, parole de platformă) pentru administratori și pentru oricine are acces extins la SharePoint și restricționați resursele sensibile la dispozitivele gestionate.
• Generați alerte la înregistrarea unei noi metode MFA la scurt timp după o autentificare necunoscută, precum și la evenimente FileAccessed/FileDownloaded cu volum ridicat. Asigurați-vă că lista de verificare a incidentelor include revocarea sesiunilor și a token-urilor, nu doar resetarea parolei.