Мошенники используют фишинг на passkey для захвата облачных аккаунтов Microsoft

Microsoft раскрыла подробности двух вредоносных кампаний, в которых злоумышленники использовали стороннюю инфраструктуру доставки электронной почты и методы социальной инженерии, связанные с passkey. Обе кампании направлены против облачных сред и демонстрируют, как киберпреступники адаптируют тактики под современные механизмы аутентификации, включая MFA и беспарольный вход. Инциденты показывают, что даже защита на основе passkey не является абсолютной, если пользователя удаётся обмануть на уровне доверия и контекста.

Подробности

Первая кампания, по данным Microsoft, была зафиксирована в период с 3 по 5 августа 2026 года. Злоумышленники отправили более миллиона мошеннических писем, маскируясь под генеральных директоров (CEO) компаний. Для рассылки использовалась легитимная сторонняя инфраструктура доставки почты, что позволяло обходить часть репутационных фильтров и выглядеть убедительнее для получателей. Основная цель — финансовое мошенничество: письма были нацелены на сотрудников, которые могли иметь полномочия на проведение платежей или доступ к чувствительным данным. Вторая кампания связана с фишингом на тему passkey. Злоумышленники применяли социальную инженерию, чтобы побудить жертв к действиям, которые приводили к компрометации облачных аккаунтов Microsoft и последующей эксфильтрации данных. Атакующие эксплуатировали доверие пользователей к механизму passkey, который традиционно считается более защищённым по сравнению с паролями и MFA. В результате успешного обмана злоумышленники получали доступ к облачным средам и похищали данные организаций. На текущий момент в исходной публикации не приводятся конкретные номера CVE, поскольку уязвимости как таковой нет — атаки построены на человеческом факторе и злоупотреблении доверенными сервисами. Это отличает инциденты от классических технических брешей: здесь ключевую роль играет обман, а не эксплуатация программных уязвимостей. Microsoft подчёркивает, что подобные кампании опасны именно своей правдоподобностью и опорой на легитимные сервисы.

Что делать

Для снижения рисков рекомендуется придерживаться следующих мер: - Обучать сотрудников распознаванию фишинга, особенно писем, имитирующих указания от руководства. Даже если сообщение пришло с внешне доверенного адреса или инфраструктуры, следует проверять запросы по независимым каналам. - Внедрять процедуры подтверждения финансовых операций вне email-канала: голосовая верификация, вторичное одобрение, проверка через внутренние системы. - Относиться с настороженностью к сообщениям, связанным с passkey, восстановлением учётных данных или изменениями настроек аутентификации. Злоумышленники могут играть на доверии к безопасным механизмам входа. - Настраивать дополнительные защитные политики в Microsoft Cloud: условный доступ, ограничение полномочий, мониторинг аномальной активности и оповещения о подозрительных входах. - Регулярно проводить аудит сторонних сервисов доставки почты и интеграций, чтобы снизить риск злоупотребления доверенными каналами. Также важно помнить, что наличие passkey или MFA не отменяет необходимости в бдительности пользователей: социальная инженерия обходит технологии, эксплуатируя доверие людей, а не самих систем. Обе кампании иллюстрируют устойчивую тенденцию: злоумышленники всё чаще комбинируют массовый фишинг с тонкой социальной инженерией и злоупотреблением легитимными сервисами. Организациям стоит пересмотреть процессы подтверждения критичных действий и усилить контроль доступа к облачным средам Microsoft.

Источник: The Hacker News