Microsoft opisuje aktywne kampanie, w których przestępcy podszywają się pod wewnętrzny dział IT i przekonują pracowników, że muszą zaktualizować passkey, MFA albo konfigurację SSO. Kontakt może zaczynać się od telefonu lub wiadomości wysłanej na prywatny numer pracownika. Po przejęciu tożsamości atakujący dodają własne metody uwierzytelniania, wykonują rozpoznanie przez Microsoft Graph i pobierają dane z SharePoint, OneDrive oraz skrzynek Exchange.
Jak działa phishing wykorzystujący passkeys?
W analizie Microsoft Security Research opisano kilka wariantów ataku. Pracownik może zostać skierowany do strony AiTM, nakłoniony do użycia device-code authentication albo przeprowadzony przez proces, który wygląda jak firmowa konfiguracja passkey lub SSO.
Po uzyskaniu dostępu napastnicy nie kończą na samej skrzynce. Dodają nowe metody uwierzytelniania i pobierają duże ilości danych z usług chmurowych. Microsoft obserwował także zbieranie korespondencji e-mail przez interfejsy REST.
Kto powinien uważać?
Przede wszystkim użytkownicy firmowego Microsoft 365. Nietypowa prośba o ponowną rejestrację passkey lub MFA powinna zostać potwierdzona z działem IT niezależnym kanałem. Jeśli pracownik sam nie zgłaszał problemu z logowaniem, telefon od „pomocy technicznej” proszący o przejście przez proces uwierzytelniania jest wystarczającym powodem, żeby przerwać rozmowę i zweryfikować zgłoszenie.