Furto di dati Microsoft 365 tramite attacchi di phishing con passkey

Microsoft ha avvertito che attacchi di phishing a tema passkey e di ingegneria sociale vengono usati per compromettere gli account aziendali Microsoft 365 e rubare dati dai servizi cloud. L'attività è stata osservata da maggio 2026 e coinvolge attori di minaccia collegati a ShinyHunters, Helix e altre gang di estorsione, secondo Microsoft. Una passkey è un metodo di accesso senza password che di solito si basa su un dispositivo, un dato biometrico o una chiave hardware invece di una password digitata; il single sign-on (SSO) consente a un utente di accedere una volta sola e poi raggiungere diverse applicazioni collegate. Gli attaccanti usano questi concetti di sicurezza familiari come esca, ma in realtà non stanno cercando di registrare una passkey. Invece, reindirizzano i dipendenti verso pagine di login false o verso un flusso legittimo di device-code di Microsoft che consegna l'accesso all'attaccante.

Lo schema inizia con un'ampia ricerca preliminare all'attacco. Microsoft afferma che gli attori raccolgono informazioni sui dipendenti e sulla struttura organizzativa da fonti pubbliche come piattaforme di social networking e di profilazione professionale. Poi chiamano o inviano messaggi ai lavoratori presi di mira fingendosi help desk IT aziendali, dicendo alle persone che devono aggiornare urgentemente una passkey, l'autenticazione a più fattori (MFA, una seconda prova di identità oltre alla password) o la configurazione SSO per evitare di perdere l'accesso ai sistemi aziendali. Le vittime vengono indirizzate verso siti di phishing progettati per sembrare vere pagine di login Microsoft, e i link vengono talvolta inviati via SMS ai telefoni personali dei dipendenti. Gli attaccanti registrano domini che combinano nomi di aziende con parole come passkey, SSO, sincronizzazione chiavi, configurazione account e verifica dell'identità. Microsoft elenca esempi tra cui passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com, add-passkey[.]com, integratedsso[.]com, oktasession[.]com, keysyncos[.]com e oskeysync[.]com. Per rendere il portale più convincente, gli attaccanti spesso inseriscono il nome dell'azienda vittima in un sottodominio, come nome-azienda.secure-passkey[.]com.

Microsoft attribuisce questa attività di accesso iniziale a molteplici attori di minaccia che operano nello stesso ecosistema di estorsione, inclusi gruppi che traccia come Storm-3121 e Storm-3032. Storm-3121 è associato a ShinyHunters e all'estorsione Falcon, mentre si ritiene che Storm-3032 sia legato a membri del gruppo di estorsione BlackFile che ora lavorano sotto il nome Helix. La stessa attività si sovrappone agli attacchi precedentemente documentati da Google Threat Intelligence sotto il cluster di minaccia UNC6671. Google ha riferito che UNC6671 usa ingegneria sociale telefonica e infrastrutture di phishing a tema passkey per compromettere identità aziendali prima di accedere ad ambienti cloud enterprise, e ha collegato quell'attività alle stesse gang di estorsione, tra cui BlackFile, Helix, Falcon, Pink e Redact.

Due tecniche correlate portano alla compromissione effettiva. In un attacco adversary-in-the-middle (AiTM), un sito di phishing si trova tra l'utente e il vero login Microsoft, catturando sia le credenziali sia il token di sessione che prova che l'utente si è autenticato. Nel device-code phishing, la vittima viene convinta a inserire un codice fornito nella pagina di autenticazione legittima di Microsoft. Quell'azione rilascia un token di autenticazione a un'applicazione OAuth controllata dall'attaccante, un programma che agisce per conto dell'utente, così l'attaccante può raggiungere l'account senza completare un'altra verifica MFA. Microsoft afferma che questo dà all'attaccante accesso a tutte le risorse dell'utente e alle applicazioni SSO collegate, inclusi Microsoft 365, Salesforce, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk, Atlassian e molti altri.

La nuova ricerca di Microsoft offre uno sguardo più ravvicinato a ciò che accade all'interno degli ambienti cloud Microsoft dopo che un account è stato compromesso. In un attacco investigato, Microsoft ha osservato un accesso sospetto da un dispositivo non gestito a un servizio Microsoft 365 identificato nei log di Entra, i registri di gestione delle identità e degli accessi di Microsoft, come 'OfficeHome'. Quell'identificatore è associato all'infrastruttura condivisa del portale Office 365 e alle applicazioni Office basate su browser. Dopo aver completato l'MFA, l'attaccante ha stabilito una sessione valida e ha iniziato a controllare cosa poteva raggiungere l'account compromesso. Nel giro di pochi minuti la sessione ha acceduto a My Apps per vedere quali applicazioni erano assegnate all'account, My Profile per informazioni organizzative, Microsoft Approval Management, interfacce di gestione account e My Sign-Ins. L'attaccante è poi passato a SharePoint Online, Outlook Web, servizi di collaborazione e ricerca di Microsoft 365, un'applicazione aziendale interna e flussi di autenticazione legati a desktop virtuali. Microsoft afferma che la sessione è rimasta attiva per circa un'ora mentre l'attaccante elencava file sensibili e applicazioni interne.

In un altro attacco, l'ingegneria sociale sulla passkey ha portato al device-code phishing, e l'attaccante ha ricevuto un token che consentiva l'accesso a tutte le risorse dell'utente. In un terzo caso, l'attore di minaccia ha usato credenziali precedentemente compromesse per un account in cui Microsoft ritiene che un'applicazione authenticator fosse stata registrata giorni prima. Gli attaccanti hanno poi eseguito ricognizione con un sistema automatizzato Node.js e Microsoft Graph, l'interfaccia di programmazione che legge e gestisce i dati attraverso Microsoft 365.

Dopo l'accesso iniziale, gli attaccanti spesso aggiungono un metodo di autenticazione a più fattori che controllano, come un nuovo numero di telefono, un'applicazione authenticator o token OTP basati su software, all'identità compromessa. Questo consente loro di soddisfare le future verifiche MFA senza l'aiuto della vittima, anche se Microsoft nota che questa persistenza non sopravvive a un reset completo delle credenziali e delle sessioni. Gli attaccanti usano poi Microsoft Graph per enumerare l'ambiente cloud della vittima. Microsoft ha visto richieste Graph che elencavano organizzazioni, licenze, servizi abilitati, utenti, gruppi, appartenenza ai gruppi, ruoli di directory, account privilegiati, metodi di autenticazione registrati, applicazioni, service principal, permessi OAuth, assegnazioni di ruoli applicative, siti SharePoint, librerie di documenti, cartelle, file, risorse OneDrive e cartelle di posta, messaggi e allegati. Microsoft afferma che richieste come /users, /groups o /sites sono comuni negli ambienti aziendali e potrebbero non destare allarme da sole, ma l'attività diventa sospetta quando lo stesso account, applicazione o token si sposta rapidamente tra risorse diverse, controlla privilegi e impostazioni di autenticazione, e poi inizia ad accedere a email, allegati, file o documenti.

Dopo la ricognizione, gli attaccanti passano alla raccolta di dati cloud da Microsoft 365. Microsoft ha osservato attività di accesso e download ad alto volume mirate a SharePoint Online e OneDrive for Business, con alcune intrusioni che si estendono a Microsoft Exchange Online attraverso l'accesso basato su REST API ai contenuti email, dove una REST API è un modo comune per i programmi di comunicare con un servizio su internet. Attraverso SharePoint e OneDrive, l'attività ha generato volumi significativi di eventi FileAccessed e FileDownloaded, indicando un recupero sistematico di documenti ospitati nel cloud e dati organizzativi. L'attività appare automatizzata, con connessioni che usano lo user agent python-httpx durante l'esfiltrazione dell'accesso a SharePoint e OneDrive. Microsoft nota che gli attaccanti evitano l'esfiltrazione rapida 'smash-and-grab' per rimanere sotto il radar. Invece, il furto di dati dura da poche ore a più giorni, e gli attaccanti accedono a meno di 1.000 file o email in una singola ora per confondersi con il traffico legittimo.

Per rilevare queste intrusioni, Microsoft raccomanda di cercare accessi insoliti seguiti da nuove registrazioni MFA, ricognizione con Microsoft Graph e accessi sospetti a SharePoint, OneDrive o Exchange. Se un account è compromesso, gli amministratori dovrebbero revocare sessioni e token attivi, reimpostare le credenziali, rimuovere eventuali metodi di autenticazione o regole di posta aggiunti dagli attaccanti e richiedere all'utente di registrare nuovamente i propri metodi di autenticazione. Microsoft raccomanda inoltre di usare MFA resistente al phishing, limitare le risorse cloud sensibili ai dispositivi gestiti e disabilitare l'autenticazione device-code quando non è necessaria. Per i team che usano Microsoft 365 e servizi cloud simili, AEU-I offre supporto IT, infrastrutturale e di consulenza orientato alla sicurezza che può aiutare a rivedere le impostazioni di autenticazione, i controlli di accesso e le pratiche di monitoraggio.