Киберпрестъпниците са открили нов начин за компрометиране на корпоративни акаунти в Microsoft, като експлоатират същата функция, предназначена да ги защитава: цифровите ключове за достъп (passkeys).

Група от заплахи, проследявана като O UNC 066 (известна също като Pink от Palo Alto Networks Unit 42), провежда телефонна фишинг кампания от април 2026 г., която подмамва служителите да регистрират контролиран от атакуващите passkey в собствените си акаунти.

Схемата съчетава социално инженерство с персонализиран фишинг комплект. Атакуващите се обаждат директно на служителите и ги убеждават, че акаунтът им се нуждае от нов passkey – съобщение, което звучи рутинно предвид неотдавнашните усилия на Microsoft да подтикне потребителите към влизане без парола.

Жертвата бива насочена към фалшива страница за вход, която имитира брандинга на нейната собствена компания. Зад тази страница стои панел, управляван от оператор, а не напълно автоматизиран инструмент.

Атакуващ в реално време превежда всяка жертва през процеса стъпка по стъпка, адаптирайки фалшивите екрани в зависимост от това дали акаунтът използва SMS кодове, подкани от приложение за удостоверяване (authenticator app) или push известия.

Този контрол в реално време прави атаката по-трудна за засичане чрез автоматизирани защити. Изследователите по сигурността от Okta идентифицираха и детайлизираха тази кампания, отбелязвайки, че основната цел на групата изглежда е кражба на данни с цел изнудване, а не незабавна финансова измама.

От Okta заявяват в доклад, споделен с Cyber Security News (CSN), че атакуващите вече са свързани с публичен сайт за изтичане на данни, използван за оказване на натиск върху жертвите.

Засегнатите индустрии обхващат хранително-вкусовата промишленост, технологиите, здравеопазването, автомобилостроенето, строителството и авиацията. Това, което прави тази кампания забележителна, е как тя превръща една надстройка на сигурността в оръжие.

Вместо да откраднат парола веднъж и да продължат напред, атакуващите използват фалшивата регистрация, за да установят трайно присъствие в акаунта, което може да надживее промяната на паролата.

Как се извършва атаката

Атаката започва, когато целта получи обаждане от лице, представящо се за ИТ поддръжка, което настоява, че трябва да бъде регистриран нов passkey. Обаждащият се изпраща връзка, съдържаща думата passkey, хоствана на домейн, създаден да изглежда официален.

След като бъде отворен, комплектът превежда жертвата през последователност, копираща реалния поток за влизане на Microsoft. Първо се появява екран за зареждане, последван от заявка за потребителско име и парола.

Тези идентификационни данни се улавят и изпращат към бекенд панела на атакуващия, което позволява на оператора да влезе в реалния акаунт в рамките на секунди.

В зависимост от това кой метод за многофакторно удостоверяване (MFA) използва акаунтът, жертвата вижда съответстващ фалшив екран – подкана за еднократен код, съвпадение на числа в приложението за удостоверяване или SMS страница.

Атакуващият предава какъвто и да е код, изискван от реалната система, използвайки жертвата като неволен посредник, за да преодолее нейната собствена MFA защита.

След преминаване на удостоверяването, комплектът преминава към последната си фаза. Той показва екран за настройка на passkey и изисква от жертвата да запази фраза за възстановяване, изградена от думи в стил BIP-39 (техника, взаимствана от портфейлите за криптовалута).

Тази стъпка не прави нищо за акаунта. Тя съществува единствено за да отвлича вниманието, докато атакуващият регистрира своя собствен passkey на заден план.

Краен потвърждаващ екран съобщава на жертвата, че нейният passkey е създаден успешно, засилвайки илюзията.

Тъй като Microsoft изпраща легитимно известие при добавяне на нов passkey, жертвите често пренебрегват този имейл, вярвайки, че сами са завършили процеса.

Инфраструктура и препоръчителна защита

Изследователите отбелязват, че комплектът не взаимодейства с доставчици на идентичност от трети страни (IDPs), така че организациите, използващи външна федерация, не показват признаци на директно компрометиране.

Всяка организация, която разчита единствено на вграденото удостоверяване, остава изложена на риск. За да ограничат излагането на риск, екипите по сигурността трябва да внедрят за потребителите устойчиви на фишинг удостоверители и да обучат персонала да проверява идентичността на всеки, който твърди, че е от ИТ поддръжката, преди да действа по инструкции.

Ограничаването на достъпа до акаунта въз основа на състоянието на устройството, географията и мрежовия контекст също може да намали риска от превземане на акаунти.

Организациите трябва да конфигурират сигнали за всяко събитие от жизнения цикъл на удостоверителите, така че неочакваните регистрации на passkey да бъдат маркирани незабавно.

Предвид това колко убедително този комплект имитира рутинна актуализация, осведомеността на персонала относно измамите с passkeys може да се окаже също толкова ценна, колкото и техническите контроли.