Microsoft uppger att hotaktörer med kopplingar till ShinyHunters, Helix och andra utpressningsgrupper använder social manipulation med passkey- och single sign-on-tema för att ta över företagskonton och stjäla data från Microsoft 365-tjänster.
Kampanjen har observerats sedan maj 2026 och börjar med att angriparna kartlägger utvalda organisationer och anställda. Därefter ringer eller meddelar de offren och utger sig för att vara företagets IT-support. De hävdar att en brådskande uppdatering av passkey, multifaktorautentisering (MFA) eller single sign-on (SSO) krävs. Offren skickas till falska Microsoft-inloggningssidor, ibland via SMS till privata telefoner.
Microsoft säger att angriparna inte registrerar passkeys. I stället leder lockbetena offren till adversary-in-the-middle-angrepp (AiTM) eller autentiseringsflöden med enhetskoder, där inloggningsuppgifter, sessionstoken eller åtkomstgodkännanden kan fångas upp.
Microsoft kopplar aktiviteten till flera aktörer, bland andra Storm-3121 och Storm-3032, och säger att den överlappar med klustret UNC6671 som dokumenterats av Google Threat Intelligence. I en utredning använde angriparen en kapad session i ungefär en timme för att granska tilldelade appar, organisationsinformation, molntjänster och känsliga filer. Angriparna använder också Microsoft Graph för att kartlägga molnmiljöer och kan lägga till telefonnummer, autentiseringsappar eller programbaserade engångslösenord som MFA-metoder de själva kontrollerar.
Kommentarer
0Inga kommentarer ännu. Skriv den första.