Recent, hackerii au descoperit o nouă metodă de a compromite conturile Microsoft, folosind „passkey” ca momeală pentru a obține acces la e-mailuri, OneDrive și SharePoint. Aceștia își transformă accesul temporar într-o prezență persistentă, ceea ce le permite să își mențină controlul asupra conturilor vizate.
Transformarea accesului temporar în permanent
După ce obțin accesul inițial, atacatorii pot înregistra un număr de telefon, o aplicație de autentificare sau un token OTP, creându-și astfel propria metodă de autentificare multifactor (MFA) asociată contului victimei. Aceasta le permite să se autentifice fără a mai depinde de aprobarea constantă a utilizatorului, atâta timp cât celelalte sesiuni rămân valide.
Riscurile asociate cu acest tip de atac nu sunt doar teoretice. O campanie recentă a generat 81 de milioane de tentative de autentificare împotriva Microsoft 365 într-un interval de doar două săptămâni, evidențiind importanța configurării corecte a sistemelor MFA.
Accesul la datele sensibile
Odată ce obțin controlul asupra identităților din cloud, hackerii încep să caute informații valoroase. Microsoft a observat o utilizare intensivă a Microsoft Graph pentru a inventaria utilizatorii, grupurile și permisiunile din cadrul organizației. Aceste informații sunt esențiale pentru a facilita accesul la datele propriu-zise.
În cazul atacurilor investigate, s-au înregistrat accesări și descărcări masive de date din SharePoint Online și OneDrive for Business. În unele cazuri, infractorii au reușit să acceseze și Microsoft Exchange Online, unde au avut posibilitatea de a colecta e-mailuri și informații despre atașamente.
Furtul informațiilor nu se desfășoară întotdeauna rapid, Microsoft având observații că acesta poate continua pe parcursul mai multor ore sau chiar zile. Infractorii pot alege să își încetinească ritmul de activitate pentru a se integra mai bine în utilizarea normală a serviciilor companiei.
De asemenea, compania a remarcat utilizarea mai multor adrese IP pe parcursul diferitelor etape ale atacului. O infrastructură poate fi dedicată autentificării, alta recunoașterii, iar o a treia extragerii de informații. Această diversificare a metodelor îngreunează detectarea întregului proces, deoarece fiecare eveniment este analizat individual.
Sursa articol: https://playtech.ro/2026/noua-capcana-pentru-conturile-microsoft-hackerii-folosesc-passkey-ca-momeala-si-pot-ajunge-la-mailuri-onedrive-si-sharepoint/
Sursa foto: Inquam Photos
