Oszuści dzwonią do pracowników firm z branży spożywczej, technologicznej, medycznej, motoryzacyjnej, budowlanej i lotniczej, podszywając się pod dział IT. Namawiają do rzekomego dodania passkey do konta Microsoft – w rzeczywistości przejmują konto i mogą wykraść poufne dane. Kampania została szczegółowo opisana przez badaczy bezpieczeństwa z Okta, a jej infrastruktura działa na serwerach chronionych przez DDoS-Guard i IQWeb.
Jak działa atak na passkey?
Atakujący rejestrują domeny zawierające słowo „passkey” (np. assignpasskey[.]com) i tworzą dla każdej ofiary osobny poddomenę. Na niej umieszczają stronę logowania Microsoftu, która wygląda identycznie jak oryginał – logo, tło i układ są pobierane z oficjalnego CDN Microsoftu, a branding firmy ofiary jest dodawany z backendu.
Następnie dzwonią do pracownika i przekonują go, że musi pilnie dodać nowy passkey do swojego konta Microsoft 365. Gdy ofiara wejdzie na fałszywą stronę, atakujący w czasie rzeczywistym śledzi jej sesję i dostosowuje kolejne kroki do posiadanego przez nią uwierzytelniania wieloskładnikowego (MFA) – SMS, aplikacja generująca kody TOTP lub powiadomienie push z numerem. Jak opisują badacze z Okta, panel phishingowy działa jak sterowany przez operatora zestaw PHP, który co sekundę odświeża stan sesji ofiary.
Dlaczego to działa tak skutecznie?
Ofiara widzi na ekranie znajomy proces logowania i dodawania passkey. Atakujący w tym czasie loguje się na prawdziwe konto Microsoft ofiary przy użyciu wykradzionego hasła i kodu MFA. Gdy już uzyska dostęp, rejestruje własny passkey w koncie ofiary – a ta na fałszywej stronie widzi jedynie pozorowaną ceremonię z fałszywymi frazami odzyskiwania (tzw. seed phrase), które nie mają nic wspólnego z mechanizmem Microsoftu.
Microsoft wysyła automatyczne powiadomienie e-mail o dodaniu nowego passkey. Atakujący nadają mu nieszkodliwą nazwę (np. „klucz zapasowy”), by nie wzbudzić podejrzeń. Celem jest przejęcie konta, a następnie wyciek danych i szantaż – 31 maja 2026 roku grupa opublikowała już stronę z wyciekłymi danymi.
Jak się bronić? Praktyczne kroki
- Nie ufaj telefonicznym prośbom o dodanie passkey. Żaden dział IT nie zadzwoni z takim żądaniem. Jeśli ktoś dzwoni i nakłania do kliknięcia w link lub podania kodu – rozłącz się i skontaktuj z działem IT przez oficjalny kanał.
- Sprawdzaj adres strony. Przed podaniem hasła lub kodu MFA upewnij się, że jesteś na oficjalnej domenie Microsoftu (login.microsoftonline.com). Fałszywe domeny często zawierają słowo „passkey” lub inne podejrzane człony.
- Włącz phishing-resistant MFA. Jeśli Twoja firma na to pozwala, używaj sprzętowych kluczy bezpieczeństwa (np. YubiKey) zamiast kodów SMS czy aplikacji generujących TOTP. Są one odporne na tego typu ataki.
- Monitoruj powiadomienia o dodaniu passkey. Jeśli dostaniesz e-mail od Microsoft o nowym passkey, a sam go nie dodawałeś – natychmiast zgłoś to administratorowi i zmień hasło.
- Edukuj zespół. Przeprowadź krótkie szkolenie dla pracowników, pokazując przykład takiego ataku. Wiedza to najskuteczniejsza obrona.
Co dalej?
Kampania wciąż trwa, a atakujący udoskonalają techniki. Badacze z Okta podkreślają, że nie zaobserwowali jeszcze przejęcia konta przez federację zewnętrznych dostawców tożsamości (np. Okta), ale cel – kradzież danych i szantaż – został już zrealizowany. Użytkownicy i administratorzy powinni traktować każdą nieproszoną telefoniczną prośbę o zmianę uwierzytelniania jako potencjalne oszustwo i weryfikować ją przez niezależny kanał.
