Фишинг против Passkey атакует Microsoft Cloud: уязвимость уровня идентификации

Любой руководитель платформы, подписавший решение о внедрении passkey за последние двенадцать месяцев, должен на этой неделе пересмотреть это решение. Microsoft задокументировала две активные кампании, в которых сам процесс регистрации passkey используется как поверхность атаки, и экономика стека защиты изменилась. Тезис вендора о том, что passkey устраняют фишинговый риск, всегда был лишь наполовину верным; вторая половина теперь видна в данных об инцидентах.

Что произошло

С 3 по 5 августа 2026 года злоумышленники разослали более миллиона мошеннических писем через сторонние доставочные инфраструктуры, имитируя CEO целевых компаний и вынуждая сотрудников отдела кредиторской задолженности переводить ACH-платежи за фиктивную годовую подписку ServiceNow. Как сообщил The Hacker News, операторы использовали генеративный ИИ для составления персонализированных шаблонов писем, зарегистрировали домены для имперсонации, включая service-nowinc[.]com и domainlify[.]net, и заполнили подписи реальными именами CEO, CFO и президентов компаний, полученными из открытых источников. Основными целями стали американские предприятия в сферах IT-услуг, потребительских товаров, недвижимости и дискретного производства.

Вторая кампания, ведущаяся с мая 2026 года, представляет более значительный архитектурный интерес. Злоумышленники звонят или отправляют SMS на личный телефон пользователя, представляясь сотрудниками внутренней IT-службы поддержки, и инструктируют обновить настройки passkey, MFA или SSO. Жертв перенаправляют на поддельные страницы входа Microsoft, где они либо передают учётные данные через прокси типа «противник посередине», либо подтверждают поток аутентификации device-code, предоставляя атакующему токен без раскрытия пароля.

Получив доступ, атакующие действуют по единой схеме: подозрительный вход, затем регистрация собственного метода аутентификации (нового номера телефона, приложения-аутентификатора или программного OTP), затем высокообъёмная активность через Microsoft Graph, загрузка данных из SharePoint и OneDrive, а также сбор почтовых ящиков через REST API. Microsoft описывает это как автоматизированный сбор данных из скомпрометированных облачных идентификаторов с использованием инфраструктуры, связанной с прокси. Активность пересекается с киберпреступным кластером, отслеживаемым под именами Cordial Spider, O-UNC-045, PREY-0058 и UNC6671; Microsoft приписывает первоначальный доступ группам Storm-3121 и Storm-3032. Storm-3121 связана с ShinyHunters и вымогательством Falcon; Storm-3032 (UNC6671) отделилась от группы BlackFile и теперь действует под брендом вымогательства Helix.

Техническая анатомия атаки

Ключевой обман эксплуатирует разрыв между тем, как вендоры идентификации описывают passkey, и тем, как конечные пользователи их воспринимают. Passkey устойчив к фишингу на криптографическом уровне: закрытый ключ никогда не покидает устройство, а браузер привязывает подтверждение к источнику. Это реальное свойство. Однако к фишингу не устойчивы процедура регистрации, поток восстановления и ментальная модель пользователя о том, что вообще означает «обновить passkey». Злоумышленники выявили этот разрыв и активно им пользуются.

Список зарегистрированных доменов демонстрирует намеренность действий: passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com, add-passkey[.]com, integratedsso[.]com, oktasession[.]com, syncmykey[.]com, portalsetuphub[.]com. Схема — субдомены, специфичные для компании, добавленные к универсальным корням на тему passkey, так что цель видит acme.passkeyhelpdesk[.]com и ассоциирует это с брендом, а не с доменом. Принадлежащий Google Mandiant отметил ту же технику в прошлом месяце применительно к UNC6671.

Основную нагрузку несут два вектора атак. В пути AitM поддельный портал проксирует настоящую страницу входа Microsoft и перехватывает как учётные данные, так и сессионный cookie после MFA. В пути device-code атакующий инициирует запрос авторизации устройства к собственным конечным точкам Microsoft, а затем социально инженерит жертву для ввода кода атакующего на легитимной странице Microsoft. Второй поток — именно тот, который CISO должны понять: жертва никогда не посещает фишинговый сайт, не вводит учётные данные ни в что подозрительное, и MFA завершается в штатном режиме. Собственная инфраструктура Microsoft выдаёт действительный токен устройству атакующего. Это чётко соответствует техникам, задокументированным в MITRE ATT&CK для фишинга и злоупотребления легитимными учётными записями, однако вариант device-code обходит большинство политик условного доступа, которые считают саму страницу входа границей доверия.

Постоянство присутствия — история второго этапа. Microsoft наблюдала, как атакующие немедленно после первоначального доступа регистрируют новый метод MFA под своим контролем, превращая компрометацию длительностью сессии в бессрочную. В одном задокументированном инциденте злоумышленники использовали учётные данные из предыдущего события, чтобы зарегистрировать телефонный метод и полностью обойти MFA при последующих входах. В другом случае аномальный вход с неуправляемого устройства в Microsoft Office Home был дополнен расширением через Graph API в SharePoint Online и OneDrive.

Кто пострадает

Начнём с финансовой функции. Кампания ACH специально нацелилась на сотрудников отдела кредиторской задолженности американских предприятий в сферах IT-услуг, потребительских товаров, недвижимости и дискретного производства. Это команды, где средний срок работы сотрудника AP короче среднего срока отношений с поставщиком, и где счёт на продление ServiceNow от кого-то с именем и почтовым доменом CEO вписывается в совершенно правдоподобную схему. Любой CFO, процесс онбординга поставщиков которого по-прежнему опирается на подтверждение по электронной почте, теперь фактически страхует убыток, который в большинстве юрисдикций не будет покрыт страховкой от киберпреступлений.

Во-вторых, команды по идентификации в любой организации, недавно внедрившей passkey в качестве «фишингостойкого» контроля. В презентации для совета директоров говорилось, что passkey решают проблему фишинга. Данные об инцидентах говорят, что passkey решают один узкий вариант кражи учётных данных, одновременно открывая два новых вектора социальной инженерии: манипуляция при регистрации и злоупотребление восстановлением. Вице-президент по разработке, владеющий дорожной картой идентификации, должен объяснить комитету по аудиту, почему контроль, который продавался как окончательное решение, теперь сам является целью спуфинга на зарегистрированных похожих доменах.

В-третьих, и это недооценённый аспект, тенанты Microsoft 365, рассматривающие активность Graph API как фоновый шум. Наблюдаемая схема — высокообъёмные вызовы Graph, массовая загрузка из SharePoint и OneDrive, перечисление почтовых ящиков через REST-эндпоинты. Если ваша SIEM не устанавливает базовый уровень скорости вызовов Graph на идентификатор и не срабатывает при регистрации нового метода MFA с неуправляемого устройства, у вас нет поверхности обнаружения для этой кампании. Руководитель платформы, бюджет на логирование которого дважды урезали за последние четыре квартала, скоро узнает, что именно было сокращено.

Каждая пара CFO и главного юрисконсульта должна на этой неделе спросить своего CISO: каков наш задокументированный процесс, когда сотрудник сообщает о подозрительном звонке от человека, представляющегося IT-специалистом, и включает ли этот процесс автоматическую аннуляцию любого метода аутентификации, зарегистрированного за предшествующие двадцать четыре часа? Если ответ — пожатие плечами или PDF-политика, которую никто не читал со времён онбординга, — ресурсы на реагирование на инциденты уже расходуются.

Playbook для команд безопасности

Запретите пользовательскую регистрацию MFA с неуправляемых устройств. Если passkey, номер телефона или приложение-аутентификатор можно добавить к корпоративной идентификации с личного устройства вне вашей MDM, вы уже проиграли борьбу за постоянство присутствия. Направьте регистрацию через управляемое устройство или верификацию в службе поддержки лично, и примите связанные с этим неудобства.

Настройте оповещение о регистрации нового метода аутентификации как детектирование первого класса, а не как галочку в чек-листе соответствия. Сигнал здесь очевиден: номер телефона, добавленный с резидентского IP в течение нескольких минут после входа из новой геолокации, — это не ложное срабатывание. Свяжите это с автоматической аннуляцией сессии и принудительной повторной аутентификацией через канал, который атакующий не контролирует.

Отключите потоки аутентификации device-code для пользовательских учётных записей, если нет задокументированной бизнес-необходимости. Большинство предприятий включили его однажды для CLI-инструмента и никогда не пересматривали политику. Условный доступ может ограничить его конкретными приложениями и доверенными сетями. Сделайте это на этой неделе.

Со стороны ACH обязательно введите внеполосную верификацию для любого изменения платежа поставщику или нового счёта выше порога, установленного вашим CFO. Голосовой обратный звонок на номер из файла, а не на номер из письма. Это контроль 1990-х годов, решающий атаку 2026 года, потому что сама атака — это атака 1990-х годов с полировкой от генеративного ИИ.

Наконец, охотьтесь за паттерном доменов. Заблокируйте исходящий DNS к корням на тему passkey, опубликованным Microsoft, и добавьте правило прокси для любого субдомена, содержащего название вашей компании, на домене, зарегистрированном за последние девяносто дней. Это единственное правило остановило бы значительную долю наблюдаемых вторжений.

Ключевые выводы

• Passkey криптографически устойчивы к фишингу, однако потоки регистрации и восстановления полностью поддаются социальной инженерии, и злоумышленники поставили эксплуатацию этого разрыва на поток.
• Фишинг device-code обходит MFA без кражи учётных данных или cookie, и большинство политик условного доступа по умолчанию его не перехватывают.
• Кампания ACH охватила более миллиона почтовых ящиков за три дня, используя генеративный ИИ для составления шаблонов и открытые источники для имперсонации руководителей.
• Постоянство присутствия обеспечивается зарегистрированными атакующим методами MFA, добавленными сразу после первоначального доступа; обнаружение регистрации нового метода теперь является контролем первого уровня.
• Кластер угроз охватывает Storm-3121, Storm-3032, UNC6671, Cordial Spider и связан с брендами вымогательства ShinyHunters, Falcon и Helix, то есть первоначальный доступ здесь финансирует программы-вымогатели на следующих этапах.

Команды, оценивающие развёртывание passkey в течение следующих 90 дней, теперь должны задавать себе другой вопрос. Не «устраняет ли это фишинг», а «кто владеет процедурой регистрации и во сколько нам обойдётся сделать эту процедуру враждебной для атакующих?» Ответ проявится в численности персонала, в переработке процессов службы поддержки и в переговорах с вендором о лицензировании условного доступа, которые никто не закладывал в бюджет.