Microsoft ha osservato da maggio 2026 intrusioni cloud in cui un pretesto legato ai passkey porta a compromissioni che non finiscono con il primo accesso. Il punto non è iscrivere un passkey: è ottenere accesso iniziale e poi inserire una nuova autenticazione controllata dall’attaccante, così l’account resta riutilizzabile.
La sequenza descritta da Microsoft passa da sign-in anomali a metodi di autenticazione aggiunti dall’attaccante, poi a ricognizione su Microsoft Graph e a raccolta di dati da SharePoint, OneDrive ed Exchange Online. In pratica, un reset della password o la sola revoca della sessione può non bastare, perché la persistenza vive nel metodo di accesso aggiunto dopo il phishing.
Per chi gestisce Microsoft 365, il segnale da seguire non è solo la credenziale rubata ma l’elenco dei metodi di autenticazione autorizzati sull’account. Se un metodo non previsto resta associato, la compromissione può riaprirsi anche dopo la correzione del primo varco.