L’esca del passkey lascia accesso persistente a Microsoft 365
Microsoft dice di aver osservato da maggio 2026 una campagna legata a ShinyHunters, Helix e altri gruppi di estorsione che usa passkey e SSO come esca per rubare accesso a account Microsoft e dati di Microsoft 365. Il punto non è l’enrollment di un passkey, ma il furto di una sessione viva o l’autorizzazione di un client controllato dall’attaccante.
La vittima viene spinta su una pagina Microsoft falsa o su un device-code prompt e crede di sistemare un problema di accesso. In realtà sta consegnando un session token valido o approvando un metodo che resta sfruttabile dopo il furto iniziale. Da lì l’attaccante può leggere posta, SharePoint, OneDrive e fare ricognizione su Microsoft Graph.
Per chi usa Microsoft 365 ed Entra ID, il rischio non finisce con il reset della password. Se un account ha approvato un device-code o ha lasciato dietro di sé un metodo autenticato dall’attaccante, l’accesso può restare aperto finché quel legame non viene rimosso.
Passkey-themed phishing attacks lead to Microsoft 365 data theft
Microsoft says threat actors linked to ShinyHunters, Helix, and other extortion gangs are using passkey and single sign-on-themed social engineering attacks to compromise corporate Microsoft accounts and steal data from Microsoft 365 services.
Passkey-themed social engineering leads to identity and cloud compromise | Microsoft Security Blog
Learn how threat actors establish MFA persistence, abuse Microsoft Graph for reconnaissance, and access SharePoint, OneDrive, and email data, along with key detection and mitigation guidance.