Minacce · 45 giorni fa
Microsoft dice di aver osservato da maggio 2026 una campagna legata a ShinyHunters, Helix e altri gruppi di estorsione che usa passkey e SSO come esca per rubare accesso a account Microsoft e dati di Microsoft 365. Il punto non è l’enrollment di un passkey, ma il furto di una sessione viva o l’autorizzazione di un client controllato dall’attaccante.
La vittima viene spinta su una pagina Microsoft falsa o su un device-code prompt e crede di sistemare un problema di accesso. In realtà sta consegnando un session token valido o approvando un metodo che resta sfruttabile dopo il furto iniziale. Da lì l’attaccante può leggere posta, SharePoint, OneDrive e fare ricognizione su Microsoft Graph.
Per chi usa Microsoft 365 ed Entra ID, il rischio non finisce con il reset della password. Se un account ha approvato un device-code o ha lasciato dietro di sé un metodo autenticato dall’attaccante, l’accesso può restare aperto finché quel legame non viene rimosso.
3 fonti che coprono questa storia
Attackers Use Passkey Phishing to Hijack Microsoft Cloud Accounts and Exfiltrate Data
Microsoft details a million-email CEO fraud campaign and passkey-themed attacks that compromised cloud accounts and enabled data exfiltration.
Passkey-themed phishing attacks lead to Microsoft 365 data theft
Microsoft says threat actors linked to ShinyHunters, Helix, and other extortion gangs are using passkey and single sign-on-themed social engineering attacks to compromise corporate Microsoft accounts and steal data from Microsoft 365 services.
Passkey-themed social engineering leads to identity and cloud compromise | Microsoft Security Blog
Learn how threat actors establish MFA persistence, abuse Microsoft Graph for reconnaissance, and access SharePoint, OneDrive, and email data, along with key detection and mitigation guidance.
Riepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-09-14