Microsoft a publicat pe 9 septembrie 2026 o analiză a unor intruziuni cloud observate din mai. Atacatorii invocă actualizarea urgentă a passkey-ului, MFA sau SSO, prin apeluri și mesaje care par să vină de la IT. Pretextul îi conduce pe angajați către phishing cu intermedierea autentificării sau către autorizarea accesului printr-un cod de dispozitiv.
Microsoft descrie adăugarea unor metode de autentificare neautorizate, explorarea resurselor prin Microsoft Graph și colectarea de fișiere ori e-mailuri. Nu publică un bilanț global al victimelor, iar amploarea exfiltrării nu trebuie dedusă din fiecare acces observat. Raportul nu demonstrează compromiterea criptografiei passkey.
Separat, Arctic Wolf a documentat pe 3 septembrie activitate înrudită sub numele PREY-0058, relatată de The Hacker News pe 7 septembrie. Aceasta oferă context independent despre falsul help desk și furtul sesiunilor; nu confirmă că toate cazurile Microsoft au același autor.
Verifică solicitarea înainte să verifici instrucțiunile
Imaginează-ți că ești între două ședințe. Cineva îți cunoaște numele și spune că accesul la documente va fi suspendat în zece minute. Mesajul folosește un termen pe care l-ai auzit chiar la cursul de securitate: passkey. Presiunea vine din dorința de a păstra accesul și de a respecta o regulă aparent legitimă.
- Întrerupe pașii și deschide singur portalul intern de suport, dintr-un reper cunoscut. Verifică acolo existența schimbării și a tichetului.
- Contactează help desk-ul la numărul din directorul intern. Numărul oferit în apel sau în SMS face parte din solicitarea încă neverificată.
- Înaintea unei aprobări, identifică aplicația, dispozitivul și acțiunea pe care le autorizezi. Dacă nu ai început tu conectarea, oprește procesul.
- Raportează cererea chiar dacă ai închis apelul fără să introduci nimic. Menționează ora, canalul și ce ți s-a cerut; nu include parole sau coduri.
O procedură de rollout pe care angajații o pot recunoaște
Echipa care introduce passkeys trebuie să ofere din timp un reper verificabil: anunț în portal, calendar, responsabil și instrucțiuni accesibile fără linkul primit în conversație. Un mesaj legitim care cere grabă și excepții îi învață pe oameni să urmeze același tipar pe care îl exploatează atacatorii.
Managerul poate reduce presiunea printr-o regulă simplă: verificarea unei cereri de securitate justifică întârzierea la o ședință. Help desk-ul trebuie să poată confirma o schimbare fără să solicite utilizatorului să citească un cod sau să trimită o captură cu informații de recuperare.
Exercițiu de 20 de minute: cine a început conectarea?
Scenariul de mai jos este propunerea noastră de instruire, nu cronologia unei victime. Folosește mesaje fictive și ecrane demonstrative, fără autentificări reale. Participă un angajat, un manager, help desk-ul și un specialist identity.
- Minutul 0: angajatul primește un apel despre activarea obligatorie a passkey-ului. Cere participantului să arate unde verifică schimbarea, nu doar să spună că ar fi atent.
- Minutul 5: apelantul insistă că pagina este chiar a furnizorului. Participantul trebuie să explice diferența dintre autenticitatea paginii și legitimitatea cererii de autorizare.
- Minutul 10: angajatul spune că a aprobat deja. Help desk-ul înregistrează acțiunea exactă și escaladează fără reproșuri, iar managerul asigură timpul necesar investigației.
- Minutul 15: echipa identity primește o notificare despre o metodă nouă de autentificare. Cere un responsabil pentru verificare, o decizie de limitare a accesului și criterii explicite de recuperare.
Dacă ai aprobat deja
Raportează imediat, de pe un canal cunoscut, ce ai făcut și aproximativ când. Păstrează mesajul pentru investigație fără să-l distribui colegilor. Microsoft recomandă pentru identitățile confirmate compromise revocarea sesiunilor și tokenurilor de reîmprospătare, eliminarea metodelor neautorizate și recuperarea sigură a autentificării.
Echipa de răspuns stabilește ce acces trebuie suspendat și verifică activitatea din serviciile conectate. Utilizatorul nu trebuie pus să decidă singur dacă incidentul s-a încheiat doar fiindcă parola a fost schimbată.
Ce urmărești la următoarea instruire
- Câți participanți găsesc canalul intern verificat fără ajutorul facilitatorului.
- Câți opresc o autorizare neinițiată, inclusiv atunci când pagina afișată este autentică.
- Timpul dintre recunoașterea aprobării greșite și preluarea cazului de persoana responsabilă.
- Dacă predarea către identity include ora și acțiunea efectuată, fără secrete copiate în tichet.
În Learning Awarely, cazul poate deveni o lecție scurtă cu întrebări diferite pentru angajați, manageri și help desk. Repetă situația după actualizarea procedurii și compară alegerile participanților; dovada utilă este că oamenii găsesc și folosesc calea de verificare.