攻击者利用 Passkey 钓鱼劫持 Microsoft 云账户并窃取数据

Microsoft 披露了两起攻击活动的细节，威胁行为者在这两起活动中滥用第三方电子邮件投递基础设施发送金融欺诈诈骗信息，并利用 Passkey 主题的社会工程手段入侵云环境。

据这家科技巨头称，第一起活动在 2026 年 8 月 3 日至 5 日期间发送了超过一百万封诈骗邮件，冒充各目标公司的首席执行官 (CEO)，意图说服这些公司的应付账款部门为一项所谓的 ServiceNow 年度订阅发起自动清算所 (ACH) 转账。

证据表明，该活动背后的运营者利用生成式人工智能 (AI) 协助创建电子邮件模板和针对收件人量身定制的邮件草稿。该活动主要针对美国的企业用户，涵盖 IT 服务、消费品、房地产和离散制造等行业。

"该活动在活动执行之前和执行期间遵循以下步骤：威胁行为者注册冒充域名，通过可信基础设施发送高管主题的付款请求，嵌入伪造的发票和辅助对话，并试图说服财务人员发起 ACH 转账，"Microsoft 安全研究团队表示。

"与依赖单一社会工程诱饵的传统发票诈骗不同，该活动将高管冒充、供应商品牌、伪造发票和辅助电子邮件对话分层整合为一个统一的叙事，旨在降低收件人的怀疑。"

这些伪造的电子邮件包含对虚假发票的所谓"批准"，以诱骗收件人向攻击者控制的账户付款。为了使骗局显得更具合法性，威胁行为者还附上了一段伪造的电子邮件往来记录以及伪造的发票。

一个巧妙之处在于，攻击者识别出受害组织中的 CEO、CFO 和总裁，并将其姓名和电子邮件地址填入邮件的签名中，使其对目标而言显得可信。该活动还大量依赖伪造域名和旨在冒充可信品牌及个人的内容。部分注册的域名如下：

• service-nowinc[.]com
• domainlify[.]net

Passkey 主题的社会工程导致云环境失陷

Redmond 记录的第二起活动围绕基于云的入侵展开，针对多个账户，其中可疑登录之后，威胁行为者会添加自己的身份验证方法，以及大量的 Microsoft Graph 活动、SharePoint 和 OneDrive 下载，并通过 REST API 收集邮箱内容。

该活动自 2026 年 5 月起被发现，与"使用代理相关基础设施从受陷云身份进行自动化收集"的行为一致，Microsoft 表示。

攻击通常以针对身份的社会工程开始。威胁行为者拨打或发送消息至用户的个人手机号码，同时声称来自组织的 IT 服务台，并敦促他们立即更新其 Passkey、多因素身份验证 (MFA) 或单点登录 (SSO) 配置，以避免访问中断。

毫无戒心的员工会通过发送至其个人设备的短信被重定向到模仿合法 Microsoft 登录体验的仿冒网站。此处的最终目的是利用这一借口引导他们完成中间人 (AitM) 或设备代码身份验证流程，并通过捕获凭据或在受害者不知情的情况下代表攻击者授予访问权限，从而控制其 Microsoft 账户。

"该行为者似乎在攻击前研究上投入了大量精力，很可能从社交网络和专业档案平台等公开来源收集有关员工和组织结构的信息，"Microsoft 表示。"在少数情况下，行为者利用已被攻陷的账户来扩大其影响范围"，通过 Microsoft Teams 发送类似的 Passkey 主题消息。

此外，已观察到该威胁行为者注册围绕 Passkey、SSO 注册、账户激活和身份验证等主题构建的域名，同时将目标组织的名称作为子域名包含在模式中："<公司名称>.<恶意域名>[.]com"：

• passkeyhelpdesk[.]com
• secure-passkey[.]com
• setupmypasskey[.]com
• add-passkey[.]com
• integratedsso[.]com
• oktasession[.]com
• syncmykey[.]com
• portalsetuphub[.]com

值得注意的是，这种作案手法与网络安全社区以 Cordial Spider、O-UNC-045、PREY-0058 和 UNC6671 等代号追踪的一个松散网络犯罪团伙存在重叠。该网络犯罪对手被描述为一个协调一致的威胁行为者群体，其运营多个公开勒索品牌，同时在底层钓鱼基础设施和目标覆盖范围上存在重叠。

"UNC6671 使用托管在通用根域名上、伪装成与 Passkey 相关的凭据收集面板，并附加特定于受害者的子域名，以促进有针对性的语音钓鱼活动，"上个月指出。

尽管这些关联的确切性质尚不清楚，但据怀疑它们是由分裂出来的附属组织所驱动，这些组织保留了对共享初始访问剧本的访问权限，或依赖相同的商品化钓鱼面板、语音钓鱼呼叫者和共享基础设施。

就 Microsoft 而言，其将此次活动中观察到的初始访问活动归因于一系列威胁行为者，包括 Storm-3121 和 Storm-3032。Storm-3121 执行导致 ShinyHunters 和 Falcon（又名 CL-CRI-1182）勒索的初始访问活动，而 Storm-3032 是其对 UNC6671 的命名，后者指的是从 BlackFile（又名 CL-CRI-1116）组织分裂出来、现以 Helix 勒索品牌运营的一组行为者。

在 Microsoft 调查的至少一起案例中，据称威胁行为者从一台非受管设备对 Microsoft Office Home 执行了一次异常登录，以通过 Graph API 将其访问范围扩大到 SharePoint Online 和 OneDrive 等其他应用程序，并枚举敏感文件和内部服务。

另一起事件涉及使用 Passkey 诱饵发起设备代码钓鱼攻击，并在无需窃取其凭据或 cookie 的情况下控制受害者账户，从而有效绕过 MFA 防护。Microsoft 检测到的第三种攻击模式使用可能来自先前事件的受陷凭据，注册其自己的基于电话的方法以绕过 MFA，并从事侦察和后期利用活动。

"在初始访问之后，行为者的首要目标是将临时失陷转变为持久立足点，"这家 Windows 制造商表示。"行为者并非仅依赖窃取的凭据，而是注册了一种由其控制的 MFA 方法，通常是通过注册新的电话号码、身份验证器应用或基于软件的一次性密码 (OTP) 令牌。"

这种由行为者控制的第二因素提供的一个优势是，它允许威胁行为者在无需受害者参与的情况下登录受害者的企业账户，并结合未撤销的会话或有效凭据维持持续访问。威胁行为者在建立 MFA 持久化后可采取的各种操作如下：

• 使用 Graph API 进行广泛的内部侦察，并使用受陷身份清点整个租户中的用户、组、权限、资源和可访问内容。
• 检查角色和高价值账户及服务身份，以进行权限提升。
• 枚举邮箱邮件、文件夹和附件元数据，以进行情报收集。
• 针对 SharePoint Online 和 OneDrive for Business，在某些情况下甚至包括 Microsoft Exchange Online，进行大量的访问和下载活动。
• 从事持续的数据窃取，持续时间从数小时到数天不等，取决于从受陷用户处收集的文件和电子邮件内容的数量。
• 在整个攻击生命周期中故意轮换基础设施，并为身份验证、侦察和窃取活动使用单独的 IP 地址，以规避基于网络的指标。

"该攻击凸显了一个关键的检测挑战：Microsoft Graph 滥用从单个 API 调用的角度看很少显得可疑，"Microsoft 表示。"该攻击有力地说明了为什么必须整体评估 Graph 活动，强调行为进展和跨事件关联，而非孤立地看待单个 API 请求。"