Хакеры используют поддельную регистрацию ключа доступа Microsoft Entra для получения доступа к Microsoft 365
Угроза под кодовым названием O-UNC-066 использует голосовой фишинг и специальный фишинговый набор, чтобы обманом заставить пользователей Microsoft 365 зарегистрировать контролируемый злоумышленником ключ доступа, что позволяет захватить учетную запись и вымогать данные.
Обзор
Угроза нацеливается на организации из нескольких отраслей с помощью голосовых поддельных запросов безопасности, которые предлагают пользователям Microsoft 365 зарегистрировать новый ключ доступа Entra с целью вымогательства данных. Деятельность, отслеживаемая Okta как O-UNC-066, использует фишинговый набор, управляемый через панель, который имитирует легитимный процесс регистрации ключа доступа Microsoft.
Вектор атаки
Злоумышленник регистрирует домены, содержащие слово 'passkey', и звонит целевым пользователям, убеждая их зарегистрировать новый ключ доступа. Жертвы направляются на фишинговый набор, идентичный странице регистрации ключа доступа Microsoft. Вместо регистрации ключа для пользователя злоумышленник регистрирует свой собственный ключ в учетной записи Microsoft жертвы, получая несанкционированный доступ.
Технические детали
Фишинговый набор представляет собой PHP-панель, управляемую оператором, которая в реальном времени проводит жертв через процесс регистрации. Оператор может адаптировать пользовательский опыт в зависимости от требований MFA жертвы (TOTP, push-уведомление с сопоставлением номеров, SMS OTP). Цепочка атак включает кражу учетных данных, захват токенов MFA и поддельную церемонию регистрации ключа доступа, включающую ключ восстановления (фраза из 12 слов) для отвлечения внимания.
Атрибуция
Okta отслеживает угрозу как O-UNC-066, а Palo Alto Networks Unit 42 отслеживает кластер как CL-CRI-1147, описывая его как связанный с The Com — децентрализованным киберпреступным коллективом, включающим Scattered Spider, ShinyHunters и LAPSUS$. Злоумышленник управляет сайтом утечки данных под названием Pink с апреля 2026 года.
Рекомендации
Организациям следует информировать пользователей об атаках вишинга, нацеленных на регистрацию ключей доступа, применять строгие политики MFA и отслеживать необычную активность регистрации ключей. Администраторам рекомендуется проверять журналы входа Microsoft Entra на предмет несанкционированного добавления ключей доступа.