Kẻ tấn công dùng vishing giả mạo đăng ký passkey Entra để chiếm quyền Microsoft 365
"Threat actors tracked as O-UNC-066 are using voice-based phishing to trick Microsoft 365 users into enrolling a fake Microsoft Entra passkey, then leveraging the victim’s session to register an attacker-controlled passkey and gain unauthorized account access. The campaign uses an operator-controlled phishing kit that mimics Microsoft’s passkey enrollment flow, supports multiple MFA challenge types, and is being used for follow-on data extortion; no CVE is involved, and the main mitigation is user awareness plus stronger controls around passkey registration and identity verification."
Tác động chủ yếu là chiếm quyền tài khoản và mở đường cho data extortion thông qua việc đăng ký passkey do kẻ tấn công kiểm soát. Điểm rủi ro cao đến từ việc bộ kit mô phỏng passkey enrollment và thích ứng theo MFA trong phiên.
Nguy cơ gây gián đoạn vận hành và thiệt hại tài chính do truy cập trái phép vào Microsoft 365, kéo theo khả năng rò rỉ dữ liệu và yêu cầu chuộc. Ảnh hưởng có thể mở rộng theo phạm vi người dùng bị nhắm trong nhiều ngành.
Một nhóm tấn công được Okta theo dõi với mã O-UNC-066 đang nhắm vào nhiều ngành bằng hình thức vishing (phishing qua điện thoại). Mục tiêu là khiến người dùng Microsoft 365 đăng ký một Microsoft Entra passkey giả, sau đó kẻ tấn công lợi dụng phiên đăng nhập của nạn nhân để đăng ký passkey do kẻ tấn công kiểm soát và giành truy cập trái phép.
Theo Okta, chiến dịch sử dụng bộ phishing kit do người vận hành điều khiển (panel) để mô phỏng gần như thời gian thực luồng passkey enrollment của Microsoft. Bộ kit có thể thích ứng với các yêu cầu MFA khác nhau trong phiên như TOTP, push number matching và SMS OTP, đồng thời điều chỉnh trang/ thông báo mà nạn nhân nhìn thấy.
Chuỗi tấn công gồm: thu thập thông tin đăng nhập qua các bước như /gate, /identify, /password, rồi chuyển sang các trang xử lý OTP như /submit-otp hoặc /approve-authenticator. Sau khi nạn nhân bị thuyết phục phê duyệt, kẻ tấn công tiếp tục lừa nạn nhân thực hiện các bước /passkey/register và xác nhận khóa khôi phục (12 từ) để hoàn tất đăng ký passkey.
Khuyến nghị: tăng nhận thức người dùng về passkey, siết quy trình đăng ký passkey và xác minh danh tính khi có yêu cầu đăng ký; đồng thời rà soát các dấu hiệu bất thường trong luồng đăng nhập/MFA.