Microsoft cảnh báo chiến dịch lừa đảo passkey nhắm vào tài khoản cloud
"Microsoft disclosed two related campaigns: one used executive impersonation and fabricated invoices to drive ACH payment fraud, while the other used passkey-themed social engineering and adversary-in-the-middle tactics to compromise Microsoft cloud accounts. The cloud intrusion activity, observed since May 2026, led to suspicious sign-ins, attacker-added authentication methods, Microsoft Graph and REST API abuse, and downloads from SharePoint and OneDrive; no CVE was cited, and the primary mitigation is user awareness plus stronger identity verification and phishing-resistant authentication controls."
Rủi ro chiếm quyền tài khoản cloud và rò rỉ dữ liệu; đồng thời có thể phát sinh gian lận thanh toán ACH qua email giả mạo.
Có thể gây mất dữ liệu, gián đoạn truy cập và thiệt hại tài chính; bộ phận tài chính và IT là nhóm chịu ảnh hưởng trực tiếp.
Microsoft công bố hai chiến dịch liên quan đến lừa đảo qua email và xâm nhập tài khoản cloud. Ở chiến dịch đầu, kẻ tấn công gửi hơn 1 triệu email giả mạo trong giai đoạn 3–5/8/2026, đóng vai lãnh đạo doanh nghiệp để dụ bộ phận kế toán thực hiện ACH transfer cho hóa đơn giả. Nội dung thư được dựng bằng hóa đơn giả, chuỗi trao đổi email giả và tên của các CEO/CFO nhằm tăng độ tin cậy.
Chiến dịch thứ hai nhắm vào Microsoft cloud accounts bằng kỹ thuật xã hội liên quan đến passkey, MFA và SSO. Từ 5/2026, Microsoft ghi nhận các lần đăng nhập đáng ngờ, sau đó kẻ tấn công tự thêm phương thức xác thực, khai thác Microsoft Graph API, REST API, và tải dữ liệu từ SharePoint cùng OneDrive. Mồi nhử thường là cuộc gọi hoặc tin nhắn giả danh IT help desk, dẫn nạn nhân đến trang đăng nhập giả hoặc luồng adversary-in-the-middle (AitM).
Khuyến nghị: tăng xác minh danh tính khi có yêu cầu đổi xác thực, ưu tiên phishing-resistant authentication, giám sát đăng nhập bất thường, và rà soát việc thêm phương thức xác thực mới trên tài khoản quản trị lẫn người dùng cuối.