Microsoft: fałszywy helpdesk wyłudza logowanie pod pretekstem zmiany passkey

Microsoft Security Research śledzi od maja 2026 serię włamań na konta w chmurze, w których po nietypowym logowaniu napastnik dodaje własną metodę uwierzytelniania, a potem masowo odpytuje Microsoft Graph, pobiera pliki z SharePoint i OneDrive oraz zbiera pocztę przez REST API. To zautomatyzowane wynoszenie danych z przejętych tożsamości, prowadzone przez infrastrukturę proxy.

Atak zaczyna się od telefonu albo SMS-a na prywatny numer pracownika. Dzwoniący podaje się za helpdesk IT firmy i twierdzi, że passkey, MFA albo SSO trzeba natychmiast zaktualizować, bo inaczej dostęp przestanie działać. Link prowadzi do strony łudząco podobnej do logowania Microsoft. Samo dodanie passkey często nie jest prawdziwym celem; chodzi o przejęcie konta.

Domeny i adresy IP zmieniają się szybko, dlatego Microsoft radzi szukać całej sekwencji: nietypowe logowanie, nowa metoda uwierzytelniania, ruch w Graph, pobrania z SharePoint i OneDrive, dostęp do Exchange. Przy potwierdzonym przejęciu należy unieważnić sesje i usunąć obce metody uwierzytelniania.