Negli ultimi mesi sta emergendo una nuova tecnica di phishing che sfrutta la diffusione delle passkey per rubare accessi a Microsoft 365. Un gruppo criminale identificato come O UNC 066 sta colpendo aziende di diversi settori come tecnologia, sanità, automotive, costruzioni, food and beverage e aviazione, combinando vishing e pagine web contraffatte per convincere gli utenti a registrare una passkey controllata dagli attaccanti in Microsoft Entra.
La truffa parte da una telefonata che simula una richiesta di sicurezza urgente. Il chiamante invita la vittima a completare una procedura di registrazione passkey per proteggere l’account o adeguarsi a nuove policy. Per aumentare la credibilità vengono usati domini creati ad hoc che includono la parola passkey e un kit di phishing che replica in modo fedele la procedura di enrollment. Il punto critico è che la vittima crede di aggiungere una passkey sul proprio dispositivo, ma in realtà sta autorizzando la registrazione di una passkey dell’attaccante associata al suo account, aprendo la strada ad accessi non autorizzati e possibili attacchi di estorsione dati.
A differenza delle classiche campagne adversary in the middle mirate a rubare credenziali e token MFA, qui la componente operativa è in tempo quasi reale. Il kit è gestito tramite un pannello PHP controllato dall’operatore, che adatta le schermate in base al tipo di MFA richiesto durante la sessione, per esempio TOTP, push con number matching oppure SMS OTP.
Sequenza tipica dell’attacco
- Fase iniziale con controlli anti-analisi
- Richiesta di username e password
- Invio delle credenziali al backend
- Raccolta del codice OTP o approvazione push
In parallelo un operatore inserisce i dati rubati nel vero portale Microsoft del tenant bersaglio, sincronizzando la vittima con pagine di attesa e istruzioni mirate.
Dopo aver superato la MFA, la vittima viene guidata nella finta registrazione della passkey. Compare anche una recovery key con 12 parole simile alle frasi mnemoniche dei wallet crypto, usata come distrazione per tenere impegnato l’utente mentre l’attaccante completa la registrazione della propria passkey sull’account Microsoft. Questa catena sfrutta la scarsa familiarità degli utenti con la sicurezza passkey e con i dettagli della cerimonia di registrazione, dove ci si aspetterebbe un dialog di sistema del dispositivo.