حملات فیشینگ با محوریت Passkey منجر به سرقت داده‌های Microsoft 365 شد
مایکروسافت می‌گوید بازیگران تهدید مرتبط با ShinyHunters، Helix و دیگر گروه‌های باج‌خواه از حملات اجتماعی با تم Passkey و تک‌ورودی (SSO) برای تسخیر حساب‌های سازمانی و سرقت داده‌های Microsoft 365 استفاده می‌کنند. اطلاعات بر اساس منبع اصلی BleepingComputer است.
بر پایه گزارش منتشرشده در BleepingComputer، مایکروسافت هشدار داده که گروه‌هایی از جمله ShinyHunters، Helix و سایر باندهای باج‌خواه از حملات مهندسی اجتماعی با محوریت Passkey و فرایندهای Single Sign-On (SSO) برای دسترسی به حساب‌های سازمانی مایکروسافت و استخراج داده‌ها از سرویس‌های Microsoft 365 سوءاستفاده می‌کنند. این حملات به‌جای بهره‌جویی از آسیب‌پذیری فنی صرف، متکی بر فریب کاربران و دورزدن مکانیزم‌های احراز هویت هستند تا دسترسی لازم را کسب و اطلاعات حساس را خارج کنند. اطلاعات این گزارش بر اساس منبع اصلی BleepingComputer است.
خلاصه تحلیلی مستقل: چنین حملاتی نشان می‌دهد که معرفی روش‌های نوین احراز هویت (مثل passkey) اگرچه از نظر فنی قوی‌اند، اما در برابر مهندسی اجتماعی آسیب‌پذیر bleiben—زیرا مهاجمان تلاش می‌کنند تا کاربر را قانع کنند عملیاتی را انجام دهد که به اعطای دسترسی منجر می‌شود. سازمان‌ها باید ضمن پیاده‌سازی راه‌حل‌های فنی مقاوم در برابر فیشینگ (احراز هویت فاقد رمز یا phishing-resistant)، روی آموزش کاربران، سیاست‌های حداقلی دسترسی، و پایش رفتارهای غیرعادی در نشست‌ها تمرکز کنند. توصیه‌های عملی شامل فعال‌سازی روش‌های احراز هویت مقاوم در برابر فیشینگ، پیاده‌سازی Conditional Access و محافظت از جریان‌های SSO، ثبت و مانیتورینگ لاگ‌ها برای شناسایی رفتارهای مشکوک و آموزش کارکنان درباره شگردهای مهندسی اجتماعی است. این متن گزارشی است خلاصه‌شده بر پایه منبع اعلام‌شده و هیچ ادعای فراتر یا حدسی در آن نشده است.