Microsoft 365: мошенники используют passkey-регистрацию в голосовых атаках

В Microsoft 365 появилась новая практическая зона риска: злоумышленники используют тему passkey-регистрации как повод для голосового фишинга. Пользователю звонят под видом внутренней IT-службы или службы безопасности и убеждают пройти «обязательную» регистрацию нового ключа входа. На деле человек попадает на фишинговую страницу, похожую на Microsoft Entra, а оператор атаки в это время пытается закрепить доступ к аккаунту.

Для читателей ExShare эта новость важна не только как корпоративная история. Microsoft 365, Office, Outlook, OneDrive, Teams и рабочие учетные записи часто настраивают вместе с домашними компьютерами, ноутбуками, удаленным доступом и почтой. Если пользователь не понимает, как выглядит настоящая регистрация passkey, его легче убедить выполнить чужую инструкцию по телефону.

Что произошло

BleepingComputer сообщил о кампании против пользователей Microsoft 365, где голосовой фишинг строится вокруг регистрации passkey в Microsoft Entra. По данным Okta Threat Intelligence, активность наблюдается с апреля 2026 года и связана с кластером O-UNC-066, который Palo Alto Networks Unit 42 также описывает как бренд Pink.

Схема выглядит убедительно. Сначала человеку звонят и объясняют, что для безопасности нужно зарегистрировать новый passkey. Затем его отправляют на сайт, где домен и интерфейс используют слова и элементы, похожие на процесс Microsoft Entra. Фишинговый набор может показывать разные экраны в реальном времени: ввод имени пользователя, ожидание, MFA-подтверждение, страницу «регистрации» passkey и даже ложную фразу восстановления.

Ключевой момент в том, что пользователь думает, будто создает безопасный способ входа для себя. Но оператор атаки может параллельно работать с настоящей учетной записью и пытаться зарегистрировать подконтрольный ему ключ. Поэтому опасность здесь не только в пароле. Риск в том, что человек сам помогает пройти сценарий, который выглядит как легитимное усиление защиты.

Почему passkey не делает аккаунт неуязвимым

Passkey полезен, потому что снижает зависимость от обычных паролей и часто лучше защищает от классического фишинга. Но технология не отменяет человеческий фактор. Если регистрацию запускают не из привычного окна системы, не из официального раздела аккаунта и не по понятной инициативе владельца, а по звонку неизвестного «специалиста», это уже повод остановиться.

В настоящем сценарии регистрации пользователь должен понимать, где именно он находится: в настройках своего аккаунта, на официальном домене, в знакомом приложении или в системном окне устройства. Если вместо этого сайт просит следовать инструкциям оператора, сохранять странную seed-фразу, подтверждать слова из нее или вводить одноразовые коды в непривычной форме, это не похоже на нормальную настройку Microsoft 365.

Отдельно стоит помнить про уведомления. Microsoft обычно сообщает владельцу, когда в аккаунте меняются способы входа или добавляется новый метод защиты. Такое письмо нельзя игнорировать, особенно если пользователь не выполнял регистрацию сам.

Что проверить в Microsoft 365

Первое действие — открыть настройки безопасности Microsoft-аккаунта или рабочей учетной записи через официальный путь, а не через ссылку из звонка или сообщения. В разделе способов входа стоит проверить, какие passkey, устройства, приложения MFA, номера телефонов и резервные способы восстановления сейчас привязаны к аккаунту.

Если появился незнакомый passkey, странное устройство или новый метод MFA, его нельзя оставлять «на потом». Нужно зафиксировать, что именно изменилось, сменить пароль, завершить активные сеансы, проверить недавние входы и пересмотреть доступ к почте, OneDrive, Teams и связанным приложениям.

Второе действие — оценить сам звонок. Настоящая поддержка не должна просить открыть неизвестный домен, диктовать код MFA, подтверждать push-уведомление ради «проверки» или немедленно создавать новый ключ входа без понятной заявки. Если речь идет о рабочем аккаунте, безопаснее связаться с администратором через известный канал: корпоративный портал, официальный номер, рабочую почту или внутренний чат, который уже использовался раньше.

Третье действие — проверить компьютер и браузер. После подозрительного сценария стоит посмотреть сохраненные пароли, расширения браузера, активные сеансы, переадресации в почте и правила пересылки. Иногда атака на аккаунт продолжается не только через новый метод входа, но и через скрытые правила в Outlook или подключенные приложения.

Когда лучше не тратить время и обратиться к специалистам

Если пользователь уже прошел регистрацию по звонку, вводил пароль, подтверждал MFA, видел неизвестную страницу Microsoft Entra или получил письмо о новом passkey, лучше не разбираться наугад. Важно быстро понять, был ли добавлен чужой метод входа, какие сеансы активны и не появились ли правила пересылки в почте.

Почему стоит выбрать ExShare

Команда ExShare помогает с настройкой Microsoft 365, Office, почты, безопасности аккаунтов, браузеров, удаленного доступа и рабочих сервисов. В такой ситуации важно смотреть не на один пароль, а на всю цепочку: методы входа, MFA, passkey, устройства, почтовые правила, активные сессии и доступы к связанным приложениям.

Связаться с командой можно через форму на сайте, в WhatsApp или Telegram, а также по телефону. Если есть сомнения после звонка «службы безопасности» или неожиданного письма о новом способе входа, проверку лучше провести спокойно, но без откладывания.

Итоги

Новая схема показывает, что даже современные способы входа требуют аккуратной настройки. Passkey остается полезным инструментом, но регистрировать его нужно только через официальный раздел аккаунта и по собственной инициативе. Любой звонок с просьбой немедленно создать ключ, открыть незнакомую ссылку или подтвердить MFA стоит воспринимать как повод остановиться и проверить аккаунт через официальный канал.

Дополнительный материал ExShare: Установка и активация Microsoft Office.

Полезная услуга ExShare: Безопасность и защита.

Практический материал по теме: Безопасность и защита на Mac и Windows.

Смежный материал ExShare: Контакты ExShare.