Фишинг против Microsoft Cloud: как работает атака и как не отдать доступ
Не уверены, что именно сломалось?
Опишите симптомы мастеру — подскажем, с чего начать диагностику и стоит ли нести технику в ремонт.
Пользователь привык к простому правилу: если не вводить пароль на подозрительном сайте и включить многофакторную аутентификацию, аккаунт Microsoft будет в безопасности. Это хорошая база, но современный фишинг Microsoft 365 атакует не только пароль.
В сентябре 2026 года Microsoft описала кампании, в которых злоумышленники использовали темы passkey, голосовые звонки, SMS и device code. После получения доступа они добавляли собственные методы аутентификации, читали почту, загружали файлы из SharePoint и OneDrive и работали через Microsoft Graph. The Hacker News сообщает, что одна из кампаний также была связана с массовыми финансовыми письмами, имитирующими руководителей компаний.
Это не значит, что passkey или Microsoft Cloud опасны сами по себе. Проблема возникает, когда пользователя заставляют добровольно завершить настоящий процесс авторизации для чужого устройства, добавить чужой ключ или предоставить приложению лишние разрешения.
Что такое device code phishing
Device code — легитимный способ входа для устройств, где неудобно вводить пароль на самом экране: телевизора, консоли, терминала или специального устройства. Пользователь видит код, открывает официальную страницу Microsoft на другом устройстве, вводит код и завершает авторизацию.
В фишинговой схеме злоумышленник генерирует код для своей сессии и убеждает жертву ввести его на настоящей странице Microsoft. Сайт может быть настоящим, домен — правильным, а пароль и MFA — не украдены. Но после подтверждения код привязывает сессию атакера к учётной записи жертвы.
Microsoft описывала device-code кампании, в которых злоумышленники использовали социальную инженерию и легитимный процесс аутентификации. Защита здесь зависит от понимания контекста: вы должны знать, кто создал код, для какого устройства и почему именно сейчас нужно подтвердить вход.
Код нельзя вводить по просьбе неизвестного «сотрудника поддержки», в чате, во время неожиданного звонка или после ссылки из SMS. Если вы сами не запускали вход на конкретном устройстве, закройте окно.
Как работает passkey-фишинг
Passkey — это криптографический метод входа, который обычно устойчивее к обычному копированию пароля. Но пользователя можно обманом убедить зарегистрировать новый passkey, который контролирует злоумышленник.
Сценарий может выглядеть так:
- жертве звонят или пишут о «проблеме безопасности»;
- отправляют ссылку на страницу якобы настройки passkey;
- просят войти в Microsoft или выполнить шаги на настоящем экране;
- убеждают добавить новый ключ в учётную запись;
- после этого атакер использует собственный ключ для входа.
Самая опасная часть — вы можете не заметить кражи пароля. Вход проходит как разрешённый, потому что в аккаунте появился новый метод аутентификации. После смены пароля доступ может остаться, если администратор или владелец не удалит чужой passkey и не завершит активные сессии.
Что происходит после компрометации
Злоумышленники часто не начинают с громкого действия. Сначала они проверяют почту, правила пересылки, контакты, календари, OneDrive, SharePoint и список зарегистрированных приложений. Они ищут счета, договоры, пароли, резервные коды и сообщения, которые помогут расширить атаку.
Затем добавляются механизмы устойчивости: чужой MFA-метод, OAuth-приложение, правило почты или новая сессия. Часть действий происходит через легитимные Microsoft API, поэтому простое блокирование одного домена не всегда помогает.
Для бизнеса последствия могут быть серьёзнее потери одного пароля: утечка клиентских документов, подмена счетов, кража внутренней почты, дальнейший фишинг от имени реального сотрудника. Для домашнего пользователя риски — доступ к почте, фотографиям, документам, резервным кодам и другим аккаунтам.
Как распознать подозрительный запрос
Не принимайте решение по логотипу или тому, что страница открылась на microsoftonline.com. Проверяйте, начинали ли вы этот процесс сами.
Опасные признаки:
- неожиданный звонок с просьбой «подтвердить личность»;
- SMS с кодом или инструкцией, которую вы не запрашивали;
- просьба ввести device code для «защиты почты»;
- запрос добавить passkey во время обычного входа;
- сообщение о необходимости срочно обновить MFA;
- просьба назвать одноразовый код или подтвердить push;
- внешняя страница, которая просит установить Remote Desktop или сертификат.
Настоящая поддержка не требует передавать код из Microsoft Authenticator по телефону. Если сомневаетесь, самостоятельно откройте account.microsoft.com или портал организации в новом окне, а не переходите по ссылке из сообщения.
Что проверить в личном аккаунте
В Microsoft account откройте разделы безопасности, активности входов и способов аутентификации. Просмотрите passkeys, Authenticator, телефоны, резервную почту, приложения и активные сессии. Удалите всё, что не создавали сами.
Измените пароль с чистого устройства, если вводили его на подозрительной странице. Пароль должен быть уникальным и храниться в менеджере. Завершите все сессии, а не только ту, которую узнали.
Проверьте правила Outlook, автоматическую пересылку, делегированный доступ, список подключённых приложений и историю загрузок OneDrive. Если есть незнакомая операция, сообщите Microsoft и владельцу платёжного сервиса, который мог быть связан с аккаунтом.
Не путайте новый вход с заражением ноутбука. Во многих случаях атакер компрометирует облачную идентичность без вредоносного файла на ПК. Но если после фишинга вы запускали программу, расширение или удалённый доступ, устройство тоже нужно проверить.
Что делать администратору Microsoft 365
Администратор должен отслеживать добавление новых authentication methods, рискованные входы, смену MFA, создание OAuth-разрешений, массовую загрузку из SharePoint и аномальную активность Graph API.
Для организации полезны Conditional Access, фишингоустойчивая MFA, ограничение device-code flow, политики для регистрации passkey, принцип наименьших прав и отдельные админские аккаунты. Сотрудники, работающие с финансовыми платежами, не должны менять реквизиты только на основании письма или звонка.
Нужен процесс реагирования: заблокировать пользователя, отозвать сессии и токены, удалить чужие методы входа, проверить inbox rules, OAuth apps, OneDrive, SharePoint и журнал аудита. Только после этого считать доступ восстановленным.
Если организация использует старые протоколы или базовую MFA без контроля контекста, стоит проверить, не позволяют ли они более слабый путь входа. Проблемы фишинговых ссылок имеют общий урок: адрес нужно проверять вместе с действием, которое вас просят выполнить.
Защищает ли MFA от такой атаки
MFA значительно снижает риск кражи только пароля, но не защищает от социальной инженерии, если пользователь сам подтверждает чужой вход, вводит device code или добавляет passkey атакера. Это не аргумент против MFA, а причина настроить его правильно и объяснить людям, что именно они подтверждают.
Фишингоустойчивые ключи могут быть сильнее одноразовых кодов, если они привязаны к правильному домену и пользователь не добавляет чужой ключ по звонку. Push-запросы нужно проверять по названию устройства, месту и времени. Неожиданный prompt следует отклонить и проверить журнал входов.
Если вы уже подтвердили подозрительный вход
Перейдите в аккаунт с другого чистого устройства. Измените пароль, отзовите все сессии, удалите чужие passkeys, Authenticator и телефоны, проверьте OAuth-доступы и правила почты. Если это рабочий аккаунт, немедленно сообщите администратору, даже если «ничего не случилось».
Не удаляйте подозрительное SMS или письмо до сохранения ссылки, времени и скриншота. Не отвечайте атакеру и не пытайтесь вести переговоры. Если вводили данные банка или платёжного сервиса, обратитесь к нему через официальный канал.
На Windows не устанавливайте «антивирус от Microsoft Support», который предлагает телефонный собеседник. Если открывали файл или давали удалённый доступ, не вводите новые пароли на этом ноутбуке. Отключите его от сети и закажите диагностику устройства. Обычное блокирование ссылок Defender не является доказательством атаки, но странные расширения, процессы или изменения настроек нужно проверить.
Вывод
Фишинг Microsoft Cloud в 2026 году использует не только поддельные страницы входа. Device code, passkey, OAuth-разрешения, push-запросы и реальные Microsoft API могут стать частями одной цепочки социальной инженерии.
Никогда не подтверждайте код или новый метод входа, который не запускали сами. Регулярно проверяйте активные сессии, passkeys, MFA, правила почты и подключённые приложения. Для бизнеса нужны Conditional Access, аудит Graph, ограничение device-code и чёткий процесс отзыва доступа.
FAQ
Q: Можно ли вводить device code, если страница Microsoft настоящая? A: Только если вы сами начали вход на конкретном устройстве и понимаете, зачем нужен код. Настоящий домен не доказывает, что код создали вы.
Q: Достаточно ли сменить пароль после passkey-фишинга? A: Нет. Нужно также удалить чужой passkey, завершить сессии, проверить MFA, OAuth-доступы и правила почты.
Q: Защищает ли Microsoft Authenticator от всех фишинговых атак? A: Нет. Пользователя могут убедить подтвердить чужой запрос. Проверяйте неожиданные push-уведомления и не одобряйте вход, который не начинали.
Q: Что делать администратору после компрометации Microsoft 365? A: Заблокировать аккаунт, отозвать сессии и токены, удалить чужие методы входа, проверить OAuth, почту, OneDrive, SharePoint и журналы, а затем сообщить пользователю и команде безопасности.
Частые вопросы
Можно ли решить проблему самостоятельно?
Простые шаги — перезагрузка, проверка блока питания, кабелей и резервная копия данных — безопасны. Если проблема повторяется или касается накопителя, питания, залития или материнской платы, безопаснее провести диагностику в сервисе.
Когда стоит обратиться в сервис?
Когда ноутбук или ПК выключается, перегревается, не видит накопитель, показывает ошибки или работает нестабильно. Ранняя диагностика снижает риск потери данных и лишних затрат на запчасти.
Re-Save подтвердит цену перед ремонтом?
Да. Сначала диагностируем причину неисправности, затем согласовываем объём работ, детали и цену до начала ремонта.
