Okta: תוקפים מתקשרים לעובדים ומתחזים לרישום Passkey ב-Microsoft Entra
לפי Okta, קבוצה שמפעילה את אתר הדליפות Pink מתקשרת לעובדי חברות עם Microsoft 365 ומשכנעת אותם לרשום Passkey. בינתיים התוקפים רושמים Passkey משלהם בחשבון.
TL;DR בקצרה
- ב-5 ביולי 2026 פרסמה Okta דוח על קמפיין Entra passkey של O-UNC-066, קבוצה שמפעילה את אתר הדליפות Pink, מאז אפריל 2026.
- התוקפים רושמים דומיינים עם המילה passkey, מתקשרים לעובד ומפנים אותו לדף שמחקה את Microsoft Entra.
- בזמן שהעובד עובר תהליך מזויף, התוקף רושם Passkey משלו ישירות ב-Microsoft ונותן לו שם תמים.
- Okta לא ראתה פריצה בפועל לחשבונות Microsoft. המטרה, לפי הדוח, היא סחיטה בגניבת מידע.
Okta פרסמה ב-5 ביולי 2026 דוח על קמפיין Entra passkey שמכוון לעובדים. התוקפים מתקשרים לעובד ומשכנעים אותו שהוא צריך לרשום Passkey חדש. הם מפנים אותו לדף שמחקה את Microsoft Entra, ובמקביל רושמים Passkey משלהם בחשבון. מאחורי הקמפיין עומדת קבוצה ש-Okta מכנה O-UNC-066, והיא מפעילה את אתר הדליפות Pink.
איך עובד קמפיין Entra passkey
Passkey הוא מפתח כניסה שמחליף סיסמה. Microsoft מאפשרת למנהלים לעודד עובדים לרשום אחד. לפי Okta, מאז מאי 2026 הם יכולים ליצור קמפיינים שמזכירים למשתמשים להירשם בזמן כניסה. בנסיבות מסוימות התזכורות האלה פעילות כברירת מחדל. התוקפים ניצלו את השינוי הלגיטימי כתירוץ.
הקמפיין פועל מאפריל 2026 נגד ארגונים שעובדים עם Microsoft 365. Okta מונה ענפים כמו מזון ומשקאות, טכנולוגיה, בריאות, רכב, בנייה ותעופה. המטרה העיקרית היא סחיטה באמצעות מידע שנגנב.
התוקף רושם דומיינים עם המילה passkey, למשל setpasskey.com ו-assignpasskey.com. הוא מקים לכל קורבן תת-דומיין, כמו exampleentity.setpasskey.com. הדף משתמש בלוגו וברקע של הארגון, וטוען עיצוב כללי משרתי Microsoft. הוא גם מתקשר לעובד, ומבקש ממנו להיכנס לדף.
מה קורה בדף: לוח בקרה ידני וקוד שחזור מזויף
זו לא ערכת פישינג רגילה שמעבירה תעבורה אוטומטית. זהו לוח בקרה של מפעיל, שכתוב ב-PHP. הדף שולח אותות אל התוקף כל שנייה, והמפעיל מכוון את הקורבן בין שלבי ההתחברות כמעט בזמן אמת. הוא מתאים את הדפים לשיטת האימות של הקורבן: קוד חד-פעמי, אישור בנייד עם התאמת מספר, או SMS.
הקורבן מזין שם משתמש וסיסמה, ואז ממתין בדף עיבוד. לפי Okta, זה כנראה הרגע שבו המפעיל נכנס לחשבון ורואה איזו שיטת אימות מוגדרת. אחר כך מוצג הדף המתאים.
בשלב ה-Passkey הדף מבקש מהקורבן לשמור קוד שחזור מרשימה של ביטויים בסגנון BIP-39, ולאשר את המילה האחרונה. Okta מעריכה שהשלב הזה הוא הסחת דעת, ללא שימוש ידוע ב-Entra. בפועל לא נרשם Passkey בצד של הקורבן. התוקף רושם Passkey משלו ישירות ב-Microsoft.
Microsoft שולחת לבעל החשבון הודעת דוא״ל לגיטימית על כל Passkey חדש. אבל התוקף יכול לתת ל-Passkey שם תמים, ולכן ההתראה לא בהכרח מעוררת חשד. לדברי Okta, ערכת הפישינג ״מנצלת את חוסר ההיכרות של משתמשים עם אימות באמצעות Passkey״.
Okta מציינת מגבלות. היא לא ראתה בעצמה פריצה לחשבונות Microsoft. ערכת הפישינג גם לא מטפלת באימות דרך ספק זהויות חיצוני כמו Okta. תיאור העבודה של המפעיל נשען בחלקו על שחזור הזרימה, בקוד שנגזר מהערכה עצמה. SecurityWeek סיקרה את הדוח ב-10 ביולי, וציינה דוח של Unit 42 מ-3 ביוני על פעילות המותג Pink.
מה זה אומר עבורכם
- הסבירו לעובדים: שיחה שמבקשת מכם לרשום Passkey אינה תהליך רגיל. ארגון ששולח תזכורות Entra צריך להודיע על כך מראש.
- קבעו נוהל לאימות מתקשר: לפי Okta כדאי לקבוע דרך לאמת את זהות התמיכה כשהיא פונה לעובדים. עובד לא צריך להזין פרטים בדף שפתח מתוך שיחה.
- בדקו את הדומיינים: חפשו בגישות ובחסימות את הדומיינים deploypasskey.com, passkeydeploy.com, passkeyadd.com, setpasskey.com ו-assignpasskey.com.
- הגבילו רישום שיטות אימות: Okta ממליצה ללקוחותיה להגביל הוספת אימות לפי רשת ולפי מצב מכשיר. ב-Entra אפשר לבדוק את זה ב-Conditional Access.
- עקבו אחרי כל Passkey חדש: בדקו הודעות על אימות חדש, גם כשהשם נראה תמים. Okta ממליצה להתריע למשתמשים על כל אירוע באימות.
- שוקלים לעבור למפתחות גישה? המדריך של CyberGuard ל-Passkeys.
מקורות והרחבה
- Vishing actors target Entra passkey enrollmentOkta
- Okta Warns of Vishing Attacks Targeting Microsoft 365 CustomersSecurityWeek
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
