Passkeys mají být jedním z významných kroků k odstranění hesel a zároveň představují velmi silnou obranu proti klasickému phishingu. Jenže útočníci si rychle našli způsob, jak jejich rostoucí popularitu obrátit proti samotným uživatelům.
Microsoft v září 2026 popsal aktivní kampaň, ve které útočníci používají passkey, MFA a SSO jako záminku pro sociální inženýrství. Cílem není primárně prolomit passkey. Cílem je přesvědčit člověka, že právě teď musí svůj způsob přihlašování změnit nebo potvrdit. Získaný účet pak útočníci využívají pro průzkum prostředí Microsoft 365 a následnou krádež dat ze SharePointu, OneDrive a Exchange.
Útok začíná telefonátem
Typický scénář začíná telefonátem nebo zprávou na soukromé číslo zaměstnance. Volající se vydává za IT helpdesk a tvrdí, že je potřeba aktualizovat passkey, MFA nebo SSO, jinak může dojít k problému s přihlášením.
Z pohledu MITRE ATT&CK jde o T1566.004 – Phishing: Spearphishing Voice. Útočník využívá telefonickou komunikaci, vydává se za důvěryhodnou autoritu a snaží se oběť přimět k provedení konkrétní akce.
Následovat může odkaz na stránku napodobující Microsoft, Entra ID nebo jinou legitimní službu.
Passkey není to, co se útočník snaží ukrást
Na tomhle útoku je nejzajímavější, že passkey samotný nemusí být kompromitován.
Microsoft popisuje případy, kdy je passkey pouze záminkou a skutečným cílem je Adversary-in-the-Middle phishing nebo device-code authentication.
Útočník tak nemusí „ukrást passkey“. Stačí mu přesvědčit uživatele, aby provedl legitimní autentizační akci, kterou ve skutečnosti inicioval útočník.
V případech, kdy útočníci zneužívají MFA požadavky k přesvědčení uživatele, lze aktivitu mapovat na T1621 – Multi-Factor Authentication Request Generation.
To je důležitý rozdíl.
Passkey je phishing-resistant. Uživatel ale phishing-resistant být nemusí.
Útočník si přidá vlastní MFA
Po získání přístupu přichází další fáze.
Microsoft zaznamenal případy, kdy útočník po kompromitaci účtu zaregistroval vlastní autentizační metodu, například telefonní číslo, Authenticator nebo softwarový OTP mechanismus.
Tím získává něco mnohem cennějšího než jednorázové přihlášení:
persistentní přístup k účtu.
Tato aktivita odpovídá MITRE ATT&CK T1556.006 – Modify Authentication Process: Multi-Factor Authentication.
Útočník tedy MFA nemusí vypnout.
Může si ho jednoduše přidat pro sebe.
Průzkum Microsoft 365
Jakmile má legitimní přístup, začíná mapování prostředí.
Microsoft popisuje využívání Microsoft Graph API k průzkumu uživatelů, skupin, oprávnění, aplikací a dalších zdrojů v tenantovi.
Tady se hodí MITRE ATT&CK T1087.004 – Account Discovery: Cloud Account.
Pro zjišťování cloudových skupin a oprávnění lze navázat také T1069.003 – Permission Groups Discovery: Cloud Groups.
Útočník si tím vytváří mapu prostředí a hledá účty, skupiny a data, která stojí za další pozornost.
SharePoint a OneDrive jako zdroj dat
Po průzkumu přichází sběr informací.
Microsoft zaznamenal rozsáhlý přístup k souborům uloženým v SharePoint Online a OneDrive for Business. V některých případech byla aktivita automatizovaná a probíhala prostřednictvím Microsoft Graph.
Pro SharePoint lze tuto aktivitu mapovat na T1213.002 – Data from Information Repositories: SharePoint.
U cloudového úložiště pak přichází v úvahu T1530 – Data from Cloud Storage.
A právě zde je vidět, proč jsou kompromitované cloudové identity tak nebezpečné.
Útočník nemusí instalovat malware.
Používá legitimní účet, legitimní API a legitimní cloudovou službu.
E-mail může být ještě cennější
Součástí útoku může být také sběr e-mailů a příloh z kompromitovaných schránek.
Microsoft popsal využití Exchange API pro získávání pošty. Z pohledu MITRE ATT&CK jde o T1114 – Email Collection, případně T1114.002 – Remote Email Collection.
Mailbox může obsahovat interní komunikaci, smlouvy, dokumenty, přihlašovací informace i další údaje, které mohou pomoci v dalších fázích útoku.
Útočník nemusí všechno stáhnout najednou
Zajímavý je také způsob exfiltrace.
Aktivita podle Microsoftu nemusela probíhat jako jednorázové stažení obrovského množství dat. Útočníci mohli přístup rozložit na delší dobu a používat automatizované nástroje.
To komplikuje detekci.
Samotný vysoký počet stažených souborů nemusí být jediným indikátorem. Mnohem zajímavější je korelace více událostí:
neobvyklé přihlášení → přidání nové MFA metody → průzkum přes Graph → přístup k SharePointu nebo OneDrive → rozsáhlá práce s dokumenty a e-maily.
Takový řetězec už vypadá úplně jinak než běžná práce zaměstnance.
Není to jen Microsoft
Podobné kampaně popsaly také Okta a Google Threat Intelligence.
Okta upozornila na útoky využívající jako záminku právě passkey enrollment a změnu MFA.
Google Threat Intelligence pak popsala kampaň UNC6671 / BlackFile, která kombinuje vishing, phishing, kompromitované identity a následný sběr dat z cloudových služeb.
To naznačuje širší trend:
útočníci se stále více přesouvají od útoků na endpoint k útokům na identitu a cloud.
Co to znamená pro firmy?
Passkeys nejsou problém.
Naopak. Jsou významnou bezpečnostní technologií a jsou navrženy tak, aby odolávaly klasickému phishingu.
Problém vzniká kolem nich:
- kdo smí registrovat novou autentizační metodu,
- jak funguje recovery účtu,
- kdo může měnit MFA,
- jak organizace detekuje nové autentizační metody,
- jak sleduje aktivitu v Microsoft Graph,
- jak vyhodnocuje neobvyklý přístup k SharePointu, OneDrive a Exchange.
Největší chyba by proto byla říct:
„Máme passkeys, takže phishing máme vyřešený.“
Nemáme.
Passkey může ochránit před falešnou přihlašovací stránkou. Nemůže ale zabránit tomu, aby zaměstnanec uvěřil falešnému IT pracovníkovi, který mu zavolá.
A právě na tomhle principu dnes útočníci staví stále sofistikovanější útoky na cloudové identity.
Zdroje
Microsoft Security
https://www.microsoft.com/en-us/security/blog/2026/09/09/passkey-themed-social-engineering-leads-identity-cloud-compromise/
Okta Threat Intelligence
https://www.okta.com/blog/threat-intelligence/intrusion-actors-self-serve-their-way-into-accounts/
Google Threat Intelligence – BlackFile
https://cloud.google.com/blog/topics/threat-intelligence/blackfile-vishing-extortion-operation
MITRE ATT&CK – T1566.004: Spearphishing Voice
https://attack.mitre.org/techniques/T1566/004/
MITRE ATT&CK – T1621: Multi-Factor Authentication Request Generation
https://attack.mitre.org/techniques/T1621/
MITRE ATT&CK – T1556.006: Multi-Factor Authentication
https://attack.mitre.org/techniques/T1556/006/
MITRE ATT&CK – T1087.004: Account Discovery: Cloud Account
https://attack.mitre.org/techniques/T1087/004/
MITRE ATT&CK – T1069.003: Permission Groups Discovery: Cloud Groups
https://attack.mitre.org/techniques/T1069/003/
MITRE ATT&CK – T1213: Data from Information Repositories
https://attack.mitre.org/techniques/T1213/
MITRE ATT&CK – T1530: Data from Cloud Storage
https://attack.mitre.org/techniques/T1530/
MITRE ATT&CK – T1114: Email Collection
https://attack.mitre.org/techniques/T1114/
