14/09/2026 · VietTechies · Biên tập
Theo TechRadar, Microsoft cảnh báo về một chiến dịch sử dụng cuộc gọi giả danh bộ phận hỗ trợ CNTT và thông báo cập nhật passkey để xâm nhập tài khoản đám mây tại nơi làm việc. Kẻ tấn công tìm cách tiếp cận tệp và email của doanh nghiệp bằng cách thuyết phục nhân viên xác thực qua hệ thống do chúng kiểm soát.
Mượn cớ cập nhật bảo mật
Phương thức được ghi nhận biến một yêu cầu bảo trì tài khoản tưởng như thông thường thành điểm xâm nhập. Người gọi giả danh bộ phận hỗ trợ CNTT của doanh nghiệp, thông báo rằng nhân viên phải cập nhật ngay passkey hoặc thiết lập xác thực đa yếu tố để tránh gián đoạn công việc. Sau đó, một tin nhắn SMS dẫn nạn nhân đến trang web có giao diện giống trang đăng nhập của Microsoft.
Microsoft cho biết kẻ tấn công chuẩn bị kỹ trước khi gọi, bao gồm thu thập thông tin về nơi làm việc, vị trí công tác và số điện thoại cá nhân của nhân viên. Công ty nhận định một phần dữ liệu có thể đến từ các hồ sơ công khai trên mạng xã hội và nền tảng nghề nghiệp. Trong số ít trường hợp, kẻ tấn công còn dùng tài khoản đã bị xâm nhập để gửi thông báo tương tự qua Microsoft Teams.
Quy trình xác thực trở thành mục tiêu
Các trang web độc hại sử dụng kỹ thuật đối thủ xen giữa, hay AitM, có thể giúp kẻ tấn công giành quyền truy cập hoặc thu thập thông tin đăng nhập, theo báo cáo. Microsoft mô tả việc nạn nhân bị dẫn dắt để xác thực trên máy tính do kẻ tấn công kiểm soát, khiến hành động được yêu cầu nguy hiểm hơn việc chỉ truy cập một trang web giả mạo.
Điểm khác biệt này có ý nghĩa quan trọng đối với cách passkey được nhắc đến trong chiến dịch: nội dung được công bố mô tả việc thao túng quy trình xác thực, không phải bằng chứng cho thấy cơ chế mật mã của passkey đã bị phá vỡ. Kịch bản lừa đảo cũng thay đổi theo cấu hình của từng tổ chức, đề cập đến passkey hoặc xác thực đa yếu tố.
Nhắm đến tệp và email doanh nghiệp
Microsoft cho biết chiến dịch dường như nhằm lấy cắp tệp từ SharePoint và OneDrive, cùng dữ liệu email trên Microsoft Exchange Online. Vì vậy, mục tiêu không chỉ là thông tin đăng nhập mà còn gồm tài liệu và nội dung trao đổi trong môi trường làm việc có thể được truy cập bằng tài khoản đó.
Theo bài viết ngày 14/9/2026 của TechRadar, Microsoft cho biết hoạt động này đã diễn ra ít nhất từ tháng 5 cùng năm. Công ty không công bố số nạn nhân và cũng chưa quy chiến dịch cho một tác nhân đe dọa cụ thể, nên quy mô cũng như danh tính bên vận hành vẫn chưa được xác định.
Ảnh minh họa do AI tạo.
Nguồn: Microsoft Cloud accounts stolen in highly complex impersonation and passkey phishing campaign