摘要通行密钥Passkey作为抗钓鱼身份认证技术正在企业云环境逐步落地推广但威胁团伙已经开始利用 Passkey 概念构建社会工程诱饵针对 Microsoft 365 体系开展定向入侵活动。以 Storm3121、Storm3032 为代表的勒索生态威胁集群自 2026 年 5 月起持续实施相关攻击攻击者并不破解 Passkey 技术本身而是借用 “通行密钥紧急更新” 的叙事伪装企业 IT 运维人员通过中间人钓鱼与设备代码认证滥用获取初始访问权限在账号沦陷之后新增攻击者可控的多因素认证方式实现持久驻留借助 Microsoft Graph 接口完成云资产测绘采用低速数据窃取策略规避审计检测最终实现企业云端文档、邮件、协作资源的批量窃取并衔接后续数据勒索环节。反网络钓鱼技术专家芦笛指出该攻击案例揭示一个现实风险抗钓鱼认证技术的普及并不能自动消除社会工程层面的身份欺骗防护短板会从协议技术层转移到人员与流程层面。迪妙网络空间安全学院研究团队立足于该攻击活动完整 TTP 链条剖析攻击发生的内在诱因梳理企业在身份管控、日志审计、应急处置环节存在的现实短板从身份策略配置、日志检测规则、业务流程管控、应急响应范式、人员安全意识五个维度构建闭环防御框架。研究表明单纯部署 Passkey 或者多因素认证不足以抵御此类复合型攻击必须配套账号恢复流程、认证方式变更审计、云 API 行为监控等管控手段为国内企业部署无密码身份体系提供风险参考。关键词通行密钥身份劫持Microsoft 365中间人钓鱼设备代码云安全社会工程1 引言传统密码机制长期面临凭据泄露、钓鱼窃取、凭据填充等威胁FIDO2 标准下的 Passkey 通行密钥技术依靠公钥密码学与域名绑定机制从协议层面抵御传统钓鱼攻击被业界视作替代密码、提升身份安全的重要方向。越来越多的企业开始在 Microsoft 365 等云办公平台启用 Passkey 能力推动无密码身份体系落地。技术本身具备抗钓鱼属性但安全能力的发挥高度依赖部署流程、运维制度以及员工对新技术的认知水平。当企业内部人员对 Passkey 注册、更新、重置的业务流程缺乏足够了解威胁攻击者就可以利用技术新概念制造社会工程欺骗场景。2026 年 5 月以来微软监测到持续的定向钓鱼入侵活动攻击者对外包装成企业 IT 服务台工作人员以 Passkey、多因素认证、单点登录配置需要紧急更新为诱饵开展社会工程欺骗。值得注意的是攻击者几乎不会引导受害者真正完成 Passkey 注册流程Passkey 仅仅是欺骗叙事的外壳真实目标是诱导用户进入中间人钓鱼页面或者设备代码授权流程以此拿到企业云账号的访问权限。账号一旦被攻陷攻击者不会仅仅停留在读取邮箱而是会立刻新增由攻击者掌控的多因素认证手段即便企业用户后续修改账号密码攻击者依旧能够维持账号访问权限之后调用 Graph 接口遍历租户内部用户、权限组、SharePoint 站点、OneDrive 文档库、Exchange 邮箱资源以较低速率批量下载数据降低被安全检测系统发现的概率最终将窃取的数据用于数据勒索敲诈。现有学术研究较多聚焦 Passkey 协议本身的安全特性验证该技术对抗传统钓鱼的技术优势但是对于 “以 Passkey 为诱饵但不实际调用 Passkey 技术” 这类社会工程变种攻击的实证分析相对有限。迪妙安全研究团队观察到不少企业在推进无密码改造时将资源集中在身份认证组件部署却忽略配套流程建设、日志审计规则更新、IT 服务台身份核验机制优化形成新的安全薄弱点。反网络钓鱼技术专家芦笛强调认证技术迭代只能解决协议层面的缺陷社会工程欺骗会跟随安全技术的更新不断变换诱饵主题企业不能把身份安全全部寄托在新型认证工具本身。本文基于该起公开披露的攻击事件完整还原攻击全链路解析威胁团伙战术手法挖掘攻击得以成功的多重成因梳理企业防御体系现存短板构建适配该类新型社会工程攻击的防护与应急处置框架。全文立足于公开事件材料避免代码与公式从实证角度为企业云身份安全建设提供参考。2 攻击活动概况与威胁集群画像2.1 攻击活动整体概况该系列入侵活动最早观测时间为 2026 年 5 月攻击目标覆盖大量使用 Microsoft 365 云套件的商业组织。攻击者前期会借助社交网络、公开企业信息平台完成目标企业与员工信息搜集掌握组织架构、员工姓名、岗位信息提升社会工程话术的可信度。接触受害者的渠道包含语音电话、短信消息部分场景会结合已经被攻陷的企业内部账号通过企业即时通讯工具下发欺骗信息。欺骗话术的核心逻辑是制造业务紧迫性告知员工 Passkey、MFA 或者 SSO 配置出现异常必须立刻执行更新操作否则将会丧失企业系统访问权限。之后向受害者发送钓鱼访问链接引导用户执行登录操作。实际攻击分为两条技术路径一条是对手中间人 AiTM 钓鱼路径另一条是 OAuth 设备代码认证滥用路径。无论哪一条路径攻击者的目的都不是注册通行密钥而是获取账号访问权限。在拿到初始访问权限之后攻击者会完成持久化配置、云资产测绘、低速数据窃取整套动作入侵会话可以维持数小时乃至数天时间。该活动背后的威胁主体归属于数据盗窃勒索犯罪生态入侵获取的数据最终用于向企业实施双重勒索一方面威胁对外泄露企业内部敏感文档另一方面索要赎金换取数据不公开的承诺危害已经超出单一个人邮箱账号泄露的范畴会传导至整个云租户的业务资产安全。2.2 威胁集群背景特征微软将该系列初始访问行为归因于多个协同的威胁行动集群主要为 Storm3121 与 Storm3032该两个集群归属于同一套数据勒索犯罪生态安全厂商的威胁情报体系中也存在其他跟踪代号不同代号指向同一批攻击活动。Storm3121 与 ShinyHunters、Falcon 勒索品牌存在关联过往主要针对企业云环境开展数据窃取勒索作业Storm3032 由早期 BlackFile 组织分裂演变而来对外使用 Helix 作为行动代号。不同集群之间存在基础设施、钓鱼套件、战术手册共享的现象属于松散协同的犯罪生态而非严格层级化组织。该类威胁团伙具备成熟的前置侦查习惯大量信息采集工作依靠公开互联网资源完成不需要事先攻陷企业系统。基础设施层面攻击者注册大量和 passkey、helpdesk、SSO 强相关的钓鱼域名域名子域名部分嵌入目标企业名称进一步提升页面的迷惑程度。域名整体生命周期较短一旦被安全机构标记封禁就快速替换新域名增大防御方 IOC 处置压力。团伙同时掌握中间人钓鱼页面套件熟练运用 OAuth 设备代码这一合法认证流程开展滥用攻击对 Microsoft Entra ID 的接口、日志行为特征具备充分认知。2.3 Passkey 作为诱饵的本质逻辑需要明确区分技术漏洞利用和社会工程诱饵这两个概念。本次攻击并没有发现 Passkey 协议本身存在安全缺陷FIDO2 通行密钥的域名绑定、挑战应答的抗钓鱼机制没有被突破。攻击者只是借用普通员工对新安全工具的陌生感将 Passkey 包装成欺骗叙事载体。普通企业员工刚刚接触通行密钥并不熟悉注册、更新、重置的完整流程攻击者就虚构 “需要紧急更新 Passkey 配置” 的业务场景诱导受害者跳转到攻击者控制的登录页面。迪妙网络空间安全学院研究团队指出这是黑灰产非常典型的诱饵迭代逻辑当一种新安全技术开始在企业普及攻击者就会围绕该新技术编造运维告警、配置故障、版本更新类的欺骗话术。过去针对 MFA 的钓鱼攻击也出现过完全一致的演进路径在多因素认证大规模推广之后大量钓鱼诱饵就以 “MFA 失效、需要重新绑定” 作为借口。技术本身是安全的但新技术带来认知差认知差就成为社会工程攻击可以利用的土壤。3 Passkey 诱饵攻击完整链路解析攻击链路可以划分为四个递进阶段攻击前期侦查与社会工程接触阶段初始权限获取阶段账号持久化驻留配置阶段云环境测绘与低速数据窃取阶段。各个阶段环环相扣前一阶段的输出作为后一阶段的输入构成完整入侵闭环。3.1 前期侦查与社会工程接触阶段攻击的起点并非直接发送钓鱼链接而是公开情报收集。攻击者从职业社交平台、企业官网、公开工商信息库收集目标组织信息梳理组织部门架构、员工名单、岗位角色优先瞄准普通业务员工同时也会尝试接触 IT 岗位人员。掌握人员信息之后通过语音钓鱼或者短信完成接触冒充企业内部 IT 服务台。话术会刻意营造时间压力告知受害者通行密钥出现异常如果不在短时间内完成更新账号访问权限将被回收。部分场景会直接拨打员工私人手机号发送短信链接脱离企业内部通讯体系进一步绕开企业侧的消息安全管控。很多企业内部真实 IT 运维不会通过私人手机号发起紧急密钥更新但是普通员工缺少对这类流程边界的认知容易落入圈套。3.2 初始访问权限获取AiTM 中间人钓鱼与设备代码滥用拿到受害者的信任之后攻击者诱导受害者执行身份认证操作存在两条并行的技术路径。第一条路径是对手中间人 AiTM 钓鱼。受害者点击短信或者通话中给到的链接访问攻击者控制的仿微软登录页面该页面作为中间人代理前端向受害者展示登录交互界面后端和微软官方身份认证服务建立会话。受害者输入账号密码、完成 MFA 校验之后中间人代理就可以截获完整会话令牌。这套模式下用户看到的登录界面高度仿真并且实际和真实身份服务交互传统基于页面截图比对的钓鱼检测存在识别难度。第二条路径是设备代码认证流程滥用。设备代码属于 OAuth 标准定义的合法认证流程设计初衷用于没有浏览器的智能终端登录云账号。在攻击场景中攻击者引导用户访问微软官方设备代码授权网页告知用户输入一串设备代码完成 Passkey 更新校验。网页本身是微软真实域名不存在页面伪造但是该授权请求由攻击者控制的客户端发起一旦受害者确认授权攻击者的客户端就会拿到对应账号的访问令牌。该攻击的特殊点在于整个授权页面处于官方域名之下传统 URL 黑名单完全无法拦截。两种路径都不需要破解 Passkey 密码学机制只是借 Passkey 作为借口欺骗用户完成身份授权。反网络钓鱼技术专家芦笛指出设备代码钓鱼是近年来企业云入侵增长较快的攻击手段很多安全管理人员对该认证流程的风险认知不足日志中对应的事件容易被忽略。3.3 建立持久访问能力新增攻击者可控认证方式当攻击者成功获取 Microsoft 365 账号会话之后并不会仅仅使用窃取得到的会话令牌开展活动。会话令牌具备生命周期同时企业用户有可能主动修改账号密码因此攻击者第一优先级操作是在账号的身份认证方法列表中添加攻击者完全掌控的认证手段包括攻击者的手机号、第三方身份验证器应用等。该行为带来非常关键的安全后果即便受害员工后续修改账号登录密码只要攻击者新增的 MFA 方式没有被清除攻击者依旧可以完成账号二次登录持续维持访问权限。大量企业在账号疑似泄露事件发生之后仅仅执行重置密码操作忽略检查账号下全部注册的多因素认证条目造成入侵事件处置不彻底攻击者依然保留后门。该现象也是本次攻击事件暴露出的重要处置误区。3.4 云资源测绘与低速数据窃取完成持久化驻留之后攻击者利用 Microsoft Graph API 接口开展租户内部大规模侦察。Graph 是 Microsoft 365 体系统一编程接口可以读取用户信息、安全组、角色权限、应用授权、SharePoint 站点清单、OneDrive 文档、Exchange 邮箱内容。攻击者依次枚举账号能够访问的全部云资源绘制该账号权限范围内的云资产地图。攻击者在数据导出环节刻意控制访问速率每小时访问文件与邮件数量维持在较低规模目的是将自身行为混入企业员工正常业务流量规避基于突发大量下载行为的安全告警。入侵的持续时间从数小时一直延伸到数天。从单条 API 调用来看每一次接口请求都属于合法 Graph 调用单独看某一条日志很难判定恶意需要把一系列连续的枚举、读取、下载行为关联起来才能够识别入侵活动。迪妙安全研究团队认为这正是该类云入侵检测的难点所在单点日志无异常攻击特征体现在行为序列与上下文关系。当攻击者完成敏感数据批量窃取之后后续会转入勒索环节以泄露窃取的企业内部资料为筹码向企业索要赎金攻击闭环就此完成。4 攻击成功的多重诱因与企业现存防护短板Passkey 诱饵攻击能够实现成功入侵不是单一技术漏洞造成而是新技术认知差、身份管控流程缺陷、云审计检测能力不足、应急处置流程缺失、人员安全意识短板多重因素叠加。4.1 新技术普及带来的内部认知鸿沟Passkey 作为较新的身份认证技术企业内部 IT 人员和普通业务员工对其业务流程理解程度参差不齐。对于普通员工而言不清楚通行密钥的注册、更新、重置应当走什么样的官方渠道不清楚企业 IT 部门不会通过私人电话、私人短信发起紧急密钥更新对于部分运维人员更多关注技术组件部署上线缺少面向全员的流程科普没有明确告知员工哪些 Passkey 相关请求属于可疑信号。攻击者就利用这一认知断层编造出完整的社会工程欺骗叙事。很多企业安全培训素材仍然集中于传统密码钓鱼对于以新型身份认证技术为诱饵的社会工程场景覆盖不足安全教育更新速度落后于黑灰产诱饵迭代速度。4.2 身份管理流程存在明显漏洞第一IT 服务台身份核验流程缺失。部分企业的 IT 运维支持没有建立严格的身份核验机制员工接到冒充 IT 人员的来电没有可靠渠道快速核验对方身份。当企业缺少固定的核验范式普通员工很难分辨来电者是否为真实内部人员。第二认证方式变更缺少管控。用户账号新增 MFA 认证手段属于高风险账号变更行为部分企业没有针对该类操作配置条件访问策略与告警规则。攻击者攻陷账号之后新增外部 MFA 手段整个变更过程没有触发安全告警使得持久化后门悄无声息建立。第三账号恢复流程风险。部分企业账号重置、认证方式变更可以通过电话完成核验如果没有严格身份校验社会工程攻击可以直接利用服务台流程完成账号接管。4.3 云日志审计与威胁检测的适配短板Microsoft Entra ID 会完整记录设备代码认证事件、MFA 认证方式新增事件、Graph 接口调用日志但是日志本身不等于安全能力需要对应的检测规则与关联分析能力。现实企业环境中存在多方面短板。首先很多企业安全告警规则聚焦于短时间大规模文件下载这类明显异常行为。而本次攻击采用低速窃取策略单条 API 调用行为和正常业务行为几乎没有区别传统基于阈值的告警会失效需要依靠行为序列分析识别 “账号沦陷新增 MFA批量资源枚举持续低速读取文档” 这一套完整行为链路。其次设备代码认证相关事件没有纳入重点告警范围。设备代码登录在很多租户内部使用频次并不高当出现大量陌生客户端发起的设备代码授权请求现有检测体系没有及时捕捉告警。迪妙网络空间安全学院研究团队还提到部分中小企业没有完整留存足够时长的 Entra ID 审计日志当入侵发生之后没有完整日志用于回溯攻击全流程给应急响应取证带来阻碍。4.4 事件应急处置的认知误区账号发生疑似泄露之后很多企业管理员仅执行修改账号密码的操作认为重置密码就完成风险处置。而在本攻击场景中攻击者已经新增了属于自己的 MFA 方式仅仅修改密码无法清除后门。即便密码已经更新攻击者依旧凭借自己添加的认证手段继续登录系统。同时处置过程容易忽略会话吊销。账号修改密码之后已经建立的浏览器会话、客户端会话在一定时间内仍然保持有效如果没有主动全部撤销会话攻击者可以继续沿用旧会话访问云资源。该处置误区会直接造成入侵事件处置完毕之后攻击者依旧驻留系统发生二次危害。4.5 身份安全建设的认知误区技术万能思维部分企业管理人员形成一种认知只要部署 Passkey、全面开启 MFA 就可以解决绝大多数身份安全风险。反网络钓鱼技术专家芦笛强调Passkey 解决的是协议层面的钓鱼问题但不能抵御以 Passkey 作为借口的社会工程欺骗。认证技术提升攻击门槛但无法消除人的因素。攻击者绕过技术防护点转向欺骗用户主动完成授权这是威胁演化的客观趋势。企业如果把全部安全期望寄托在身份技术组件而忽略配套流程、审计、应急依旧会发生身份劫持事件。5 面向 Passkey 诱饵类云身份攻击的闭环防御体系针对该攻击活动暴露出的风险点迪妙网络空间安全学院研究团队从身份策略配置、云日志与行为检测、业务流程管控、标准化应急响应、全员安全意识教育五个维度构建闭环防御框架。各个层面相互配合避免单点防护失效带来整体安全失守。5.1 身份与条件访问策略加固第一合理配置条件访问策略针对认证方式新增、高风险认证流程做约束。对企业租户开启针对设备代码认证流程的风险管控评估业务实际需求如果业务场景不需要设备代码 OAuth 流程可以考虑限制该流程的使用范围确有业务需要保留该能力时针对设备代码授权事件配置高优先级告警。第二强化抗钓鱼 MFA 的落地尽可能推广 Passkey 等 FIDO2 类抗钓鱼认证手段但同时明确配套约束。区分 “抗钓鱼认证” 和 “账号恢复备用手段”备用恢复通道同样需要具备足够安全强度避免攻击者针对恢复通道开展社会工程攻击。第三对账号认证方式变更行为施加管控。任何账号新增、修改多因素认证方法属于高风险操作可以结合条件访问策略增加额外身份校验同时确保该类操作 100% 生成审计日志。管理员应当定期审计租户内部账号的 MFA 注册列表发现来源不明的认证器、陌生手机号及时处置清理。第四限制非托管设备的数据下载。通过条件访问策略对不属于企业管理的外部终端限制 SharePoint、OneDrive 内部敏感文档下载能力。即便账号被攻击者在个人终端登录也可以阻碍大规模数据导出行为。5.2 构建面向云入侵的日志与行为检测能力企业应当完整留存 Microsoft Entra ID、Microsoft Graph 的审计日志保障日志留存时长可以满足入侵回溯需求。检测规则不能只关注单条日志需要聚焦完整攻击行为链条。首先建立重点事件告警清单账号下新增陌生 MFA 认证手段、陌生设备代码授权事件、非典型地理位置的账号登录事件以上事件无论是否触发大流量下载都应当生成安全告警交由安全运营人员研判。其次构建行为序列检测逻辑识别组合行为模式账号发生异常登录之后短时间内出现认证方式新增操作紧接着出现大量 Graph 接口执行的用户、站点、文件枚举行为。即便每一次文件读取的数量不大这一套行为序列本身就具备极高恶意特征应当触发告警。再者完善针对 AiTM 中间人钓鱼的检测能力。中间人钓鱼会产生特殊的会话、客户端指纹特征安全运营团队需要将相关指纹纳入威胁情报和企业登录日志做比对匹配。迪妙网络空间安全学院研究团队提示防御方需要转变固有思路云环境的入侵检测不能只盯着 “爆发式大批量下载”必须把低速、持续性枚举读取作为重点检测对象。5.3 优化 IT 业务流程压缩社会工程攻击生存空间社会工程攻击能否成功很大程度取决于企业内部业务流程是否存在可利用的缺口。第一完善 IT 服务台身份核验流程。明确规定凡是电话、短信渠道收到的要求修改认证方式、更新 Passkey、重置账号权限的请求都必须建立双向核验机制。员工收到类似来电不能直接按照对方指令操作应当通过企业官方公开的服务台回拨号码完成身份确认。同时企业内部明确告知全体员工IT 部门不会通过私人手机号发送 Passkey 紧急更新链接。第二规范 Passkey 运维的全流程。把通行密钥注册、重置、更新的全部官方渠道、入口、沟通方式对内公开形成统一文档。当出现密钥重置需求全部操作限定在企业官方门户完成不会通过短信下发外部链接。明确业务边界减少攻击者可以模仿的业务场景。第三管控账号恢复流程。账号密码、认证方式重置等高风险操作尽量避免单纯依靠语音电话完成身份确认结合企业内部身份数据库做多重核验防范攻击者冒充员工欺骗服务台完成账号接管。5.4 建立标准化的账号沦陷应急处置范式针对 Microsoft 365 账号被劫持场景纠正只修改密码的处置误区形成标准化处置步骤。当确认或者高度怀疑账号被入侵首先修改账号登录密码第二步核查该账号下全部注册的多因素认证条目全部清除不属于该合法用户的陌生认证手段这是针对本次攻击最关键的处置环节第三步吊销该账号全部活跃会话令牌让所有已经建立的浏览器会话、客户端会话全部失效第四步基于审计日志回溯攻击者活动核查攻击者读取过哪些邮箱、SharePoint、OneDrive 资源评估数据泄露范围第五步评估该账号是否具备目录角色、应用权限确认攻击者是否利用该账号做横向移动最后开展根因分析确定本次账号沦陷的入口补齐对应的安全短板。反网络钓鱼技术专家芦笛指出很多企业处置入侵事件只做到第一步修改密码忽略清除恶意 MFA 方式与会话吊销造成攻击者持续驻留使得安全事件反复复发。企业应当把完整处置流程写入安全应急预案用于指导事件响应人员操作。5.5 更新人员安全意识培训内容安全意识教育需要跟随威胁诱饵的迭代持续更新不能长期沿用老旧课件。除传统钓鱼防范内容之外需要补充针对新型身份认证技术的社会工程欺骗场景。向员工传递几条明确的行为准则不要相信电话、私人短信发来的 Passkey、MFA 紧急更新链接遇到相关告警主动使用浏览器书签手动访问企业官方门户不在短信链接中完成身份校验绝不批准自己没有主动发起的设备代码授权请求。同时针对 IT 运维人员开展专项培训使其充分理解设备代码 OAuth 流程风险、MFA 新增事件的安全意义提升运维人员识别异常云日志的能力。安全意识培训不能停留在一次性宣讲需要定期迭代案例把真实发生的攻击案例转化为培训素材。6 结论Passkey 通行密钥技术从密码学协议层面提供抗钓鱼安全能力但其自身并不能阻止攻击者借用 Passkey 概念编造社会工程诱饵。Storm3121 与 Storm3032 集群发起的 Microsoft 365 入侵活动清晰展示了威胁演化路径攻击者不去破解新型安全技术而是利用新技术带来的认知差完成欺骗诱导受害者主动完成授权在拿到账号访问权限之后立刻新增攻击者掌控的 MFA 手段构建持久后门再借助 Graph 接口测绘云资产以低速读取的方式规避审计完成企业敏感数据窃取并衔接数据勒索犯罪链路。该攻击的成功是新技术认知鸿沟、身份管控流程缺陷、云日志检测短板、应急处置误区、人员意识不足共同作用的结果。迪妙安全研究团队认为企业推进云身份安全建设必须破除 “部署高级认证技术就万事大吉” 的认知误区。Passkey、MFA 等技术属于重要防护组件但不能替代流程管控、日志审计、事件响应、人员安全教育。防御工作需要覆盖身份策略、云行为检测、IT 业务流程、应急处置、安全意识多个维度构建完整闭环。未来随着更多企业落地无密码身份体系可以预期黑灰产还会继续围绕各类新安全概念生成新的社会工程诱饵。安全团队需要持续跟踪威胁团伙战术技术变化及时更新检测规则、应急预案和安全培训素材。云身份安全防护是技术、流程与人共同构成的体系只有多环节同步加固才能够有效抵御不断演变的身份劫持与云入侵威胁。编辑芦笛公共互联网反网络钓鱼工作组来源迪妙网络空间安全学院 Passkey 诱饵下 Microsoft 365 身份劫持与云入侵风险研究
摘要通行密钥Passkey作为抗钓鱼身份认证技术正在企业云环境逐步落地推广但威胁团伙已经开始利用 Passkey 概念构建社会工程诱饵针对 Microsoft 365 体系开展定向入侵活动。以 Storm3121、Storm3032 为代表的勒索生态威胁集群自 2026 年 5 月起持续实施相关攻击攻击者并不破解 Passkey 技术本身而是借用 “通行密钥紧急更新” 的叙事伪装企业 IT 运维人员通过中间人钓鱼与设备代码认证滥用获取初始访问权限在账号沦陷之后新增攻击者可控的多因素认证方式实现持久驻留借助 Microsoft Graph 接口完成云资产测绘采用低速数据窃取策略规避审计检测最终实现企业云端文档、邮件、协作资源的批量窃取并衔接后续数据勒索环节。反网络钓鱼技术专家芦笛指出该攻击案例揭示一个现实风险抗钓鱼认证技术的普及并不能自动消除社会工程层面的身份欺骗防护短板会从协议技术层转移到人员与流程层面。迪妙网络空间安全学院研究团队立足于该攻击活动完整 TTP 链条剖析攻击发生的内在诱因梳理企业在身份管控、日志审计、应急处置环节存在的现实短板从身份策略配置、日志检测规则、业务流程管控、应急响应范式、人员安全意识五个维度构建闭环防御框架。研究表明单纯部署 Passkey 或者多因素认证不足以抵御此类复合型攻击必须配套账号恢复流程、认证方式变更审计、云 API 行为监控等管控手段为国内企业部署无密码身份体系提供风险参考。关键词通行密钥身份劫持Microsoft 365中间人钓鱼设备代码云安全社会工程1 引言传统密码机制长期面临凭据泄露、钓鱼窃取、凭据填充等威胁FIDO2 标准下的 Passkey 通行密钥技术依靠公钥密码学与域名绑定机制从协议层面抵御传统钓鱼攻击被业界视作替代密码、提升身份安全的重要方向。越来越多的企业开始在 Microsoft 365 等云办公平台启用 Passkey 能力推动无密码身份体系落地。技术本身具备抗钓鱼属性但安全能力的发挥高度依赖部署流程、运维制度以及员工对新技术的认知水平。当企业内部人员对 Passkey 注册、更新、重置的业务流程缺乏足够了解威胁攻击者就可以利用技术新概念制造社会工程欺骗场景。2026 年 5 月以来微软监测到持续的定向钓鱼入侵活动攻击者对外包装成企业 IT 服务台工作人员以 Passkey、多因素认证、单点登录配置需要紧急更新为诱饵开展社会工程欺骗。值得注意的是攻击者几乎不会引导受害者真正完成 Passkey 注册流程Passkey 仅仅是欺骗叙事的外壳真实目标是诱导用户进入中间人钓鱼页面或者设备代码授权流程以此拿到企业云账号的访问权限。账号一旦被攻陷攻击者不会仅仅停留在读取邮箱而是会立刻新增由攻击者掌控的多因素认证手段即便企业用户后续修改账号密码攻击者依旧能够维持账号访问权限之后调用 Graph 接口遍历租户内部用户、权限组、SharePoint 站点、OneDrive 文档库、Exchange 邮箱资源以较低速率批量下载数据降低被安全检测系统发现的概率最终将窃取的数据用于数据勒索敲诈。现有学术研究较多聚焦 Passkey 协议本身的安全特性验证该技术对抗传统钓鱼的技术优势但是对于 “以 Passkey 为诱饵但不实际调用 Passkey 技术” 这类社会工程变种攻击的实证分析相对有限。迪妙安全研究团队观察到不少企业在推进无密码改造时将资源集中在身份认证组件部署却忽略配套流程建设、日志审计规则更新、IT 服务台身份核验机制优化形成新的安全薄弱点。反网络钓鱼技术专家芦笛强调认证技术迭代只能解决协议层面的缺陷社会工程欺骗会跟随安全技术的更新不断变换诱饵主题企业不能把身份安全全部寄托在新型认证工具本身。本文基于该起公开披露的攻击事件完整还原攻击全链路解析威胁团伙战术手法挖掘攻击得以成功的多重成因梳理企业防御体系现存短板构建适配该类新型社会工程攻击的防护与应急处置框架。全文立足于公开事件材料避免代码与公式从实证角度为企业云身份安全建设提供参考。2 攻击活动概况与威胁集群画像2.1 攻击活动整体概况该系列入侵活动最早观测时间为 2026 年 5 月攻击目标覆盖大量使用 Microsoft 365 云套件的商业组织。攻击者前期会借助社交网络、公开企业信息平台完成目标企业与员工信息搜集掌握组织架构、员工姓名、岗位信息提升社会工程话术的可信度。接触受害者的渠道包含语音电话、短信消息部分场景会结合已经被攻陷的企业内部账号通过企业即时通讯工具下发欺骗信息。欺骗话术的核心逻辑是制造业务紧迫性告知员工 Passkey、MFA 或者 SSO 配置出现异常必须立刻执行更新操作否则将会丧失企业系统访问权限。之后向受害者发送钓鱼访问链接引导用户执行登录操作。实际攻击分为两条技术路径一条是对手中间人 AiTM 钓鱼路径另一条是 OAuth 设备代码认证滥用路径。无论哪一条路径攻击者的目的都不是注册通行密钥而是获取账号访问权限。在拿到初始访问权限之后攻击者会完成持久化配置、云资产测绘、低速数据窃取整套动作入侵会话可以维持数小时乃至数天时间。该活动背后的威胁主体归属于数据盗窃勒索犯罪生态入侵获取的数据最终用于向企业实施双重勒索一方面威胁对外泄露企业内部敏感文档另一方面索要赎金换取数据不公开的承诺危害已经超出单一个人邮箱账号泄露的范畴会传导至整个云租户的业务资产安全。2.2 威胁集群背景特征微软将该系列初始访问行为归因于多个协同的威胁行动集群主要为 Storm3121 与 Storm3032该两个集群归属于同一套数据勒索犯罪生态安全厂商的威胁情报体系中也存在其他跟踪代号不同代号指向同一批攻击活动。Storm3121 与 ShinyHunters、Falcon 勒索品牌存在关联过往主要针对企业云环境开展数据窃取勒索作业Storm3032 由早期 BlackFile 组织分裂演变而来对外使用 Helix 作为行动代号。不同集群之间存在基础设施、钓鱼套件、战术手册共享的现象属于松散协同的犯罪生态而非严格层级化组织。该类威胁团伙具备成熟的前置侦查习惯大量信息采集工作依靠公开互联网资源完成不需要事先攻陷企业系统。基础设施层面攻击者注册大量和 passkey、helpdesk、SSO 强相关的钓鱼域名域名子域名部分嵌入目标企业名称进一步提升页面的迷惑程度。域名整体生命周期较短一旦被安全机构标记封禁就快速替换新域名增大防御方 IOC 处置压力。团伙同时掌握中间人钓鱼页面套件熟练运用 OAuth 设备代码这一合法认证流程开展滥用攻击对 Microsoft Entra ID 的接口、日志行为特征具备充分认知。2.3 Passkey 作为诱饵的本质逻辑需要明确区分技术漏洞利用和社会工程诱饵这两个概念。本次攻击并没有发现 Passkey 协议本身存在安全缺陷FIDO2 通行密钥的域名绑定、挑战应答的抗钓鱼机制没有被突破。攻击者只是借用普通员工对新安全工具的陌生感将 Passkey 包装成欺骗叙事载体。普通企业员工刚刚接触通行密钥并不熟悉注册、更新、重置的完整流程攻击者就虚构 “需要紧急更新 Passkey 配置” 的业务场景诱导受害者跳转到攻击者控制的登录页面。迪妙网络空间安全学院研究团队指出这是黑灰产非常典型的诱饵迭代逻辑当一种新安全技术开始在企业普及攻击者就会围绕该新技术编造运维告警、配置故障、版本更新类的欺骗话术。过去针对 MFA 的钓鱼攻击也出现过完全一致的演进路径在多因素认证大规模推广之后大量钓鱼诱饵就以 “MFA 失效、需要重新绑定” 作为借口。技术本身是安全的但新技术带来认知差认知差就成为社会工程攻击可以利用的土壤。3 Passkey 诱饵攻击完整链路解析攻击链路可以划分为四个递进阶段攻击前期侦查与社会工程接触阶段初始权限获取阶段账号持久化驻留配置阶段云环境测绘与低速数据窃取阶段。各个阶段环环相扣前一阶段的输出作为后一阶段的输入构成完整入侵闭环。3.1 前期侦查与社会工程接触阶段攻击的起点并非直接发送钓鱼链接而是公开情报收集。攻击者从职业社交平台、企业官网、公开工商信息库收集目标组织信息梳理组织部门架构、员工名单、岗位角色优先瞄准普通业务员工同时也会尝试接触 IT 岗位人员。掌握人员信息之后通过语音钓鱼或者短信完成接触冒充企业内部 IT 服务台。话术会刻意营造时间压力告知受害者通行密钥出现异常如果不在短时间内完成更新账号访问权限将被回收。部分场景会直接拨打员工私人手机号发送短信链接脱离企业内部通讯体系进一步绕开企业侧的消息安全管控。很多企业内部真实 IT 运维不会通过私人手机号发起紧急密钥更新但是普通员工缺少对这类流程边界的认知容易落入圈套。3.2 初始访问权限获取AiTM 中间人钓鱼与设备代码滥用拿到受害者的信任之后攻击者诱导受害者执行身份认证操作存在两条并行的技术路径。第一条路径是对手中间人 AiTM 钓鱼。受害者点击短信或者通话中给到的链接访问攻击者控制的仿微软登录页面该页面作为中间人代理前端向受害者展示登录交互界面后端和微软官方身份认证服务建立会话。受害者输入账号密码、完成 MFA 校验之后中间人代理就可以截获完整会话令牌。这套模式下用户看到的登录界面高度仿真并且实际和真实身份服务交互传统基于页面截图比对的钓鱼检测存在识别难度。第二条路径是设备代码认证流程滥用。设备代码属于 OAuth 标准定义的合法认证流程设计初衷用于没有浏览器的智能终端登录云账号。在攻击场景中攻击者引导用户访问微软官方设备代码授权网页告知用户输入一串设备代码完成 Passkey 更新校验。网页本身是微软真实域名不存在页面伪造但是该授权请求由攻击者控制的客户端发起一旦受害者确认授权攻击者的客户端就会拿到对应账号的访问令牌。该攻击的特殊点在于整个授权页面处于官方域名之下传统 URL 黑名单完全无法拦截。两种路径都不需要破解 Passkey 密码学机制只是借 Passkey 作为借口欺骗用户完成身份授权。反网络钓鱼技术专家芦笛指出设备代码钓鱼是近年来企业云入侵增长较快的攻击手段很多安全管理人员对该认证流程的风险认知不足日志中对应的事件容易被忽略。3.3 建立持久访问能力新增攻击者可控认证方式当攻击者成功获取 Microsoft 365 账号会话之后并不会仅仅使用窃取得到的会话令牌开展活动。会话令牌具备生命周期同时企业用户有可能主动修改账号密码因此攻击者第一优先级操作是在账号的身份认证方法列表中添加攻击者完全掌控的认证手段包括攻击者的手机号、第三方身份验证器应用等。该行为带来非常关键的安全后果即便受害员工后续修改账号登录密码只要攻击者新增的 MFA 方式没有被清除攻击者依旧可以完成账号二次登录持续维持访问权限。大量企业在账号疑似泄露事件发生之后仅仅执行重置密码操作忽略检查账号下全部注册的多因素认证条目造成入侵事件处置不彻底攻击者依然保留后门。该现象也是本次攻击事件暴露出的重要处置误区。3.4 云资源测绘与低速数据窃取完成持久化驻留之后攻击者利用 Microsoft Graph API 接口开展租户内部大规模侦察。Graph 是 Microsoft 365 体系统一编程接口可以读取用户信息、安全组、角色权限、应用授权、SharePoint 站点清单、OneDrive 文档、Exchange 邮箱内容。攻击者依次枚举账号能够访问的全部云资源绘制该账号权限范围内的云资产地图。攻击者在数据导出环节刻意控制访问速率每小时访问文件与邮件数量维持在较低规模目的是将自身行为混入企业员工正常业务流量规避基于突发大量下载行为的安全告警。入侵的持续时间从数小时一直延伸到数天。从单条 API 调用来看每一次接口请求都属于合法 Graph 调用单独看某一条日志很难判定恶意需要把一系列连续的枚举、读取、下载行为关联起来才能够识别入侵活动。迪妙安全研究团队认为这正是该类云入侵检测的难点所在单点日志无异常攻击特征体现在行为序列与上下文关系。当攻击者完成敏感数据批量窃取之后后续会转入勒索环节以泄露窃取的企业内部资料为筹码向企业索要赎金攻击闭环就此完成。4 攻击成功的多重诱因与企业现存防护短板Passkey 诱饵攻击能够实现成功入侵不是单一技术漏洞造成而是新技术认知差、身份管控流程缺陷、云审计检测能力不足、应急处置流程缺失、人员安全意识短板多重因素叠加。4.1 新技术普及带来的内部认知鸿沟Passkey 作为较新的身份认证技术企业内部 IT 人员和普通业务员工对其业务流程理解程度参差不齐。对于普通员工而言不清楚通行密钥的注册、更新、重置应当走什么样的官方渠道不清楚企业 IT 部门不会通过私人电话、私人短信发起紧急密钥更新对于部分运维人员更多关注技术组件部署上线缺少面向全员的流程科普没有明确告知员工哪些 Passkey 相关请求属于可疑信号。攻击者就利用这一认知断层编造出完整的社会工程欺骗叙事。很多企业安全培训素材仍然集中于传统密码钓鱼对于以新型身份认证技术为诱饵的社会工程场景覆盖不足安全教育更新速度落后于黑灰产诱饵迭代速度。4.2 身份管理流程存在明显漏洞第一IT 服务台身份核验流程缺失。部分企业的 IT 运维支持没有建立严格的身份核验机制员工接到冒充 IT 人员的来电没有可靠渠道快速核验对方身份。当企业缺少固定的核验范式普通员工很难分辨来电者是否为真实内部人员。第二认证方式变更缺少管控。用户账号新增 MFA 认证手段属于高风险账号变更行为部分企业没有针对该类操作配置条件访问策略与告警规则。攻击者攻陷账号之后新增外部 MFA 手段整个变更过程没有触发安全告警使得持久化后门悄无声息建立。第三账号恢复流程风险。部分企业账号重置、认证方式变更可以通过电话完成核验如果没有严格身份校验社会工程攻击可以直接利用服务台流程完成账号接管。4.3 云日志审计与威胁检测的适配短板Microsoft Entra ID 会完整记录设备代码认证事件、MFA 认证方式新增事件、Graph 接口调用日志但是日志本身不等于安全能力需要对应的检测规则与关联分析能力。现实企业环境中存在多方面短板。首先很多企业安全告警规则聚焦于短时间大规模文件下载这类明显异常行为。而本次攻击采用低速窃取策略单条 API 调用行为和正常业务行为几乎没有区别传统基于阈值的告警会失效需要依靠行为序列分析识别 “账号沦陷新增 MFA批量资源枚举持续低速读取文档” 这一套完整行为链路。其次设备代码认证相关事件没有纳入重点告警范围。设备代码登录在很多租户内部使用频次并不高当出现大量陌生客户端发起的设备代码授权请求现有检测体系没有及时捕捉告警。迪妙网络空间安全学院研究团队还提到部分中小企业没有完整留存足够时长的 Entra ID 审计日志当入侵发生之后没有完整日志用于回溯攻击全流程给应急响应取证带来阻碍。4.4 事件应急处置的认知误区账号发生疑似泄露之后很多企业管理员仅执行修改账号密码的操作认为重置密码就完成风险处置。而在本攻击场景中攻击者已经新增了属于自己的 MFA 方式仅仅修改密码无法清除后门。即便密码已经更新攻击者依旧凭借自己添加的认证手段继续登录系统。同时处置过程容易忽略会话吊销。账号修改密码之后已经建立的浏览器会话、客户端会话在一定时间内仍然保持有效如果没有主动全部撤销会话攻击者可以继续沿用旧会话访问云资源。该处置误区会直接造成入侵事件处置完毕之后攻击者依旧驻留系统发生二次危害。4.5 身份安全建设的认知误区技术万能思维部分企业管理人员形成一种认知只要部署 Passkey、全面开启 MFA 就可以解决绝大多数身份安全风险。反网络钓鱼技术专家芦笛强调Passkey 解决的是协议层面的钓鱼问题但不能抵御以 Passkey 作为借口的社会工程欺骗。认证技术提升攻击门槛但无法消除人的因素。攻击者绕过技术防护点转向欺骗用户主动完成授权这是威胁演化的客观趋势。企业如果把全部安全期望寄托在身份技术组件而忽略配套流程、审计、应急依旧会发生身份劫持事件。5 面向 Passkey 诱饵类云身份攻击的闭环防御体系针对该攻击活动暴露出的风险点迪妙网络空间安全学院研究团队从身份策略配置、云日志与行为检测、业务流程管控、标准化应急响应、全员安全意识教育五个维度构建闭环防御框架。各个层面相互配合避免单点防护失效带来整体安全失守。5.1 身份与条件访问策略加固第一合理配置条件访问策略针对认证方式新增、高风险认证流程做约束。对企业租户开启针对设备代码认证流程的风险管控评估业务实际需求如果业务场景不需要设备代码 OAuth 流程可以考虑限制该流程的使用范围确有业务需要保留该能力时针对设备代码授权事件配置高优先级告警。第二强化抗钓鱼 MFA 的落地尽可能推广 Passkey 等 FIDO2 类抗钓鱼认证手段但同时明确配套约束。区分 “抗钓鱼认证” 和 “账号恢复备用手段”备用恢复通道同样需要具备足够安全强度避免攻击者针对恢复通道开展社会工程攻击。第三对账号认证方式变更行为施加管控。任何账号新增、修改多因素认证方法属于高风险操作可以结合条件访问策略增加额外身份校验同时确保该类操作 100% 生成审计日志。管理员应当定期审计租户内部账号的 MFA 注册列表发现来源不明的认证器、陌生手机号及时处置清理。第四限制非托管设备的数据下载。通过条件访问策略对不属于企业管理的外部终端限制 SharePoint、OneDrive 内部敏感文档下载能力。即便账号被攻击者在个人终端登录也可以阻碍大规模数据导出行为。5.2 构建面向云入侵的日志与行为检测能力企业应当完整留存 Microsoft Entra ID、Microsoft Graph 的审计日志保障日志留存时长可以满足入侵回溯需求。检测规则不能只关注单条日志需要聚焦完整攻击行为链条。首先建立重点事件告警清单账号下新增陌生 MFA 认证手段、陌生设备代码授权事件、非典型地理位置的账号登录事件以上事件无论是否触发大流量下载都应当生成安全告警交由安全运营人员研判。其次构建行为序列检测逻辑识别组合行为模式账号发生异常登录之后短时间内出现认证方式新增操作紧接着出现大量 Graph 接口执行的用户、站点、文件枚举行为。即便每一次文件读取的数量不大这一套行为序列本身就具备极高恶意特征应当触发告警。再者完善针对 AiTM 中间人钓鱼的检测能力。中间人钓鱼会产生特殊的会话、客户端指纹特征安全运营团队需要将相关指纹纳入威胁情报和企业登录日志做比对匹配。迪妙网络空间安全学院研究团队提示防御方需要转变固有思路云环境的入侵检测不能只盯着 “爆发式大批量下载”必须把低速、持续性枚举读取作为重点检测对象。5.3 优化 IT 业务流程压缩社会工程攻击生存空间社会工程攻击能否成功很大程度取决于企业内部业务流程是否存在可利用的缺口。第一完善 IT 服务台身份核验流程。明确规定凡是电话、短信渠道收到的要求修改认证方式、更新 Passkey、重置账号权限的请求都必须建立双向核验机制。员工收到类似来电不能直接按照对方指令操作应当通过企业官方公开的服务台回拨号码完成身份确认。同时企业内部明确告知全体员工IT 部门不会通过私人手机号发送 Passkey 紧急更新链接。第二规范 Passkey 运维的全流程。把通行密钥注册、重置、更新的全部官方渠道、入口、沟通方式对内公开形成统一文档。当出现密钥重置需求全部操作限定在企业官方门户完成不会通过短信下发外部链接。明确业务边界减少攻击者可以模仿的业务场景。第三管控账号恢复流程。账号密码、认证方式重置等高风险操作尽量避免单纯依靠语音电话完成身份确认结合企业内部身份数据库做多重核验防范攻击者冒充员工欺骗服务台完成账号接管。5.4 建立标准化的账号沦陷应急处置范式针对 Microsoft 365 账号被劫持场景纠正只修改密码的处置误区形成标准化处置步骤。当确认或者高度怀疑账号被入侵首先修改账号登录密码第二步核查该账号下全部注册的多因素认证条目全部清除不属于该合法用户的陌生认证手段这是针对本次攻击最关键的处置环节第三步吊销该账号全部活跃会话令牌让所有已经建立的浏览器会话、客户端会话全部失效第四步基于审计日志回溯攻击者活动核查攻击者读取过哪些邮箱、SharePoint、OneDrive 资源评估数据泄露范围第五步评估该账号是否具备目录角色、应用权限确认攻击者是否利用该账号做横向移动最后开展根因分析确定本次账号沦陷的入口补齐对应的安全短板。反网络钓鱼技术专家芦笛指出很多企业处置入侵事件只做到第一步修改密码忽略清除恶意 MFA 方式与会话吊销造成攻击者持续驻留使得安全事件反复复发。企业应当把完整处置流程写入安全应急预案用于指导事件响应人员操作。5.5 更新人员安全意识培训内容安全意识教育需要跟随威胁诱饵的迭代持续更新不能长期沿用老旧课件。除传统钓鱼防范内容之外需要补充针对新型身份认证技术的社会工程欺骗场景。向员工传递几条明确的行为准则不要相信电话、私人短信发来的 Passkey、MFA 紧急更新链接遇到相关告警主动使用浏览器书签手动访问企业官方门户不在短信链接中完成身份校验绝不批准自己没有主动发起的设备代码授权请求。同时针对 IT 运维人员开展专项培训使其充分理解设备代码 OAuth 流程风险、MFA 新增事件的安全意义提升运维人员识别异常云日志的能力。安全意识培训不能停留在一次性宣讲需要定期迭代案例把真实发生的攻击案例转化为培训素材。6 结论Passkey 通行密钥技术从密码学协议层面提供抗钓鱼安全能力但其自身并不能阻止攻击者借用 Passkey 概念编造社会工程诱饵。Storm3121 与 Storm3032 集群发起的 Microsoft 365 入侵活动清晰展示了威胁演化路径攻击者不去破解新型安全技术而是利用新技术带来的认知差完成欺骗诱导受害者主动完成授权在拿到账号访问权限之后立刻新增攻击者掌控的 MFA 手段构建持久后门再借助 Graph 接口测绘云资产以低速读取的方式规避审计完成企业敏感数据窃取并衔接数据勒索犯罪链路。该攻击的成功是新技术认知鸿沟、身份管控流程缺陷、云日志检测短板、应急处置误区、人员意识不足共同作用的结果。迪妙安全研究团队认为企业推进云身份安全建设必须破除 “部署高级认证技术就万事大吉” 的认知误区。Passkey、MFA 等技术属于重要防护组件但不能替代流程管控、日志审计、事件响应、人员安全教育。防御工作需要覆盖身份策略、云行为检测、IT 业务流程、应急处置、安全意识多个维度构建完整闭环。未来随着更多企业落地无密码身份体系可以预期黑灰产还会继续围绕各类新安全概念生成新的社会工程诱饵。安全团队需要持续跟踪威胁团伙战术技术变化及时更新检测规则、应急预案和安全培训素材。云身份安全防护是技术、流程与人共同构成的体系只有多环节同步加固才能够有效抵御不断演变的身份劫持与云入侵威胁。编辑芦笛公共互联网反网络钓鱼工作组来源迪妙网络空间安全学院