Microsoft waarschuwt voor aanvallen waarbij hackers passkeybeveiliging omzeilen door te bellen naar hun slachtoffers. Passkeys vertonen niet voor het eerst barsten.
Passkeys worden sinds enkele jaren massaal geïntroduceerd om phishing beter te kunnen bestrijden. Vandaag gebruiken criminelen net de uitrol van die passkeys om accounts over te nemen. Microsoft waarschuwt voor een campagne die al sinds mei loopt om binnen te breken in en data weg te sluizen uit Microsoft 365-omgevingen. De campagne toont hoe passkeys eenvoudig te omzeilen zijn.
Telefoontje van de helpdesk
In de blog beschrijft Microsoft hoe de aanvallers, die aan verschillende ransomwaregroeperingen gelinkt worden, te werk gaan. De aanval begint niet in je mailbox, maar aan de telefoon. Aanvallers bellen medewerkers op hun persoonlijke gsm-nummer en doen zich voor als de interne IT-helpdesk.
Het verhaal klinkt geloofwaardig: het bedrijf stapt over op passkeys, of de MFA- en SSO-instellingen moeten dringend bijgewerkt worden. Via sms volgt een link naar een pagina die nauwelijks van een echte Microsoft-aanmeldpagina te onderscheiden is. De domeinnamen bevatten de bedrijfsnaam om er betrouwbaar uit te zien, zoals bedrijfsnaam.secure-passkey.com. Volgens Microsoft zijn die domeinen binnen enkele uren operationeel.
Polsbandje
Wie doorklikt, belandt in één van twee scenario’s. In het eerste geval zit de nepsite als tussenpersoon tussen het slachtoffer en de echte Microsoft-login. Alles wat je intikt, inclusief je MFA-code, wordt netjes doorgegeven aan de echte dienst. De aanvaller onderschept ondertussen het sessietoken: het digitale ‘polsbandje’ dat je browser na een geslaagde login bijhoudt.
Met dat polsbandje hoeft hij zelf niet meer langs de bewaking. Die techniek is niet nieuw, maar wel bijzonder effectief. In het tweede geval misbruiken de criminelen de device code-flow, een legitieme aanmeldmethode voor toestellen zonder toetsenbord. Het slachtoffer tikt een code in op een échte Microsoft-pagina, maar het toegangsbewijs dat daaruit volgt, belandt bij de aanvaller.
Tijdens de aanval wordt er nooit effectief een passkey aangemaakt. De zwakte zit niet in de cryptografie van passkeys, maar in verouderde en kwetsbare registratieprocedures die er naast blijven bestaan, en de goedgelovigheid van de mens. Zodra de aanvallers binnen zijn, registreren ze meteen hun eigen authenticatiemethode.
Trage diefstal
Uiteindelijk is het de daders om bedrijfsgegevens te doen. De datadiefstal verloopt opzettelijk traag en zonder ransomware, stelt Microsoft vast. Dit doen de hackers om niet op te vallen tussen het normale verkeer. Over meerdere dagen verdwijnen zo onopgemerkt grote hoeveelheden gevoelige data uit SharePoint, OneDrive en Exchange Online.
Microsoft koppelt de activiteit aan verschillende groepen die het Storm-3121 en Storm-3032 noemt, met vermeende banden met ShinyHunters, Falcon, Helix en BlackFile. Microsoft adviseert bedrijven om de code-flow te blokkeren, de toegang voor onbeheerde toestellen strenger te beheren en logs en mailboxaudits in te stellen.
Passkeys vertonen barsten
Het is niet de eerste keer dat passkeys barsten vertonen. Okta Threat Intelligence ziet sinds april vergelijkbare campagnes gebeuren. Hackers zetten passkey-domeinen op met een apart subdomein per getroffen organisatie, compleet met bedrijfslogo’s.
Ook de techniek zelf ligt onder vuur. Beveiligingsbedrijf SpecterOps ontdekte dat Windows 11 volledige WebAuthn-tokens wegschreef naar een gebeurtenislogboek dat ook onbevoegde gebruikers konden lezen, waarna die konden worden hergebruikt om zich als geprivilegieerde gebruiker aan te melden. Microsoft dichtte dat lek in juli met een patch.
Volgens de onderzoekers ontbraken bij Entra ID lange tijd ook klassieke antireplay-beschermingen zoals sessiebinding. Een Nederlandse onderzoeker ontdekte dat malware in een actieve sessie Windows Hello for Business-sleutels kan aanspreken, zonder dat de gebruiker opnieuw een pincode of vingerafdruk moet geven. De implementatie van passkeys loopt niet alleen bij Microsoft verkeerd: volgens onderzoek van Palo Alto’s Unit 42-team kan de hoofdsleutel van Google Password Manager uit het geheugen van Chrome geplukt worden om gesynchroniseerde passkeys te reconstrueren.
Zo veilig als de zwakste schakel
Maken passkeys hun belofte dan niet waar? Toch wel. In het scenario waarvoor ze ontworpen zijn, houden ze stand: een passkey is gebonden aan het domein waarvoor hij is aangemaakt, en een nepsite krijgt hem simpelweg niet aangeboden. Wat de door Microsoft en andere beveiligingsexperten beschreven aanvalstechnieken wél aantonen, is dat ze eenvoudig te omzeilen zijn.
Dat is meteen de kern van het probleem. Een passkey beschermt alleen wat er effectief achter zit. Zolang oude en kwetsbare authenticatiepaden blijven openstaan, verplaatst de aanval zich naar die randen. Net daarom timmert Microsoft de oude uitwegen nu stelselmatig dicht. Tegen 2027 moeten sms-codes en veiligheidsvragen uitgefaseerd zijn. Tot dan zitten we in een vervelende overgangsfase.
Passkeys zijn veiliger dan wachtwoorden, maar wie ze uitrolt zonder de oude deuren te sluiten, koopt vooral een gevoel van veiligheid. En dat gevoel is exact waar een hacker op rekent.