माइक्रोसॉफ्ट ने चेतावनी दी है कि ShinyHunters और Helix जैसे खतरनाक गिरोह कॉर्पोरेट खातों को हैक करने के लिए 'पासकी' और 'सिंगल साइन-ऑन' का सहारा ले रहे हैं। ये हमलावर आईटी हेल्प डेस्क बनकर कर्मचारियों को धोखा दे रहे हैं और संवेदनशील डेटा चुरा रहे हैं।

  • ShinyHunters और Helix जैसे एक्सटॉर्शन गैंग्स द्वारा नियोजित परिष्कृत सोशल इंजीनियरिंग हमले।
  • हमलावर आईटी हेल्प डेस्क बनकर कर्मचारियों को पासकी अपडेट करने के लिए मजबूर करते हैं।
  • AiTM (Adversary-in-the-Middle) और डिवाइस-कोड फिशिंग के जरिए सेशन टोकन और क्रेडेंशियल्स की चोरी।
  • एक बार एक्सेस मिलने के बाद, हमलावर SharePoint, Outlook और अन्य SSO ऐप्स तक पहुंच बना लेते हैं।

माइक्रोसॉफ्ट ने हाल ही में एक गंभीर सुरक्षा खतरे का खुलासा किया है जिसमें ShinyHunters और Helix जैसे कुख्यात एक्सटॉर्शन गिरोह शामिल हैं। ये हमलावर कॉर्पोरेट जगत को निशाना बनाने के लिए 'पासकी' (Passkey) और 'सिंगल साइन-ऑन' (SSO) के नाम पर सोशल इंजीनियरिंग हमलों का उपयोग कर रहे हैं। यह अभियान मई 2026 से सक्रिय है, जिसमें हमलावर पहले लक्षित संगठन और उसके कर्मचारियों के बारे में गहन शोध करते हैं और फिर आईटी हेल्प डेस्क का रूप धारण कर उन्हें कॉल या मैसेज करते हैं।

इन हमलों की कार्यप्रणाली बेहद चालाकी भरी है। हमलावर कर्मचारियों को यह विश्वास दिलाते हैं कि यदि उन्होंने तुरंत अपनी पासकी, मल्टी-फैक्टर ऑथेंटिकेशन (MFA), या SSO कॉन्फ़िगरेशन को अपडेट नहीं किया, तो वे कॉर्पोरेट सिस्टम का एक्सेस खो देंगे। इसके बाद, पीड़ितों को ऐसे फिशिंग साइटों पर भेजा जाता है जो बिल्कुल असली माइक्रोसॉफ्ट लॉगिन पेज की तरह दिखते हैं। इनमें से कई लिंक व्यक्तिगत फोन पर SMS के माध्यम से भेजे जाते हैं ताकि विश्वास जीता जा सके।

यह भी पढ़ें:दिल्ली में स्वतंत्रता दिवस से पहले हाई अलर्ट: 19 आतंकियों के पोस्टर लगाए गए

Why This Matters

BozokMedia analysis shows that this is not a simple phishing attempt but a targeted identity theft operation. By leveraging the industry's shift toward passwordless authentication (Passkeys), attackers are exploiting the trust users have in new security standards. This creates a dangerous paradox where a security feature is used as a lure for a breach.

"The shift from simple password theft to session token hijacking via AiTM represents a critical evolution in cyber-attacks, rendering traditional MFA less effective."

माइक्रोसॉफ्ट के अनुसार, हमलावर केवल पासकी का नाम इस्तेमाल कर रहे हैं, वास्तव में वे पासकी एनरोल नहीं कर रहे। इसके बजाय, वे Adversary-in-the-Middle (AiTM) फिशिंग का उपयोग करते हैं ताकि सत्र टोकन (session tokens) और क्रेडेंशियल्स को कैप्चर किया जा सके। इसके अलावा, 'डिवाइस-कोड फिशिंग' के माध्यम से, वे उपयोगकर्ताओं को माइक्रोसॉफ्ट के वैध ऑथेंटिकेशन पेज पर एक कोड डालने के लिए प्रेरित करते हैं, जिससे हमलावर को बिना किसी अतिरिक्त MFA चुनौती के पूर्ण एक्सेस मिल जाता है।

एक बार जब हमलावर सिस्टम में प्रवेश कर लेते हैं, तो वे SharePoint Online, Outlook Web और अन्य आंतरिक व्यावसायिक अनुप्रयोगों तक पहुंच प्राप्त करते हैं। वे केवल माइक्रोसॉफ्ट तक सीमित नहीं रहते, बल्कि उन सभी SSO-कनेक्टेड ऐप्स (जैसे Salesforce, Google Workspace, Slack, SAP) तक पहुंच बना लेते हैं जो उस कॉर्पोरेट खाते से जुड़े होते हैं।

स्थिरता (Persistence) बनाए रखने के लिए, ये हमलावर अपने स्वयं के फोन नंबर या ऑथेंटिकेटर ऐप को पीड़ित के खाते में जोड़ देते हैं। इससे वे भविष्य में भी बिना किसी बाधा के खाते में प्रवेश कर सकते हैं। माइक्रोसॉफ्ट ग्राफ (Microsoft Graph) का उपयोग करके, वे संगठन के लाइसेंस, उपयोगकर्ताओं की सूची और विशेषाधिकार प्राप्त खातों (privileged accounts) की मैपिंग करते हैं।

हमले का प्रकार कार्यविधि परिणाम
AiTM फिशिंग नकली लॉगिन पेज के जरिए टोकन कैप्चर करना सत्र अपहरण (Session Hijacking)
डिवाइस-कोड फिशिंग वैध MS पेज पर कोड दर्ज करवाना OAuth टोकन चोरी और पूर्ण एक्सेस
क्या आप जानते हैं?: 'पासकी' वास्तव में पासवर्ड से अधिक सुरक्षित होती हैं क्योंकि वे क्रिप्टोग्राफी का उपयोग करती हैं, लेकिन इस मामले में हमलावरों ने तकनीक को नहीं, बल्कि मानवीय मनोविज्ञान (Social Engineering) को निशाना बनाया है।

Frequently Asked Questions

प्रश्न 1: क्या मेरी पासकी सुरक्षित है?
हाँ, पासकी तकनीक सुरक्षित है, लेकिन समस्या तब आती है जब आप किसी नकली वेबसाइट पर अपनी क्रेडेंशियल्स दर्ज करते हैं या किसी अनजान व्यक्ति के कहने पर कोड शेयर करते हैं।

प्रश्न 2: इस हमले से कैसे बचें?
हमेशा आधिकारिक आईटी चैनल के माध्यम से ही अपडेट करें और किसी भी अनपेक्षित SMS या कॉल पर भरोसा न करें जो आपसे तत्काल सुरक्षा अपडेट की मांग करे।