Аналітики Microsoft Security виявили дві масштабні кампанії зловмисників для захоплення хмарних ресурсів. У першій кампанії хакери розіслали понад мільйон листів від імені керівників компаній із вимогою сплатити фальшиві рахунки ServiceNow. Для створення правдоподібних шаблонів листування нападники застосували генеративний штучний інтелект, орієнтуючись на фінансові відділи підприємств у США.

Друга кампанія базується на вішингу та SMS: нападники видають себе за IT-підтримку й змушують працівників “оновити” налаштування Passkey або SSO на підроблених сайтах. Хакери перехоплюють сесійні токени через схему Adversary-in-the-Middle або коди пристроїв. Отримавши доступ, угруповання Storm-3121 та Storm-3032 додають власні методи MFA та масово вивантажують документи з SharePoint і OneDrive через Graph API.