SkyW4lker-kalastelupaketti kaappaa Microsoft 365 -tilejä laitekoodin kautta
Hyökkääjä ei murra salasanaa, vaan ohjaa uhrin hyväksymään oman kirjautumisensa Microsoftin aidolla sivulla.
Tiivistelmä
Tietoturvayhtiö ANY.RUN julkaisi 27.10.2026 raportin SkyW4lker-nimisestä kalastelupaketista, joka kaappaa Microsoft 365 -tilejä ohjaamalla uhrin naamioidun liitteen ja CAPTCHA-suojatun välisivun kautta Microsoftin aidolle laitekirjautumissivulle. ANY.RUN kertoo pakettia syötetyn hiekkalaatikkotestiin 618 kertaa kesä-lokakuussa 2026, kohteina erityisesti valmistava teollisuus, teknologia ja terveydenhuolto. Kyberturvallisuuskeskus vahvisti saman laitekoodikalastelutekniikan iskeneen suomalaisiin organisaatioihin jo toukokuussa, viisi kuukautta ennen SkyW4lkerin julkistamista.
Uhri avaa salasanalla suojatun liitteen, syöttää Microsoftin aidolla sivulla näkyvän laitekoodin ja hyväksyy kirjautumisen itse, mutta tili siirtyy silti hetkessä hyökkääjän haltuun.
ANY.RUNin tietoturvatutkijat kuvaavat ilmiön 27.10.2026 julkaistussa raportissa "SkyW4lker Phishing Kit: Microsoft 365 Threat to US Firms". Raportti nimeää kasvavan kalastelupaketin SkyW4lker, jota on havaittu yhä useammin kesän ja syksyn 2026 aikana.
Hyökkäys alkaa sähköpostiliitteestä, joka on naamioitu sopimukseksi tai tarjoukseksi ja suojattu salasanalla uskottavuuden lisäämiseksi. Liitteen avaaminen ohjaa uhrin Google Sitesiin rakennetulle sivulle, jonka pääsyn CAPTCHA-tarkistus suojaa, ja sivu päättyy lopulta aitoon, osoitteessa microsoft.com sijaitsevaan laitekirjautumissivuun.
Koska kirjautumissivu on aito ja uhri hyväksyy laitekoodin omin käsin, hyökkääjä saa käyttöönsä toimivan istunnon ilman, että salasanaa tai kaksivaiheista tunnistautumista tarvitsee murtaa lainkaan.
Paketin taustajärjestelmä on rakennettu obfuskoidusta JavaScriptistä ja PHP:stä, ja se hoitaa istunnonhallintaa, kerää uhrin IP-osoitteen ja sijainnin sekä kyselee toistuvasti Microsoftin omaa tunnistautumisrajapintaa hyväksynnän varmistamiseksi. ANY.RUN yhdistää SkyW4lkerin suurella varmuudella aiemmin tunnettuun Gabagool-kalastelukittiin kehittäjien jättämien yhteisten tunnisteiden perusteella.
Microsoft 365 on käytössä valtaosassa suomalaisistakin organisaatioista sähköpostin, tiedostojen jakamisen ja kalenterin hoitoon, joten yksi vahingossa hyväksytty laitekoodi avaa hyökkääjälle pääsyn koko tilin sisältöön kerralla.
ANY.RUNin hiekkalaatikkoanalyysissä SkyW4lker-pakettia on syötetty testiin 618 kertaa 21. kesäkuuta ja 21. lokakuuta 2026 välillä. Luku kuvaa sandbox-ajojen määrää, ei vahvistettujen uhriorganisaatioiden määrää, ja kasvu on ollut jyrkkää: kesäkuussa testejä kirjattiin noin 20 kuukaudessa, syyskuussa jo noin 200.
Kohteina on ollut erityisesti valmistavaa teollisuutta, teknologiayrityksiä ja terveydenhuoltoa, ja 46 prosenttia lähetyksistä paikannettiin Yhdysvaltoihin, Intian, Kanadan ja Britannian seuratessa perässä.
Yhdysvaltain CISA, FBI, Microsoft tai Europol ei ole nimennyt SkyW4lkeria yhdessäkään omassa tiedotteessaan, vaan ainoastaan kaupallinen tietoturvayhtiö ANY.RUN on raportoinut siitä nimellä.
Kyberturvallisuuskeskus julkaisi 21.5.2026 tiedotteen "Uusi aalto M365-tietojenkalastelussa – AI-avusteinen laitekoodin kalastelukampanja", jossa virasto kertoo saaneensa ilmoituksia samasta tekniikasta myös suomalaisista organisaatioista. Toukokuun tiedote koski tekniikkaa yleisesti, ei SkyW4lkeria nimeltä, sillä kalastelupaketti nimettiin julkisesti vasta viisi kuukautta myöhemmin.
Samaa laitekoodin kaappaustekniikkaa on käytetty vuonna 2026 myös muissa, SkyW4lkerista erillisissä kampanjoissa. Yhdysvaltain liittovaltion poliisi FBI ja IC3 varoittivat toukokuun 2026 tiedotteessaan PSA260521 Kali365-kitistä.
Microsoftin omat MSTIC-tutkijat paljastivat syyskuussa 2026 Storm-2992-toimijan käyttämän EvilTokens-kitin, joka oli ehtinyt tunkeutua yli 12 000 sähköpostilaatikkoon yli 10 000 organisaatiossa ennen kuin Microsoftin digitaalisten rikosten yksikkö häiritsi sen toimintaa. Kali365 ja EvilTokens ovat omia, eri kuukausina paljastettuja kampanjoitaan, eikä niiden lukuja pidä liittää SkyW4lkeriin.
Tunnistusmerkit
- Sähköpostin liite on salasanalla suojattu ja naamioitu sopimukseksi tai tarjoukseksi
- Liitteen avaaminen ohjaa Google Sites -sivulle, jonka pääsyn CAPTCHA-tarkistus suojaa
- Sivu päättyy aitoon microsoft.com-osoitteen laitekirjautumissivuun ja pyytää syöttämään koodin, jota ei ole itse pyytänyt
- Kirjautumispyyntö ilmestyy, vaikka käyttäjä ei ole itse käynnistämässä mitään kirjautumista
Mitä tehdä
Organisaatioiden kannattaa rajoittaa tai estää laitekoodilla kirjautuminen Entra ID:n Conditional Access -käytännöillä niiltä käyttäjiltä, jotka eivät sitä työssään tarvitse. Ylläpitäjätileille suositellaan tietojenkalastelulta suojattua tunnistautumista, kuten FIDO2-pohjaisia pääsyavaimia, tavallisen kertakäyttökoodin sijaan. Jatkuva pääsynarviointi, Continuous Access Evaluation, auttaa mitätöimään kaapatut istunnot nopeasti, jos kirjautuminen on jo ehditty hyväksyä vahingossa. Yksittäisen käyttäjän ei pidä koskaan syöttää laitekoodia, jota hän ei ole itse pyytänyt kirjautumisen yhteydessä. Epäilyttävästä kirjautumispyynnöstä kannattaa ilmoittaa Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
Lähteet
- ANY.RUN (27.10.2026)
- Kyberturvallisuuskeskus (21.05.2026)
- FBI/IC3 PSA260521 (konteksti, eri kampanja: Kali365) (21.05.2026)
- Microsoft MSTIC (22.09.2026)