Ngày 09/09/2026, Microsoft công bố chiến dịch lợi dụng chính chủ đề passkey để lừa người dùng: kẻ tấn công gọi điện giả bộ phận IT, dụ nạn nhân đăng nhập vào trang giả, rồi cài phương thức MFA của riêng chúng để giữ quyền truy cập lâu dài. Sau đó là bước dò quét qua Microsoft Graph và thu thập dữ liệu từ SharePoint, OneDrive, Exchange.