Microsoft 365帳號遭權杖重播攻擊，79家組織受影響

資安業者Huntress近日揭露一波針對Microsoft 365的權杖重播攻擊（Token Replay Attack），攻擊者利用竊取自不同組織使用者的登入權杖，大量嘗試冒用使用者身分登入Microsoft 365帳號。根據該公司的調查，7月14日至9月22日期間，在79家受影響組織中，至少觀測到497次成功登入事件，以及超過20萬次失敗登入嘗試。

研究人員將這波大量利用遭竊權杖嘗試登入帳號的手法稱為權杖噴灑攻擊（Token Spraying）。攻擊者透過網路釣魚及社交工程等方式擷取登入權杖，不必重新輸入密碼或完成多因素驗證（MFA），就可能冒用使用者身分登入Microsoft 365。成功登入後，攻擊者還在部分受害組織的Microsoft Entra ID中註冊由自己控制的裝置，並更換部分受害帳號的MFA驗證方式，以便持續存取帳號。攻擊者也在部分受害帳號設定郵件規則，將特定聯絡人寄來的郵件移至其他資料夾。研究人員另發現，攻擊者曾利用遭入侵的帳號寄送涉及薪資付款的電子郵件，顯示這類攻擊可能進一步被用於商業電子郵件詐騙（Business Email Compromise，BEC）。

調查發現，部分組織透過條件式存取政策攔阻攻擊者登入，但其他組織仍出現成功登入事件，因此企業不能只根據遭阻擋的登入次數判斷受害程度。對於疑似遭入侵的帳號，研究人員提醒企業，單純重設密碼不足以完全阻止攻擊者繼續存取帳號，也無法移除攻擊者註冊的裝置及MFA驗證方式，因此還需撤銷使用者的有效連線階段、移除未經授權的裝置與驗證方式，並檢查異常郵件規則及條件式存取政策。