
微軟揭釣魚新招冒認 IT 部門 passkey 全程只是幌子
微軟發現有人冒認 IT 部門叫員工設定 passkey,然後一條都沒有真的設定過。微軟威脅情報周四(10 日)指,攻擊者由 5 月起以電話或短訊冒認公司 IT,聲稱員工要緊急更新 passkey 設定,再帶去一個掛着公司名字的假登入頁。密碼連同員工按下的 MFA 批准被即時轉送到真的登入流程,對方取走的是驗證之後那個 session token。之後從 SharePoint 和 OneDrive 下載檔案,每小時刻意保持在 1,000 個以下。微軟指這套手法至少由兩組勒索集團在用,下游是 ShinyHunters 和 Helix。









