- 发布日期
利用微软官方域名，卡巴斯基披露新型钓鱼攻击
- 作者
- 姓名
- 荷鲁斯快报
- 社交账号
卡巴斯基近日披露，2026年4月至5月期间，其安全团队监测到一种新型钓鱼攻击，利用微软身份平台（Microsoft Identity Platform）的OAuth 2.0设备授权授予流程实施攻击。攻击者通过伪装成律师事务所的邮件，诱导受害者访问仿冒企业法律门户的钓鱼页面，最终窃取用户的访问令牌和刷新令牌，从而控制其Office 365账户。
卡巴斯基在昨日的博文中详细介绍了攻击机制。攻击者首先向目标发送一封带有密码保护PDF的邮件，受害者输入密码后看到文档列表页面，但点击链接时会通过合法微软地址的重定向，进入仿冒的钓鱼网站。该网站设置多重验证码，要求用户复制一段一次性代码，并引导用户跳转到微软官方认证页面。
在正常OAuth 2.0设备授权流程中，用户需要在另一台设备上访问微软指定的验证URL（如https://microsoft.com/devicelogin），输入设备代码完成授权。客户端随后会轮询令牌端点，等待用户确认。认证成功后，服务器下发access_token、refresh_token和id_token，其中access_token有效期通常为一小时。
攻击者利用这一流程的漏洞，预先从微软身份平台获取合法的user_code，并植入钓鱼页面。受害者在微软官方页面完成多因素认证后，攻击者即可获得该会话的所有令牌，从而读取或发送邮件、导出OneDrive文件、访问Teams聊天记录。卡巴斯基指出，由于攻击涉及真实的微软认证页面，用户很难察觉异常。
卡巴斯基强调，此类攻击利用了用户对微软官方域的信任，绕过传统安全检测。由于攻击者获得的refresh_token具有较长的有效期，可以在access_token过期后静默刷新，长期保持对账户的访问权限。受影响的组织可能面临数据泄露、商业机密窃取等风险。
安全专家建议，企业应加强对员工的安全培训，警惕要求输入一次性代码的异常页面，并启用条件访问策略限制设备授权流程。卡巴斯基表示将继续监测此类攻击，并提醒用户注意核对认证页面的URL，避免在不信任的页面上输入敏感信息。
