這篇文章要跟大家分享 Microsoft 最近揭露的一場大規模釣魚攻擊。對於剛入行的 Junior 工程師來說，可能會覺得釣魚郵件很簡單，只要不點連結就好。但現代的攻擊手法已經進化到能繞過我們以為很安全的 MFA 多因素驗證，這點非常危險，必須詳細了解其背後的邏輯。
這次攻擊針對全球 26 個國家、超過 3.5 萬名使用者。攻擊者不再使用粗糙的錯誤拼字或奇怪的發件人，而是採用極其專業的企業級 HTML 模板，主題圍繞在行為準則 Code of Conduct 的審查。他們利用心理學上的壓力，在郵件中加入指控與限時要求，讓受害者在焦慮下失去判斷力。
攻擊路徑的技術細節
這次攻擊最值得關注的是它的攻擊鏈設計。首先，攻擊者使用合法的電子郵件傳遞服務發信，這讓郵件能輕易通過 SPF、DKIM 和 DMARC 等郵件認證機制。這些機制原本是用來驗證發信者身分，防止冒名頂替，但當攻擊者直接劫持合法服務（如 Amazon SES）時，這些防禦手段就失效了。
接下來，受害者會收到一個 PDF 附件，點擊後會進入一系列的 CAPTCHA 驗證頁面。這裡的 CAPTCHA 驗證碼不僅僅是為了增加真實感，更重要的目的是為了阻擋安全公司的自動化掃描工具。如果掃描程式無法通過驗證碼，就無法觸發最後的惡意頁面，從而延緩攻擊被發現的時間。
最核心的威脅在於 AiTM 攻擊
當受害者通過驗證進入登入頁面時，攻擊者使用了 Adversary-in-the-Middle，簡稱 AiTM 中間人攻擊。
傳統的釣魚是單純偷取帳號密碼，但現在大多數公司都開啟了 MFA 多因素驗證（例如手機驗證碼或 App 確認）。AiTM 的運作方式是在使用者與真正的微軟登入伺服器之間架設一個透明的代理伺服器。當使用者輸入密碼並完成 MFA 驗證時，攻擊者會即時截獲傳回的 Authentication Token 認證令牌。
認證令牌是伺服器用來確認使用者已登入身分的憑證。一旦攻擊者拿到這個 Token，他們就可以直接偽裝成該使用者進入系統，完全不需要知道 MFA 的驗證碼，因為驗證過程已經在代理伺服器上被完成並截獲了。
2026 年的釣魚趨勢與新手段
除了 AiTM，我們還可以看到幾個明顯的趨勢。首先是 QR Code 釣魚的激增，攻擊者將惡意連結隱藏在 QR Code 中，目的是繞過傳統郵件閘道器的 URL 掃描。因為掃描器通常檢查文字連結，而較難分析圖片中的二維碼內容。
其次是 PhaaS 模式的興起。Phishing-as-a-Service 釣魚即服務，意味著開發惡意工具的團隊會將整套釣魚基礎設施出租給其他犯罪分子。例如文中提到的 Tycoon 2FA，它提供完整的登入偽裝頁面與 Token 截獲功能，讓即使沒有高深技術的攻擊者也能發動高階攻擊。
給工程師的實務建議
面對這種等級的攻擊，單純依賴 MFA 已經不夠。我們應該推動使用 FIDO2 或 Passkeys 等基於硬體金鑰的驗證方式，因為這類驗證會將域名與憑證綁定，中間人無法透過偽造域名來截獲 Token。
同時，在開發系統時，要意識到合法雲端服務（如 AWS SES）也可能被武器化。不要僅僅因為發信 IP 是知名的雲端廠商就信任該郵件，應加強對使用者行為分析與端點偵測的部署。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。