這篇文章將為大家解析一種新型態的網路攻擊趨勢。對於許多工程師來說，我們一直認為只要啟用了 MFA（多因素驗證，例如手機驗證碼或 App 確認），帳號就相對安全。然而，近年來出現了一種稱為 PhaaS（Phishing-as-a-Service，釣魚即服務）的商業模式，讓攻擊者不需要精通技術，只要付月費就能像訂閱 SaaS 軟體一樣發動高度專業的攻擊。其中一個名為 Greatness 的工具包，最近引入了設備代碼釣魚（Device Code Phishing）技術，能有效地繞過 MFA 並奪取帳號控制權。
首先我們要理解什麼是 PhaaS。這是一種將釣魚攻擊模組化、產品化的犯罪服務。Greatness 提供了一個完整的後台管理面板，攻擊者可以透過 Telegram 訂閱，每月支付約 289 美元，即可獲得包含活動統計、域名配置、驗證碼（CAPTCHA）選擇以及多種釣魚模板（如 OneDrive、Voicemail 等）的工具集。這種模式大幅降低了犯罪門檻，讓不具備開發能力的攻擊者也能執行複雜的攻擊流程。
在技術手段上，Greatness 整合了三種核心攻擊路徑。第一種是 AiTM（Adversary-in-the-Middle，中間人攻擊）。這種方式是在使用者與真實登入頁面（例如 Microsoft 365）之間架設一個代理伺服器，即時轉發登入請求。當使用者輸入帳號密碼並完成 MFA 驗證後，攻擊者可以直接攔截並盜取 Session Cookie（會話 Cookie），從而接管登入狀態，完全跳過驗證過程。
第二種是 OAuth 同意濫用（OAuth Consent Abuse）。攻擊者誘導使用者授權一個看似合法但具備高權限的第三方應用程式，一旦使用者點擊同意，攻擊者就能在不需要密碼的情況下，透過 OAuth Token 持續訪問使用者的資料。
而第三種也是本文重點的設備代碼釣魚（Device Code Phishing），是利用了 OAuth 2.0 的設備授權授予流程（Device Authorization Grant）。這個流程原本是設計給那些沒有瀏覽器或輸入困難的設備（例如智慧電視、IoT 設備）使用的。正常流程是：設備顯示一個短碼，請使用者在另一台有瀏覽器的設備上登入並輸入該碼以完成配對。
攻擊者利用這一點，誘導使用者在真實的微軟官方頁面上輸入攻擊者所產生的設備代碼。由於使用者最後是在真正的官方網站上輸入密碼與完成 MFA，因此視覺上沒有任何偽造的破綻，這讓傳統的防護手段（如檢查 URL 是否正確）完全失效。一旦使用者輸入代碼並確認，攻擊者端的設備就會立即獲得存取令牌（Token）。
一旦獲取 Token，攻擊者會迅速透過 Microsoft Graph API（微軟提供的統一 API 接口，用於存取 Outlook、Teams、OneDrive 等資源）來枚舉並竊取企業內部資料。更危險的是，攻擊者會在入侵後立即註冊新設備以獲取 PRT（Primary Refresh Token，主要刷新令牌），這讓他們即使在使用者更改密碼後，仍能維持長期的持久性存取權限。
在實務部署上，Greatness 採用了多層跳轉鏈（Redirect Chain）來規避安全分析，並利用使用者對特定供應商（如 RingCentral）的信任，透過偽造電子郵件繞過郵件閘道的過濾機制。
針對這類攻擊，工程師與資安管理員可以採取以下防禦措施。首先，在條件式存取策略（Conditional Access Policies）中，若企業內部沒有正當需求使用設備代碼流程，應直接在全域層級禁用此驗證方法。其次，應推動使用抗釣魚的 MFA 方案（如 FIDO2 或 Passkeys），這類方案基於硬體金鑰或生物辨識，無法被中間人代理或代碼欺騙。最後，應定期稽核供應商的白名單設定，避免因信任特定域名而讓惡意郵件輕易進入信箱。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。