微軟發出警告：釣魚郵件滲透 Office 365 用戶

微軟將 Office 轉為訂閱制已經行之有年，雲端協作與無縫同步的特性使作業更流暢，也吸引很多用戶紛紛加入。現在 Microsoft 365 用戶可能面對的風險來了，微軟向 Office 365 用戶發出警告，要大家小心潛在的惡意應軟體正透過發送釣魚郵件侵犯用戶的隱私，不得不防啊！

微軟發出警告：釣魚郵件滲透 Office 365 用戶

微軟已經對 Office 365 用戶發出警示，並且在官方 Twitter 上指出有潛在的惡意應用正在發送釣魚郵件給 Office 365 用戶，該電子郵件會要求用戶瘦與 OAuth 權限，以建立收件匣規則、撰寫與閱讀電子郵件內容，另外還可應加行事曆中的專案等，此外它還會向用戶所要存取聯絡人的權限。

Microsoft is tracking a recent consent phishing campaign, reported by @ffforward, that abuses OAuth request links to trick users into granting consent to an app named ‘Upgrade’. The app governance feature in Microsoft Defender for Cloud Apps flagged the app’s unusual behavior. pic.twitter.com/YMUHvEMYYD

— Microsoft Security Intelligence (@MsftSecIntel) January 21, 2022

對釣魚郵件之所以如此警戒，在於過去不肖人士曾經使用 OAuth 服務來造訪用戶帳號，由於此釣魚郵件會對使用者產生誤導，因此微軟擔心如果用戶一時不察授與權限後會導致帳戶內發生惡意活動。從本質上來說，網路釣魚是指攻擊者利用授權請求讓用戶向其帳號授予通行證，使攻擊者能夠連接進入訪問你的個人郵件資訊，即使它沒有馬上發出攻擊，也能讓入侵者有機會在你的收件匣中建立轉寄規則，從而允許未來繼續攻擊其他網站。

在 Twitter 用戶 @fffforward發 現該惡意應用程式後，微軟已禁用該應用程式並提醒受影響的用戶。如果你使用的是 Microsoft Office 365，對收到的任何授權要求電子郵件務必提高警覺。

如何避免授權網路釣魚詐騙？

授權許可的詐騙方式無所不在，如果你想要避免落入這樣的陷阱中，請務必留意授權請求的來源，另外還要對第三方應用訪問帳號的授權要求加以審核與判斷。

向任何第三方應用授予電子郵件的訪問許可權（尤其是使用微軟名義詐取某些許可權這種）可能會透過轉發用於密碼重置的電子郵件和其他重要安全通知，使攻擊者能夠輕易地入侵你的其他帳戶。你還可以密切關注發送這些授權請求的電子郵件位址，以驗證它們是否為官方所有。