Microsoft 365 Token 重放攻擊：79 個組織、97 個帳號被入侵，MFA 也擋不住

發生了什麼

想像你剛在瀏覽器登入 Microsoft 365，輸入帳號密碼、完成 MFA 驗證，看到熟悉的首頁。你以為這是一次正常的登入，但實際上，你剛才輸入的所有資訊都經過了攻擊者控制的中繼站。攻擊者不只拿到你的密碼和 MFA 代碼，還拿到了 Microsoft 發給你的「登入憑證」——一個證明「你已經完成 MFA」的 token。

幾分鐘後，攻擊者從他自己的電腦重放這個 token，繞過 MFA 登入你的帳號。你的手機沒有收到任何 MFA 通知，因為他不需要再驗證一次。登入後，他立即註冊自己的驗證器 app，設定隱藏的郵件規則，讓你完全察覺不到帳號已經被接管。

2026 年 7 月 14 日至 9 月 22 日，Huntress 偵測到一起針對 Microsoft 365 的 token 重放攻擊活動。攻擊者透過 AitM（adversary-in-the-middle）釣魚頁面竊取登入 token，在超過 20 萬次登入嘗試中成功登入 497 次，最終入侵 79 個組織的 97 個帳號，並註冊 48 個偽裝裝置到 Entra ID。

來源：本文整理自 The Hacker News 於 2026 年 10 月 26 日發布的報導，原始研究為 Huntress 的安全研究報告。原文連結

Token 重放攻擊如何運作

傳統的帳號入侵攻擊是「猜密碼」：攻擊者嘗試大量密碼組合，希望猜中。但 token 重放攻擊不猜密碼，而是竊取「已經完成 MFA 的登入憑證」，然後在別的地方重放這個憑證。

AitM 釣魚頁面：夾在中間偷 token

攻擊流程的第一步是 AitM（adversary-in-the-middle）釣魚頁面。這個頁面夾在受害者與真正的 Microsoft 登入頁面之間：

1. 受害者在釣魚頁面輸入帳號密碼
2. 釣魚頁面將這些資訊轉發給真正的 Microsoft 登入頁面
3. Microsoft 要求 MFA 驗證，受害者完成驗證
4. 釣魚頁面將 MFA 代碼轉發給 Microsoft
5. Microsoft 發出 access token（登入憑證）給受害者
6. 釣魚頁面同時竊取這個 token

受害者看到的是真正的 Microsoft 登入流程（因為釣魚頁面只是中繼站），所以不會察覺異狀。但攻擊者已經拿到了「證明你完成 MFA」的 token。

Token spraying：大規模重放竊取的 token

攻擊者拿到 token 後，會在數分鐘內從自己的裝置重放這個 token，嘗試登入 Microsoft 365 服務。這個手法被 Huntress 稱為 token spraying，類似傳統的 password spraying（密碼噴灑），但不是嘗試大量密碼，而是重放大量竊取的 token。

Huntress 追蹤到攻擊者在這段期間內發起超過 20 萬次登入嘗試，其中 497 次成功登入，分布在 79 個組織。

登入後：註冊驗證器 app 與偽裝裝置

攻擊者登入後的第一件事是建立持久化手段，確保即使竊取的 token 過期或被撤銷，他仍能繼續登入。

註冊自己的驗證器 app

攻擊者會在登入後立即註冊自己的驗證器 app（例如 Microsoft Authenticator），讓他能在未來的登入中完成 MFA 挑戰。

在 19 個組織中，攻擊者在首次登入後三小時內移除受害者原有的 MFA 方法，並註冊新的驗證器 app。其中一個案例，攻擊者在 session 被劫持後 51 分鐘內就啟用了一個名為「iPhone 13」的驗證器 app。

註冊偽裝裝置到 Entra ID

攻擊者也會將自己的裝置註冊到受害組織的 Microsoft Entra ID（前身為 Azure AD）。這些偽裝裝置會留在目錄中，直到有人手動刪除。

報告指出，攻擊者至少註冊了 48 個偽裝電腦到受害組織的 Microsoft 目錄中。註冊裝置讓攻擊者能持續請求 token，比竊取的 session 更持久。

隱藏的信箱規則：讓你看不到攻擊

攻擊者會設定隱藏的信箱規則，自動處理特定類型的郵件，讓受害者察覺不到帳號被接管。

這些規則的名稱都很隱蔽，例如：

• .（單一句點）
• ss、sss、s
• iT
• ,.
• ........（多個句點）
• d

這些規則會自動刪除或移動包含特定關鍵字的郵件，例如：

• payroll（薪資）
• deposit（存款）
• bonus（獎金）

或將郵件移動到不常用的資料夾，例如 RSS Feeds 或 Conversation History。

在其中一個受害信箱中，攻擊者設定的規則會將所有收到的郵件標示為已讀並刪除。這個信箱後來被用來發送垃圾郵件給數百個外部收件者，直到 Microsoft Entra ID Protection 將這個帳號標示為高風險。

攻擊來源：羅馬尼亞 IP 與 StarkRDP

Huntress 追蹤到攻擊的主要來源 IP 為 193.26.115.221，位於羅馬尼亞，屬於德國主機商 1337 Services GmbH。

根據 VirusTotal 的資料，這個 IP 被用於部署遠端存取木馬 AsyncRAT。同時，這個 IP 與虛擬主機租賃服務 StarkRDP 和 rdp.sh 有關，這些服務允許付費客戶租用虛擬伺服器。

2025 年 1 月，國際執法行動 Operation Talent 查封了 StarkRDP 和 rdp.sh 的網域，以及 Nulled、Cracked、Sellix 等網站。但截至報導發布，這兩個平台已經恢復運作，StarkRDP 改名為 exy.sh。

Token 來源：多種竊取手法

Huntress 指出，攻擊者竊取 token 的來源包括：

1. AitM 釣魚頁面：如前述，夾在受害者與真正的 Microsoft 登入頁面之間
2. Device-code phishing：濫用 Microsoft 的 device-code flow，讓受害者在自己的裝置上授權攻擊者的裝置
3. 社交工程：在受害者真正的登入過程中進行社交工程攻擊

如何偵測與防禦

Huntress 提供了一系列偵測與防禦建議，特別強調 Conditional Access Policy（條件式存取原則） 的重要性。

偵測入侵跡象

1. 檢視 Entra ID 登入紀錄：尋找來自陌生 IP 或裝置的登入
2. 稽核 Entra 裝置清單：尋找未經授權註冊的裝置
3. 檢視使用者的 MFA 方法：尋找未經授權新增的驗證器 app
4. 檢查信箱規則：特別注意隱藏名稱（如 .、ss、iT）的規則
5. 檢視企業應用程式（Enterprise Applications）：尋找未經授權新增的應用程式

事件回應

如果懷疑帳號遭到 token 重放攻擊入侵：

1. 撤銷所有 session 並重設密碼
2. 稽核 Entra 裝置清單，移除偽裝裝置
3. 檢視 MFA 方法，移除未經授權的驗證器
4. 刪除可疑的信箱規則
5. 檢視企業應用程式清單，移除未經授權的應用程式

長期防禦：部署 Conditional Access Policy

Huntress 強調，MFA 無法完全防禦 token 重放攻擊，因為攻擊者竊取的是「已經完成 MFA」的 token。真正能填補這個缺口的是 Conditional Access Policy（CAP）。

建議的 CAP 設定：

• 適用範圍：所有使用者（All Users）
• 適用 app：所有雲端 app（All Cloud Apps）
• 適用用戶端：所有用戶端類型（All Client App types）
• 要求：無條件要求 MFA（或直接封鎖）

同時，應限制 device-code flow（裝置代碼流程），只允許信任的應用程式使用這個功能。

你可以學到什麼

站在攻擊者的角度：MFA 不再是終點，而是他需要繞過的其中一道關卡。透過 AitM 釣魚頁面，他可以同時竊取密碼、MFA 代碼和最關鍵的 token。有了 token，他不需要再驗證 MFA，可以直接登入。登入後，他註冊自己的驗證器 app 和偽裝裝置，設定隱藏郵件規則，確保受害者察覺不到帳號被接管。整個過程在幾小時內完成，受害者可能數週甚至數月後才發現。

如果你管理 Microsoft 365

1. 立即部署 Conditional Access Policy：要求所有使用者、所有 app、所有用戶端類型都必須 MFA，並考慮限制只允許公司 IP 或受管理裝置登入。
2. 稽核 Entra 裝置與 MFA 方法：移除任何未經授權註冊的裝置或驗證器 app。
3. 監控登入紀錄：特別注意來自陌生 IP（如 193.26.115.0/24）或陌生國家的登入。
4. 檢查所有使用者的信箱規則：尋找隱藏名稱或可疑動作的規則。
5. 限制 device-code flow：只允許信任的應用程式使用這個功能。
6. 教育使用者識別釣魚：即使有 MFA，仍需警惕釣魚郵件與可疑登入頁面。

Token 重放攻擊證明：MFA 不是終點，而是起點。你需要更多層次的防禦。