「裝置碼」釣魚攻擊成新興威脅，企業與組織成主要目標

近期微軟資安研究團隊與資安廠商觀察指出，攻擊者正大量利用名為「EvilTokens」的新興網路釣魚服務平台（PhaaS），結合人工智慧與自動化工具，針對企業與組織發動「裝置碼(Device Code)」釣魚攻擊。駭客透過社交工程手段，誘騙使用者於官方合法頁面完成授權程序，藉此成功繞過多因子驗證(MFA)並接管帳號，進而竊取內部敏感資料。資安專家特別指出，由於微軟Azure與Google兩大雲端平台在OAuth 2.0裝置碼機制的權限實作上存在差異，微軟環境面臨更為嚴重威脅。 國家資通安全研究院日前亦發布資安提醒指出，攻擊者正濫用「裝置碼」登入機制發動釣魚攻擊。「裝置碼」登入機制原本是為了智慧電視、物聯網（IoT）等不便輸入帳號密碼的設備所設計的驗證流程。然而，此項便利功能現已成為駭客濫用的目標。 圖1：裝置程式碼釣魚登入頁面範例。資料來源：proofpoint 攻擊者通常會發送客製化的社交工程郵件，如假冒企業內部設備管理人員，聲稱會議室的智慧電視連線失效，要求受害者協助掃描或輸入驗證碼進行驗證。當受害者被引導至真實的微軟官方裝置登入頁面，並輸入由駭客端動態生成的裝置碼並完成多因子驗證後，實際上等同於替攻擊者的登入請求完成認證，由於整個驗證流程與輸入網址皆為微軟官方真實服務。在傳統資安宣導中「檢查網址是否偽造」的防範方式對此攻擊完全無效，導致受害者極易降低戒心而受害。 一旦攻擊成功…

在 TWCERT/CC 資安新聞 阅读

2026/05/29 11:05，TWCERT/CC 資安新聞 发布了“「裝置碼」釣魚攻擊成新興威脅，企業與組織成主要目標”（类型：安全新闻）。相关技术：Microsoft Azure。