近几年，各家科技公司不断在倡导用户开启多因素验证提高个人帐号的安全性，不过多因素帐号只是提高了侵入难度，并不代表它是个可以让你百毒不侵的铁布衫。近日，微软披露了全球性的大规模网路钓鱼攻击， 即便启用了多因素身份认证保护措施，该钓鱼活动依然可以劫持用户帐户。

微软披露大规模钓鱼活动，即使启用多因素验证仍可能受害

多因素验证又称为双重身分验证、MFA 或是 2FA，是目前主流的帐户安全标准，除了传统的密码外，还要求用户以自己拥有或控制的东西，例如实体安全密钥、指纹、脸部辨识或视网膜扫描等形式来辅助验证身分。MFA 技术的广泛使用为帐户安全多添了一个门槛，提高了骇客侵入用户帐号的难度，不过现在攻击者已经找到方法进行反击。

微软观察到一个活动，发现从去年 9 月以来这项活动就已经针对超过 10,000 个组织发起攻击，透过访问受害者电子邮件帐号诱骗员工向骇客汇款。这项活动在帐户用户与尝试登入的工作伺服器间插入一个由攻击者控制的代理网站，当使用者向代理网站输入密码时，代理网站会先将它发送到真实伺服器－然後将伺服器的回应转发回给用户。待身份验证完成後，攻击者会窃取合法网站对话 Cookie，因此用户无须在访问每一个新网页时重新验证身份。而这一切活动的从一封带有指向代理伺服器 HTML 附件的网路钓鱼邮件开始。

▲带有 HTML 档附件的网路钓鱼电子邮件范例

在微软的一篇官方部落格文章中，Microsoft 365 Defender 研究团队的成员和微软威胁情报中心提到，根据观察在首次登入钓鱼网站的被盗帐户後，攻击者使用被盗的对话 Cookie 对 Outlook online 进行身份验证。在多种情况下，Cookie 都具备有 MFA 声明，这代表即使组织采行 MFA 策略，攻击者也会利用对话 Cookie 代替受感染的帐户获取访问许可权限。

▲ AiTM网路钓鱼网站拦截身份验证过程。

在 Cookie 被盗後的几天内，威胁行为者访问员工的电子邮件帐户并寻找用於商业电子邮件泄露诈骗的讯息，这会欺骗目标将大笔资金汇入他们认为属於同事或是业务合作夥伴的帐户。 攻击者冒用这些电子邮件和被骇员工的身份来说服对方付款。为了防止被骇员工发现，威胁者建立了收件匣规则，自动将特定邮件转移到封存资料夹中并将其标注为已读，且在接下来数日里，攻击者会定期登入以检查他们所建立的邮件规则是否正常运作。…

生在网路的快节奏时代，我们接收讯息的主要来源已经从报章纸本与电视转移到各种网路平台，品牌、店家也以网路作为自家产品行销的主要管道。想要建立网路上的数位广告看起来好像有点门槛，不过现在最新消息指出微软正在开发一款 Windows 11 新应用「Designer」，让你制作各种数位宣传广告零门槛。

微软意外泄露 Windows 11 新应用「Designer」，让你制作各种数位宣传广告更轻松

国外媒体 Windows Latest 最新消息指出，微软正在开发一款以 Microsoft Edge 为基础的 Windows 11 应用程式「Designer」，整体看起来似乎是一个类似於 Canva 的新服务，Canva 是一个用於建立社交媒体影像、简报文档、海报等图形设计的服务平台。微软旗下的 PowerPoint 是企业与学生建立任何主题简报文件的强大工具，Canva 也提供同样的功能，但整体上对使用者更友善，任何人就算没有基础也可以轻松使用服务，这一切都要归功於内建的丰富范本以及字型选择等。虽然 PowerPoint 专注於简报，但 Canva 可提供更复杂的设计，其介面针对拖曳进行了最佳化，因此 Canva 的上手速度更快同时还是免费服务，因此你可以更快地启动和运行 Instagram，Facebook 等的简报文件或广告。

Windows 11 的新应用程式「Designer」并不是用来取代电脑系统或网路版 PowerPoint，相反地，Designer 主旨在帮助学生和小企业主轻松制作自己的广告、促销或行销内容、简报文件和其他所需的视觉素材。Designer 似乎是一个类似 Canva 的网路应用程式，可以作为一体化解决方案进行推广，以满足对专业图形设计、精美幻灯片、Facebook …