微軟340家企業遭OAuth截胡：改密碼也救不了賬號

2026年2月19日，Huntress安全團隊監控面板上突然炸開一片紅點——一種他們追蹤過多次的攻擊手法，正以3倍于往年的速度蔓延。5天內，美國、加拿大、澳大利亞、新西蘭、德國五國超過340家組織的Microsoft 365賬號被卷入同一張網。

這場戰役的特殊之處不在于規模，而在于攻擊者把微軟自己的"后門"變成了前門鑰匙。他們利用的是OAuth設備授權流程（OAuth Device Authorization Flow），一種本為方便智能電視、打印機登錄而設計的協議。用戶以為自己在正常登錄，實則把賬號的永久訪問權拱手讓人。

攻擊鏈：從一封郵件到Railway.com的收割流水線

釣魚郵件的開場白五花八門：建筑招標通知、DocuSign待簽文件、語音留言提醒、微軟表單問卷。Huntress發現，這些誘餌共享同一個歸宿——Cloudflare Workers跳轉層，最終落地在Railway.com的三臺服務器上。

這三臺IP地址包攬了84%的攻擊流量。 Railway是一家PaaS（平臺即服務）廠商，攻擊者租用它來托管釣魚頁面，成本極低且部署飛快。

郵件里的鏈接經過精心偽裝，嵌在Cisco、Trend Micro、Mimecast等安全廠商的合法重定向服務后面。用戶看到的域名是熟悉的，點擊后卻一步步滑向陷阱。

設備授權流程的漏洞在于：攻擊者先用cURL向微軟設備代碼登錄API發起請求，拿到一個8字符的用戶碼和一個設備碼。然后誘導受害者在微軟官方頁面輸入這個用戶碼——頁面是真的，域名是login.microsoftonline.com，SSL證書也沒問題。

用戶完成身份驗證后，令牌生成在微軟的OAuth令牌API端點。攻擊者憑當初那串設備碼，就能取走這些令牌。整個過程，微軟的基礎設施全程背書。

Huntress的分析師形容："用戶碼就像一把公共儲物柜的鑰匙。你把它交給別人，對方去正規柜臺存了東西，但取貨憑據卻留在攻擊者手里。"

為什么改密碼沒用：令牌的"免死金牌"

傳統釣魚偷的是密碼，設備代碼釣魚偷的是令牌。這是兩種完全不同的資產。

OAuth令牌一旦簽發，就與用戶密碼解耦。微軟的文檔明確寫道：設備授權流程"不依賴用戶輸入的憑據"。這意味著即便受害者第二天發現異常、緊急重置密碼，攻擊者手里的令牌依然有效，直到顯式吊銷或自然過期。

更棘手的是，這些令牌通常附帶離線訪問權限（offline_access scope）。攻擊者可以靜默刷新，長期潛伏，甚至繞過多因素認證（MFA）——因為MFA已經在最初的設備授權步驟中完成過了。

2025年2月，微軟與Volexity首次公開披露這種技術。隨后Amazon Threat Intelligence、Proofpoint相繼跟進。被歸因的攻擊者名單越來越長：Storm-2372、APT29、UTA0304、UTA0307、UNK_AcademicFlare，清一色與俄羅斯情報體系有關聯。

一年過去，技術門檻被徹底拉平。Huntress看到的這次Campaign，不再局限于國家級APT，而是呈現出工具化、規模化的特征。建筑、非營利組織、房地產、制造、金融、醫療、法律、政府——行業分布之廣，說明攻擊者在使用自動化工具批量撒網。

防御困局：當"正常"成為最好的偽裝

安全團隊面臨的核心難題是：這場攻擊的流量特征幾乎與正常業務無異。

用戶訪問的是微軟官方域名。認證流程符合RFC 8628標準。重定向經過Cloudflare，IP歸屬Railway——兩者都是合法云服務。傳統的URL黑名單、域名信譽評分、沙箱檢測，在這一層全部失效。

Huntress建議的檢測方向轉向行為異常：監控設備代碼登錄API的調用模式，識別短時間內大量生成用戶碼的源IP；審計OAuth授權記錄，標記來自Railway等PaaS平臺的令牌獲取請求；強制實施條件訪問策略，限制高風險會話的權限范圍。

但這些措施對中小組織而言配置成本不低。更現實的困境是：設備授權流程本身是一項生產需求，很多企業確實在用。一刀切禁用，會打斷自動化腳本、IoT設備、遠程辦公場景的正常工作流。

微軟并非沒有動作。2025年披露后，他們逐步收緊了設備代碼流程的默認策略，要求管理員顯式啟用，并支持更細粒度的令牌生命周期管理。但攻擊者顯然找到了繞過或利用遺留配置的縫隙。

340家組織的數據背后，還有未被統計的沉默多數。Huntress的監控范圍有限，實際受害面可能更廣。德國某制造業企業的IT負責人向Huntress反饋，他們在攻擊發生72小時后才從異常郵箱規則中察覺到入侵——彼時攻擊者已讀取了三個月的郵件存檔。