駭客組織 ShinyHunters 濫用微軟 Entra 裝置授權流程發動網釣攻擊

ShinyHunters 是以資料竊取與勒索聞名的駭客組織，此次鎖定微軟 Entra 企業帳號，透過語音網釣誘導受害者完成 OAuth 2.0 裝置授權。攻擊者可藉此繞過多因素驗證，取得雲端服務的長期存取權，對科技、製造及金融機構構成風險。

最新攻擊活動將微軟 Entra 裝置驗證碼與語音網釣結合，由假冒支援人員的駭客引導員工輸入驗證碼，進而接管帳號與存取企業資料。相關報導指出已有超過 100 家企業遭鎖定，但目前未揭露確切受害機構、損失金額及攻擊發生日期。