微軟揭露「ASCII 走私」技術遭轉用於百萬級釣魚攻擊

OAuth 是網站與雲端服務常用的授權標準，使用者登入後會依預設網址重新導向，讓第三方應用程式取得有限權限。微軟資安團隊指出，攻擊者正利用此流程的驗證落差，誘使受害者進入偽造頁面，對仰賴集中式身分驗證的政府與公共部門尤其重要。

最新攻擊手法會刻意在 OAuth 請求中加入無效參數，藉重新導向邏輯把使用者帶往惡意網站，再透過 EvilProxy 中間人框架攔截登入憑證與 Session Cookie，甚至散布惡意程式。微軟目前未公布受害機構數量、損失金額或確切發現日期，但已示警相關單位加強重新導向網址驗證與工作階段防護。