吳明宜資安廠商警告微軟 Microsoft 365 客戶，本月稍早微軟帳號金鑰失竊，導致被駭入的不只有 Exchange Online 及 Outlook.com，還有更多的系統。
兩周前，微軟公告微軟帳號 (Microsoft Account, MSA) 簽入金鑰被一個代號為 Storm-0558 的中國駭客組織竊取、假造登入憑證而不法存取 Microsoft 365 (M365) 系統，包括 Exchange Online 、 Outlook.com 、 Azure Active Directory (AD) 等，受害者包括美國政府單位。
不過安全廠商 Wiz 研究人員 Shir Tamari 說，經過研究，他們相信這次事件影響範圍比微軟公佈的要大得多。他們認為 MSA 金鑰能存取多個應用程式，包括所有支援 Azure AD 驗證的應用程式，如 SharePoint 、 Teams 、 OneDrive 等等。他說駭客可能還能存取支援單一簽入 (SSO) 驗證系統「Login with Microsoft」的客戶應用程式，某些情況甚至也能存取多租戶雲端應用。
安全廠商呼籲 Microsoft 365 及其他使用 Azure AD 的用戶應留意可能非法存活動。
駭客是利用 Azure AD 企業簽入金鑰產生假的驗證令牌，以登入 M365 郵件信箱。大約 25 個政府及民間組織信箱遭竊取。微軟說他們已吊銷了外流的驗證金鑰，這讓假造的令牌無法再存取 Azure AD 應用。
不過當受害用戶想調查攻擊行動時，卻因為他們不是花大錢買 E5/G5 授權的大型組織而看不到該有的 log 紀錄。迫於壓力，微軟宣佈開放較低階授權用戶也能免費存取 M365 log 以進行災後調查。但 Tamari 指出，由於欠缺一些關鍵系統的 log，想事後調查假造令牌存取活動還是很困難。
此外，雖然微軟已經撤銷了 MSA 驗證金鑰，使令牌登入失效，但研究人員說駭客在撤銷之前和駭入系統建立的連線會話 (session)，可讓他們取得該應用專有的存取權限，以發出存取金鑰或在該應用中建立後門。他們相信這會更廣泛危及大眾對微軟雲端應用的信任，因為實際影響的範圍難以界定。
研究人員建議微軟客戶應緊急更新 Azure SDK 到最新版本並更新應用快取，以防範駭客使用外流金鑰乘機潛入 Microsoft 365 環境。
來源：SecurityWeek