騙徒點樣令微軟自己幫佢哋寄釣魚電郵？

攻擊是怎樣運作的

安全公司在分析後發現，這類攻擊通常利用 Microsoft Entra ID（以前叫 Azure Active Directory） 的租戶設定與通知機制。

整個流程大致如下：

1. 建立新的 Microsoft 365 租戶
   攻擊者先註冊一個新的 Microsoft 365 環境，通常使用 onmicrosoft.com 的臨時網域。這樣他們就能取得租戶管理權限。

2. 修改租戶品牌資訊
   在 Microsoft Entra ID 裡，每個租戶都可以自訂品牌資料，例如組織名稱。研究人員發現攻擊者會把詐騙訊息直接寫進這些欄位，例如：假購買通知或「請立即致電客服」等字句。

3. 觸發系統通知流程
   接著攻擊者在租戶內啟動某些合法流程，例如新增登入或帳戶復原電郵。他們輸入的不是自己的電郵，而是受害者的電郵地址。

4. 微軟系統自動寄信
   當這些操作被觸發時，Microsoft 的通知系統會自動向該電郵地址發送官方通知。由於郵件模板會顯示租戶名稱或品牌資料，攻擊者放入的詐騙文字就會出現在郵件內容中。

換句話說，釣魚內容被「插入」到真正的 Microsoft 通知電郵模板裡。

攻擊者使用的混淆技巧

研究人員亦觀察到幾種常見手法，用來增加可信度並避開垃圾郵件過濾：

• 主旨劫持：把長段詐騙文字放入品牌欄位，令郵件主旨或預覽文字看起來像緊急通知。
• 字符替換：利用相似字母或特殊字符（homoglyph）避開關鍵字檢測。
• 電話號碼混淆：把數字改成字母或特殊符號，令垃圾郵件過濾器較難識別。

為什麼這些電郵看起來特別真

最大問題在於，這些郵件並不是普通的「偽造寄件人」。

因為郵件是由微軟官方系統寄出，它們通常能通過 SPF、DKIM、DMARC 等電郵驗證機制，而很多企業郵件系統正是依靠這些檢查來判斷郵件可信度。

再加上收件人看到熟悉的 Microsoft 通知地址，自然更容易相信郵件內容。

研究人員與反垃圾郵件組織發現了什麼

多個調查指出這類濫用情況已持續數月。

報告中提到：

• 多個不同郵箱都收到由該 Microsoft 通知地址發出的釣魚電郵。
• 常見主題包括假購買通知、帳單問題或緊急技術支援。
• 攻擊者會大量建立一次性 Microsoft 365 租戶，用完就棄，形成所謂「burn‑and‑churn」模式。

反垃圾郵件研究人員批評，部分自動通知系統允許的自訂內容過多，令可信平台本身被利用成為釣魚訊息的傳送渠道。

值得注意的是，在相關報導發表時，微軟尚未公開確認確切的技術根本原因。

如何分辨可疑的 Microsoft 電郵

因為寄件地址可能是真的，所以只看「From」欄已經不足夠。

如果出現以下情況，應提高警覺：

• 突然收到未曾操作的購買或交易警告
• 電郵要求你 立即致電某個支援電話
• 要求點擊連結處理帳單或安全問題
• 收到你沒有要求的驗證碼

收到可疑郵件時應該怎樣做

如果你收到看似來自 Microsoft 的可疑通知：

• 不要點擊郵件內的連結或致電任何電話號碼
• 自己在瀏覽器輸入官方網站登入 Microsoft 帳戶
• 在帳戶儀表板檢查登入紀錄與活動
• 在郵件系統中將該郵件標記為釣魚或垃圾郵件
• 如果曾經點擊連結或回應，立即更改密碼並檢查帳戶安全設定

這個案例反映了一個新趨勢：攻擊者越來越多利用可信平台本身的基礎設施發動攻擊。當釣魚郵件是由真正服務寄出時，傳統的「信任標誌」已不足以保證安全。