Storm‑2949：黑客如何利用密碼重設流程攻入 Microsoft 365 同 Azure

Storm‑2949 攻擊係點開始

Microsoft Threat Intelligence 將 Storm‑2949 描述為一個「有系統、複雜、多層次」的攻擊行動，主要目標係盡可能從企業的高價值雲端資產中竊取資料。

同傳統入侵唔同，攻擊者幾乎完全冇用惡意軟件。相反，佢哋專注於：

• 盜用用戶身份
• 濫用 Microsoft 365 同 Azure 既合法功能
• 利用正常管理流程取得更多權限

一旦取得帳戶控制權（特別係高權限帳戶），黑客就可以用合法管理工具喺整個雲端環境橫向擴散。

因為所有操作都似正常管理行為，所以好多傳統安全工具未必即時察覺。

攻擊關鍵：自助密碼重設（SSPR）

Storm‑2949 攻擊鏈中最重要一步係濫用 Microsoft Entra 的 Self‑Service Password Reset（SSPR）系統。

SSPR 原本係方便用戶自己重設密碼，唔需要聯絡 IT 支援。但攻擊者利用社交工程操控呢個流程。

典型攻擊步驟包括：

• 黑客假扮公司 IT 或安全部門
• 打電話或聯絡目標員工
• 要求對方批准「系統驗證」通知

受害者見到的其實係 密碼重設流程觸發的 MFA 驗證提示。

當受害者批准之後，攻擊者就可以繼續完成密碼重設。

之後黑客通常會：

• 重設帳戶密碼
• 移除原本用戶的驗證方式
• 登記自己嘅驗證裝置（例如 Microsoft Authenticator）

結果就係：

• 真正用戶被鎖出帳戶
• 攻擊者取得持久 MFA 保護的登入權限

點樣變成整個雲端入侵

控制帳戶之後，Storm‑2949 就開始喺企業雲端環境內橫向移動。

因為攻擊目標通常係 IT 人員或高層管理層帳戶，權限本身已經非常高。

黑客可以存取多個重要服務，例如：

• Microsoft 365：SharePoint、OneDrive 文件
• Azure 生產環境
• 雲端儲存帳戶
• SQL 資料庫
• Azure Key Vault 中的機密金鑰與憑證

呢個事件再次證明一個雲端安全現實：

身份其實就係整個雲端系統的控制平面。

只要一個高權限身份被攻破，攻擊者未必需要任何漏洞，就可能控制大量服務。

點解 Microsoft 要淘汰 SMS 驗證

Storm‑2949 類型的攻擊亦促使 Microsoft 加快轉向更安全的身份驗證方式。

Microsoft 已宣布將 逐步停止在個人 Microsoft 帳戶使用 SMS 驗證碼。

原因係 SMS 驗證存在多個安全弱點，例如：

• SIM‑swap 攻擊：騙取電訊商將電話號碼轉到攻擊者 SIM 卡
• 訊息攔截：短訊在電訊網絡中可能被截取
• 釣魚或社交工程：誘導用戶交出驗證碼

由於 SMS 驗證碼可以被遠端竊取或轉發，所以被視為較容易被釣魚的驗證方式。

Microsoft 未來會主力推廣：

• Passkeys
• Authenticator App
• 驗證過的備用電郵

呢啲方法通常依賴裝置內的加密憑證或安全驗證流程，安全性更高。

Microsoft 建議企業採取的安全措施

Storm‑2949 顯示，單靠傳統防毒或防火牆已經不足夠。企業需要強化身份安全。

1. 使用抗釣魚 MFA

企業應優先採用 phishing‑resistant MFA，例如 passkeys 或硬件安全金鑰，減少被社交工程誘導批准登入的風險。

2. 落實最小權限（Least Privilege）

透過角色型權限控制（RBAC），確保用戶只擁有所需權限。

咁就算一個帳戶被攻破，影響範圍亦會大幅減少。

3. 把密碼重設流程當作高風險入口

SSPR 等帳戶復原機制，如果缺乏監控，可能成為攻擊入口。

尤其係管理員或高權限帳戶，應有更嚴格的控制。

4. 加強雲端活動監控

企業應記錄並監控以下活動：

• 身份驗證與登入事件
• 密碼重設操作
• Microsoft 365 文件存取
• Azure 管理操作

及早發現可疑管理行為，有助安全團隊快速阻止攻擊。

一個更大的安全訊號

Storm‑2949 顯示現代網絡攻擊正在轉型。

攻擊者唔再只係利用漏洞或惡意程式，而係直接針對 身份系統、MFA 流程同帳戶復原機制。

喺雲端架構下，一個被攻破的身份，尤其係高權限帳戶，就足以成為進入整個企業雲端生態的入口。

因此，強化身份驗證、限制權限，以及持續監控身份活動，已經成為雲端安全最重要的防線之一。