答案已發布2 個月前Last edited 上個月12 個來源

Storm‑2949：一個帳號被攻破，如何引爆整個 Microsoft 365 與 Azure 雲端環境

微軟揭露 Storm‑2949 攻擊：駭客只利用一個被入侵的帳號，透過 Microsoft Graph API 探查租戶並濫用 SSPR，最終擴大到整個 Azure 與 Microsoft 365 環境。[1][4] 攻擊者以自動化腳本枚舉使用者與應用程式，尋找高權限身分，並透過 Azure RBAC 提升權限後存取 App Services、Key Vault、SQL 資料庫與虛擬機。[1][4] 微軟建議企業強化身分安全，包括審查 SSPR 設定、強制 MFA、監控 Graph API 活動與審核 RBAC 權限，以防止類似的身分導向雲端攻擊。[4]

使用 Studio Global AI 搜尋並查證事實瀏覽更多熱門頁面

Illustration of a cloud security breach where a compromised identity spreads across Microsoft 365 and Azure services — What did Microsoft reveal about how Storm-2949 used a compromised identity and the Self-Service Password Reset process to breach Microsoft 3Storm‑2949 used identity compromise and legitimate cloud management tools to move through Microsoft 365 and Azure environments.
AI 提示詞
Create a landscape editorial hero image for this Studio Global article: What did Microsoft reveal about how Storm-2949 used a compromised identity and the Self-Service Password Reset process to breach Microsoft 3. Article summary: Microsoft described Storm-2949 as an identity-based cloud intrusion that did not rely on malware; the actor used a compromised account, abused Self-Service Password Reset, then expanded access across Microsoft 365 and Az. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "Hackers Exploit Entra ID Accounts to Steal Microsoft 365, Azure Data. Hackers Abuse Microsoft Entra ID Accounts to Exfiltrate Microsoft 365 and Azure Data. A highly sophisticated c" source context "Hackers Exploit Entra ID Accounts to Steal Microsoft 365, Azure Data" Reference image 2: visual subject "Microsoft S
openai.com

微軟近日揭露代號 Storm‑2949 的雲端入侵行動，其最大特徵是：整個攻擊幾乎沒有使用惡意程式。攻擊者只需控制一個帳號，就能利用 Microsoft 365 與 Azure 內建的合法功能，在雲端環境中橫向擴散、升權並竊取資料。

這起事件再次顯示，現代雲端攻擊的重點已從漏洞利用與惡意軟體，轉向 身分系統（Identity）與權限管理。

從單一帳號入侵開始

根據微軟威脅情報分析，攻擊的第一步是 取得一個使用者帳號的控制權。取得登入後，攻擊者立即開始對組織的 Microsoft Entra ID 租戶進行探索，以找出更多高價值目標。

攻擊者透過 Microsoft Graph API 進行大規模目錄查詢。這個 API 是微軟官方提供的管理介面，可用來存取 Microsoft 365 與 Azure 中的使用者、群組、應用程式與角色資料。

微軟觀察到攻擊者使用 自製 Python 腳本自動發送 Graph API 查詢，快速枚舉租戶中的使用者與應用程式，並依據帳號名稱或角色屬性，篩選可能具有高權限的身分。

透過這些資訊，攻擊者可以繪製出整個組織的雲端身分架構，並找出可能的升權路徑。

濫用 Self‑Service Password Reset（SSPR）維持存取

在取得初始帳號後，攻擊者還濫用了 Self‑Service Password Reset（SSPR） 機制。

SSPR 是 Microsoft Entra ID 提供的帳號復原功能，原本用來讓使用者在忘記密碼時自行重設。但在此事件中，攻擊者利用帳號復原流程，讓原本的入侵。

Studio Global AI

Search, cite, and publish your own answer

Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.

使用 Studio Global AI 搜尋並查證事實

大家也會問