有一种新的微软登录诈骗正在猖獗——但它与您的密码无关

大多数网络诈骗仍然围绕一个目标：窃取你的密码。我们被训练去留意假登录页面、可疑链接以及要求我们“验证”账户凭证的紧急电子邮件。

但新一波的微软账户攻击方式不同。受害者在微软的真实网站上登录，使用真实的安全检查，甚至成功完成多因素认证——然而攻击者仍然能够获得访问权限。

这种技术，被称为设备代码网络钓鱼，根本不会窃取你的密码。相反，它通过诱使你自己授予访问权限来实现，完全使用微软自己的身份验证系统按原设计操作。

设备代码登录真的很有用

微软和其他主要科技公司一样，支持一种称为设备授权流程的功能，这在更常见的说法中也被称为设备码登录。但更常见的是，这种情况是指，当你没有看到完整的登录页面时，你会在各个设备上看到一个匹配的登录码，你需要匹配或输入该码以完成登录过程。

它真的很方便，尤其是在那些无法轻松显示完整登录页面的设备上，或者在你连接到限用设备的情况下。例如，你可能在智能电视上或连接酒店房间的电视时遇到过这种情况——两者都是典型的例子。

大多数时候，这个过程是完全安全的，这个过程没有任何危险。但遇到特定漏洞时，情况就完全不同了。

设备代码登录非常有用。然而，它可能被滥用，因为设备登录过程天生假设输入代码的人是发起请求的人。这就是这个过程部分出问题的原因。

如果攻击者知道你的电子邮件地址或其他已知的联系方式，他们可以从自己的设备发起设备登录请求，启动一个唯一的会话。然后，微软（以及其他科技公司）会生成一个与该会话相关联的合法设备代码。

事情在这里变得复杂。攻击者不是试图自己使用它，而是可以将代码直接发送给你，伪装成另一个进程，其中许多会考虑到常见的网络钓鱼手段：

该请求指示您访问一个官方的 Microsoft 登录页面，并输入提供的代码以“保护”或“验证”他们的账户。这时漏洞利用的下一阶段就开始了。您访问的不是假登录页面或精心设计的网络钓鱼门户：它是一个真实的 Microsoft 登录页面，身份验证检查也是真实的。

你像平常一样提供设备代码登录，批准请求，并觉得自己已经保护了账户。但实际上，你实际上已经验证了攻击者，在此过程中将账户的钥匙交了出去。

在整个过程中，你的密码从未被暴露，但你却直接交出了你的账户。

设备代码登录诈骗的最大问题在于它绕过了大多数传统的网络钓鱼诈骗手法。网络钓鱼通常涉及克隆的登录页面、相似的登录页面，或拦截凭证的系统。

然而，设备代码登录钓鱼骗局跳过了所有这些步骤，使一切看起来合法合理。实际上，它甚至不仅仅是看起来“合理”——它确实是合理的，因为你正在与微软的身份验证过程进行互动。整个骗局之所以能行得通，是因为所有流程都按应有的方式运行；只是稍微被反向用了罢了。

身份验证完成后，微软会发放所谓的访问令牌，它的作用类似于已验证登录的临时凭证。从功能上讲，系统假设持有人已经证明了其身份，因此允许访问而无需重复输入凭据。

那么，攻击者能获得什么，实际上取决于被攻击的账户。例如，如果你的 Outlook 账户成为目标，攻击者可能会获取你的电子邮件，进而访问与该地址关联的其他服务（通过重置密码、访问双重身份验证代码等）。

但如果你的 Teams 登录被针对，攻击者可能最终进入你公司的 Teams 账户，并访问其中的数据。

最终，防御代码设备登录攻击的最佳方法是努力真正理解设备登录的实际工作方式。即使是对设备登录流程的基础理解，也能保护你免受这种钓鱼攻击。

简而言之，设备登录代码只会在您自己在另一台设备上发起登录时出现。微软不会随机向您发送代码来保护您的账户，就像它永远不会发消息要求您提供密码、确认双重认证代码等一样。

请记住，这不仅仅是微软。无论是科技公司还是其他公司，都不应该向你索要这些信息。这是私人信息，只属于你自己。

在大多数情况下，您可以遵循识别网络钓鱼诈骗的常见安全规则：

请记住，认证代码是权限，而不是验证步骤。如果你没有启动这个过程，那么是别人启动的。