Microsoft 365 權杖重播攻擊：79 家組織遭入侵，重設密碼仍不夠
原始來源： Huntress · 2026/10/22
Huntress 於 10/22 揭露一波 Microsoft 365 權杖重播攻擊，觀測期間為 7/14 至 9/22：79 家組織至少出現 497 次成功登入，以及超過 20 萬次失敗嘗試。攻擊者重播竊來的登入權杖即可繞過 MFA；只重設密碼不夠，還要撤銷工作階段、移除陌生裝置與驗證方式，並檢查郵件規則。
重點先看
M365 權杖重播可繞過 MFA：Huntress 在 79 家組織觀測到至少 497 次成功登入。處置時須撤銷工作階段、重設密碼、移除陌生裝置與 MFA 方法，並檢查郵件規則。
發生了什麼
資安業者 Huntress 於 2026/10/22 公布調查：2026/7/14 至 9/22 期間，攻擊者對 Microsoft 365 發動權杖重播攻擊（token replay），並以大量重播稱為權杖噴灑（token spraying）。 在 79 家受影響組織中，至少觀測到 497 次成功登入，以及超過 20 萬次失敗登入嘗試。重播流量主要來自德國託管商 1337 Services GmbH（AS210558）的 193.26.115.0/24 網段。 iThome 於 10/27 亦報導此事，指出攻擊者成功登入後，可能進一步用於商業電子郵件詐騙（BEC）。
攻擊手法
攻擊者不靠猜密碼。權杖來源包含：中間人（AiTM）釣魚轉送、裝置代碼釣魚（device-code phishing），以及登入過程中的社交工程。受害者完成登入與 MFA 後，攻擊者取得已通過驗證的工作階段權杖，再從自己的主機重播。 因為權杖是在 MFA 之後核發，持有者通常不必再通過 MFA。Huntress 亦記錄到，從 AiTM 擷取到重播之間最短可在數分鐘內完成。
入侵後做了什麼
成功登入後，攻擊者會建立持久存取：在受害組織的 Microsoft Entra ID 註冊至少 48 台由自己控制的裝置（常見名稱型態為 DESKTOP- 加上八位十六進位字元）；在部分組織於首次登入後三小時內清除並更換 MFA 驗證方式；並設定郵件規則，把特定聯絡人或關鍵字郵件移到其他資料夾或標為已讀，以隱藏後續動作。 Huntress 至少發現一例，攻擊者利用遭入侵帳號寄出與薪資付款相關的郵件，顯示可能延伸為 BEC。部分組織的條件式存取政策有攔阻登入，但其他組織仍出現成功登入，因此不能只看被阻擋次數來判斷受害程度。
建議立即處置
若懷疑帳號遭權杖重播入侵，請依序處理： 1. 撤銷該使用者的所有有效工作階段，並重設密碼。只重設密碼不足以讓存取權杖立即失效，也無法移除攻擊者註冊的裝置與 MFA 方法。 2. 稽核 Entra 裝置清單，排查名稱異常或從託管／VPN IP 註冊的裝置，確認後再刪除。 3. 檢查 MFA 驗證方式，移除使用者不認得的驗證器；注意短時間內被清空再重新註冊的跡象。 4. 檢查郵件規則，尤其是名稱極短或僅有標點、會把郵件移到 RSS 或 Conversation History，或以薪資、匯款等關鍵字觸發的規則。 5. 強化條件式存取：對所有使用者、雲端應用與用戶端類型要求 MFA 或封鎖；並限制裝置代碼流程。 6. 條件式存取封鎖（例如 AADSTS53003）代表驗證已成功、被原則擋下，仍應視為有效憑證曾被濫用的訊號，優先排查憑證是否有效，而不是只看失敗次數。
為什麼重要
傳統「已啟用 MFA」的假設，擋不住已通過 MFA 的工作階段被重播。企業若只重設密碼、不做工作階段撤銷與裝置／MFA／郵件規則清查，攻擊者可能繼續存取信箱與雲端資源。 對台灣使用 Microsoft 365 與 Entra ID 的組織，應把條件式存取、雲端存取控管與受管偵測應變納入日常防禦。相關控管可搭配 Netskope One 檢視雲端存取與資料外流，並由 DevaEye MDR 持續監看登入異常與入侵後行為。
常見問題
什麼是 Microsoft 365 權杖重播攻擊？
攻擊者取得使用者已通過 MFA 的登入權杖後，在自己的主機重播該權杖登入 Microsoft 365，通常不必再輸入密碼或完成 MFA。Huntress 將大量重播稱為權杖噴灑。
這波攻擊影響多大？
Huntress 統計 2026/7/14 至 9/22，在 79 家組織至少出現 497 次成功登入，以及超過 20 萬次失敗嘗試；並觀測到至少 48 台遭註冊的異常 Entra 裝置。
為什麼只重設密碼不夠？
密碼重設不會自動移除攻擊者註冊的裝置與 MFA 驗證方式，也不一定立即讓存取權杖失效。還必須撤銷工作階段，並清查裝置、驗證方式與郵件規則。
條件式存取擋下登入就代表安全嗎？
不一定。條件式存取封鎖代表驗證可能已成功、再被原則擋下。Huntress 提醒不要只依被擋次數判斷受害程度，仍應檢查是否有有效權杖曾被濫用。