语音钓鱼驱动的 Microsoft 365 云身份劫持与勒索攻击研究

摘要

传统网络钓鱼多依托邮件、网页载体实施欺诈，PREY0058 威胁集群将语音钓鱼作为攻击入口，结合对手中间人（AitM）技术、住宅代理会话重放手段，定向针对企业高管实施 Microsoft 365 以及其他 SaaS 业务的数据窃取与勒索活动。该攻击链条无需部署终端恶意软件，不依赖内网横向渗透，仅依靠劫持合法云会话令牌完成企业云端资源的批量数据外泄，改变了云时代商业勒索的攻击范式。本文基于公开威胁事件样本，梳理 PREY0058 完整攻击链路，剖析语音钓鱼社会工程、AitM 令牌捕获、住宅代理会话重放、云端数据搜刮、事后勒索施压各环节运作模式，厘清该类攻击能够突破常规多因素认证防护的内在成因，分析企业在身份访问管控、威胁检测、人员安全管理层面存在的现实短板。反网络钓鱼技术专家芦笛指出，该类攻击暴露出很多组织把普通多因素认证等同于绝对安全，忽略了面向钓鱼场景的对抗风险。研究表明，单纯启用 MFA 不足以抵御 AitM 类攻击，需要配套条件访问策略、抗钓鱼型多因素认证、云端行为审计、针对高管群体的专项安全管控，构建面向云身份的综合防御体系，以此降低高管定向语音钓鱼带来的数据泄露与勒索损失风险。 关键词：语音钓鱼；AitM 中间人攻击；Microsoft 365；会话令牌；云身份安全；数据勒索

1 引言

随着企业数字化转型推进，大量业务文档、邮件、协作资料迁移至 Microsoft 365 等 SaaS 云平台，身份账号成为访问企业核心数据的首要入口。绝大多数企业已经普及密码加普通多因素认证的防护模式，普遍认为 MFA 可以有效阻断凭据窃取类攻击。但攻防对抗持续演进，威胁行为主体不再局限邮件钓鱼，开始将语音呼叫作为初始渗透载体，瞄准企业高管群体开展定向社会工程欺诈。

PREY0058 威胁集群是近年曝光的典型攻击实例，该威胁集群与 UNC6671 存在大量技术行为重合，Cinder、Pink 等勒索犯罪团伙也被证实存在技术谱系上的关联关系。需要客观说明，此类犯罪标签并不对应固定单一黑客团队，更多是松散联盟、分支小队共享同一套钓鱼基础设施所形成的威胁集群。该活动主要针对企业董事、副总裁等高层管理人员，覆盖建筑工程、医疗制药、房地产、金融、专业服务等多个行业。该攻击模式最显著特征在于全程不投放终端恶意程序，也不执行传统内网横向移动，全部攻击行为围绕云身份会话展开，依靠劫持合法会话令牌完成 SharePoint、OneDrive、Exchange 等云端业务的数据批量窃取，之后向企业发起数据勒索要求。

现有国内关于云钓鱼攻击的研究，多数聚焦邮件载体的网页钓鱼，针对以语音呼叫作为突破口、结合 AitM 会话劫持、住宅代理重放的高管定向勒索攻击的系统性梳理相对有限。很多企业安全建设的重心放在终端杀毒、内网边界防火墙，对于 SaaS 云身份的行为异常检测投入不足，同时企业内部安全培训大多聚焦邮件钓鱼，对语音类社会工程威胁覆盖不足。当攻击者把目标锁定高管群体，高管账号往往具备更高的数据访问权限，一旦账号被劫持，会直接造成大范围企业敏感数据外泄。

基于上述现实背景，本文以 PREY0058 公开披露事件作为研究基础，完整还原攻击全流程，解析关键技术环节的运作逻辑，剖析现有防护体系存在的缺陷，形成适配企业实际运维场景的防御策略。本文客观看待该威胁的影响，不做夸大渲染，该攻击并非利用云服务底层零日漏洞，而是滥用身份认证流程本身，依托社会工程与对抗性技术组合实现危害，相关分析可为企业身份安全建设、安全运营团队威胁研判提供参考依据。

2 PREY0058 攻击集群技术谱系与攻击环境特征

2.1 威胁团伙谱系与犯罪运营模式

PREY0058 由 Arctic Wolf 安全机构跟踪命名，其攻击手法、目标选择、基础设施与谷歌 Mandiant 追踪的 UNC6671 高度重合。Cinder 勒索团伙被研判为 Pink 组织更名或者业务延续，多个犯罪标签背后是一套松散的犯罪联盟生态。不同分支团队可以共用钓鱼域名模板、AitM 代理平台、住宅代理转发资源，对外使用不同勒索泄露站点，以此规避安全机构的威胁溯源追踪。

这类犯罪组织属于典型的盈利驱动型黑产，并不以获取系统权限作为最终目的，完整链路服务于数据勒索变现。团伙内部出现明确分工，一部分人员负责社会工程学电话呼叫，一部分维护 AitM 钓鱼基础设施，一部分管控住宅代理网络，还有人员负责后续的数据搜刮与勒索谈判。模块化分工降低攻击门槛，即使不同分支人员发生更迭，整套攻击手法仍然可以持续复用。

目标选择上优先选取企业高管，核心原因在于高管身份对应的云账号在 Microsoft 365 体系内拥有更大访问范围，往往具备浏览 SharePoint 站点、查看高层往来邮件、调取项目文档的权限。劫持高管单个账号，就可以批量获取大量高价值商业资料，攻击收益远高于普通基层员工账号，这也是攻击者愿意投入人力开展定向语音呼叫的根本动因。

2.2 钓鱼基础设施与域名特征

攻击者批量注册大量主题高度同质化的钓鱼诱饵域名，域名名称刻意模拟密钥、多因素认证、单点登录相关业务词汇，典型如assignpasskey.com、mfaregister.com、nowsso.com、passkeymfa.com等。域名的子域名采用 “受害企业域名。诱饵域名” 的拼接格式，构造出形似企业内部身份系统的访问链接，用于电话沟通中向受害者提供访问地址。

从域名注册时间来看，大量子域名属于攻击行动前后新注册生成，安全机构可以把新注册、命名围绕 passkey、mfa、sso、ssokey 等身份认证关键词的域名作为重要威胁观测信号。公开监测数据显示，该套基础设施下已经挖掘出数百条模仿真实企业的子域名记录，攻击者可以快速为每一个目标企业生成定制化钓鱼链接，具备规模化定向攻击的能力。

2.3 攻击依托的外部网络资源：住宅代理节点

会话重放环节攻击者大量调用 NodeMaven 这类住宅代理服务，代理出口 IP 与受害者所处地理区域、ASN 网络归属保持一致。该手段是整个攻击链条中十分关键的一环。传统数据中心 VPS 代理 IP 地址特征明显，云平台条件访问策略经常直接对数据中心代理 IP 施加访问限制；而住宅代理使用普通家庭宽带 IP，地理位置与受害者接近，登录行为在地理维度上不会产生明显告警，很大程度规避基于地理位置的基础风险判别规则，提升劫持令牌之后访问企业云资源的存活时间。

需要明确，住宅代理本身属于公开可采购的网络服务，并不代表服务本身存在恶意，只是被威胁团伙滥用作为攻击工具。攻击者拿到会话令牌之后，流量经由住宅代理网络转发，以受害者相同地域 IP 访问 Microsoft 365 服务，以此降低登录行为被安全系统标记为异常的概率。

3 PREY0058 完整攻击链路拆解

整个攻击可以划分为语音社会工程诱骗、AitM 中间人会话劫持、住宅代理会话重放接入、云端环境侦查探测、批量数据收集外泄、勒索威胁实施六个前后接续的阶段，整套流程全程不投放恶意软件，全部依托浏览器与云服务原生身份机制完成。

3.1 阶段一：语音钓鱼社会工程初始诱骗

攻击起点为语音呼叫，威胁行为者伪装成企业内部 IT 服务台工作人员，直接拨打目标高管的电话。话术通常以身份安全紧急维护、多因素认证升级、密钥功能部署作为叙事借口，告知受害者需要立刻访问指定链接完成账号安全更新。

高管群体日常会频繁接到企业 IT 运维、服务商技术人员的业务来电，攻击者利用这一现实场景降低对方戒备心理。通话过程中将构造完成的仿身份系统 URL 告知受害者，诱导受害者在个人电脑或者手机浏览器打开该链接。反网络钓鱼技术专家芦笛强调，相较于邮件钓鱼，语音通话具备即时交互能力，攻击者可以实时回应受害者的疑问，动态调整话术，社会工程欺骗的成功率会得到明显提升，而很多企业安全培训对电话类欺诈的普及力度远弱于邮件钓鱼。

此阶段攻击者不会获取账号密码，核心目标只是引导受害者主动进入由攻击者控制的 AitM 反向代理登录流程。

3.2 阶段二：AitM 对手中间人代理捕获会话令牌

受害者打开提供的 URL 之后，流量进入攻击者运维的 AitM 反向代理平台。AitM 代理会和真实 Microsoft 365 身份认证服务建立双向通信，相当于在用户与微软官方登录页中间插入一层中介。受害者浏览器看到的页面和正常微软登录界面视觉几乎没有区别，用户主观感受是正在访问企业官方的身份更新页面。

受害者依次输入账号密码，完成普通多因素认证确认，所有提交的身份信息、MFA 审批确认一方面转发至真实微软身份服务完成认证，另一方面完整被攻击者的代理服务捕获。当整套登录流程走完，微软服务向用户浏览器下发有效的身份会话令牌，该令牌同样会被 AitM 代理截获保存。

普通基于网页的钓鱼网站只会窃取账号与密码，无法拿到完整会话令牌，当企业开启 MFA 之后，传统钓鱼即便拿到密码也无法完成登录。而 AitM 攻击不同，受害者完成全部 MFA 校验流程，攻击者直接拿到已经通过全部身份校验的有效会话令牌。这就解释了为什么开启普通 MFA 依旧无法阻挡该攻击。令牌内部携带该用户对应的全部访问授权，攻击者不需要知晓用户原始密码，仅凭窃取到的会话令牌，就可以代表该用户身份访问 Microsoft 365 的各类云应用。

3.3 阶段三：基于住宅代理的会话重放接入云平台

拿到有效会话令牌之后，攻击者并不直接使用自身网络发起访问，而是借助住宅代理基础设施，使用和受害者地理位置、ASN 相匹配的家庭宽带出口 IP，把截获的会话令牌重放到 Microsoft 365 服务接口。

借助代理网络，攻击者模拟出受害者本地网络环境，尝试绕过基于 IP 属地的基础访问管控。接入之后，攻击者优先访问 “My Signins”“My Profile”“My Apps” 这类账号信息页面，读取该账号的基本信息、已经授权的应用列表，完成对账号权限边界的摸底，确认该账号能够访问哪些协作与邮件资源。

3.4 阶段四：企业云端环境侦查与资源发现

成功接入账号之后，攻击者在 Microsoft Entra ID 与 SharePoint 环境开展系统性侦查活动。针对 SharePoint 站点，攻击者利用包含站点类、Web 站点类内容分类标记的搜索查询，搭配索引文档标识符的通配符分页检索，遍历企业内部大量站点库，定位具备访问权限的文档资源。

该阶段不直接大规模下载数据，主要目标是摸清企业云端文档分布，确认哪些 SharePoint 网站、OneDrive 存储空间、Exchange 邮箱具备高价值业务资料。攻击者依靠云平台原生搜索接口完成探测，所有操作调用合法业务 API，不会触发传统病毒查杀类安全告警。很多企业安全团队缺少针对 SharePoint 批量搜索行为的审计监控，侦查阶段的行为很难被及时发现。

3.5 阶段五：批量数据收集与数据外溢

完成侦查之后，攻击者对 SharePoint、OneDrive、Exchange 邮箱，甚至 Box 第三方协作平台开展大规模批量拉取，完成企业敏感业务数据的集中收集与外泄。因为使用受害者的合法会话，在云服务视角下全部操作均属于该授权用户的正常业务行为。

整个入侵周期全程不存在终端恶意载荷，攻击者不需要攻陷企业内网服务器，不需要获取设备本地权限，所有操作发生在云端 SaaS 层面。这也提升事件发现的难度，传统终端安全产品完全无法感知该类攻击活动。等到企业察觉异常之时，大批量商业文档、高管往来邮件已经被攻击者完整获取。

3.6 阶段六：数据勒索施压

完成数据窃取之后，威胁团伙向受害企业发起勒索诉求，以公开泄露窃取到的内部商业数据作为筹码，索要赎金。该类威胁集群会运营公开的数据泄露网站，如果企业拒绝支付勒索款项，就会将盗取的企业资料在泄露站点对外曝光，以此向管理层施加压力。

4 当前企业防御体系面对 PREY0058 类攻击的主要短板

PREY0058 攻击能够形成实际危害，并非单一技术漏洞造成，而是社会工程欺骗、身份管控缺陷、云端检测缺位、人员安全认知短板多重因素叠加的结果。

4.1 对普通 MFA 存在认知误区，未区分抗钓鱼防护能力

大量企业完成安全建设时，满足于部署通用多因素认证，默认开启 MFA 就可以抵御绝大多数身份劫持威胁，忽略 AitM 中间人攻击的对抗场景。普通软件令牌、短信验证码类 MFA，只能阻止攻击者单纯拿到密码之后登录账号；但在 AitM 攻击场景下，是受害者本人在钓鱼代理页面完成完整 MFA 审批，MFA 校验流程已经通过，因此普通 MFA 无法拦截该攻击路径。

反网络钓鱼技术专家芦笛强调，不少安全运维人员没有分清普通多因素认证和抗钓鱼型 MFA 之间的能力边界，把二者防护效果画上等号，在面向高管等高价值账号时没有部署具备钓鱼抵抗能力的认证方式，给 AitM 攻击留下可乘之机。很多条件访问策略配置只做到强制启用 MFA，没有开启针对 AitM 对抗的防护参数，缺少绑定受信任平台、受信任设备的约束。

4.2 SaaS 云端业务的行为审计与异常检测存在盲区

多数企业安全检测资源倾斜在终端、内网流量层面，对于 Microsoft 365 云端业务行为监控投入不足。SharePoint 的高频批量搜索、大规模文档读取、跨时段异常批量下载、陌生代理网络下的会话重放访问，都是非常关键的风险信号，但很多机构没有开启完整的审计日志留存，或者没有对日志做持续的威胁分析。

当攻击者调用原生业务 API 开展侦查和数据搜刮，操作完全契合云平台正常接口规范，传统基于恶意特征、病毒签名的检测手段完全失效，只能依靠行为基线做异常识别。中小规模企业经常出现日志留存时间不足、缺少自动化告警规则的情况，攻击活动可以在无人察觉的状态下持续运行较长周期。同时，针对住宅代理 IP 的识别难度较高，普通 IP 信誉库很难覆盖海量住宅宽带节点，进一步加大检测难度。

4.3 条件访问策略配置不够精细化，缺少针对高管账号专项管控

条件访问策略是 Microsoft Entra ID 体系下抵御会话令牌重放的重要手段，但不少企业的配置处于粗放状态，只做全局通用规则，没有针对高管这类高风险账号设置强化约束。部分组织没有启用会话生命周期管控、受信任设备绑定、客户端平台限制；当窃取的会话令牌在陌生代理网络环境被重放复用，系统没有对应的阻断逻辑。

部分机构条件访问规则仅关注 IP 是否来自已知恶意数据中心，对住宅宽带代理没有有效的判别手段，也没有针对账号短时间大量访问跨站点 SharePoint 资源设置风险阈值。当攻击者拿到有效会话令牌之后，就可以在代理网络之下持续维持访问权限。

4.4 安全培训偏向邮件钓鱼，语音社会工程防护存在空白

企业安全意识培训素材绝大多数围绕钓鱼邮件、恶意附件展开，针对冒充 IT 服务台的语音呼叫欺诈的讲解占比很低。高管群体往往很少参加常规基层员工的安全训练，缺少针对定向语音钓鱼场景的专项宣贯。

当攻击者伪装内部 IT 运维拨打电话，高管缺少标准化处置指引，不清楚遇到身份升级、账号安全维护的来电应当采用何种核验流程。很多组织缺少明确制度：IT 部门不会通过电话引导用户访问外部链接完成账号认证操作，这一条关键基线没有在企业内部落地。同时，企业内部帮助台人员自身缺少识别外部冒充电话的流程规范，也间接放大该类社会工程攻击风险。

4.5 威胁情报感知不足，对新型钓鱼域名基础设施缺少预警能力

PREY0058 攻击者会快速批量生成大量新注册诱饵域名，域名关键词集中在 passkey、mfaregister、sso 等身份认证词汇。很多企业缺少外部威胁情报输入，无法提前感知以自身企业名称作为子域名前缀的可疑域名。传统邮件安全网关主要处理邮件载体威胁，对电话渠道发起的攻击完全没有检测能力，防御边界无法覆盖语音社会工程入口。

5 面向语音钓鱼AitM 云身份劫持攻击的闭环防御方案

针对 PREY0058 暴露的各类安全短板，防御工作需要覆盖身份认证管控、云行为安全检测、威胁情报运营、业务流程制度、人员安全管理多个维度，不能寄希望依靠单一安全工具实现完全防护，构建分层互补的防御闭环。

5.1 优化身份认证架构，部署抗钓鱼能力的多因素认证机制

企业需要厘清不同 MFA 技术的防护边界，对于董事、副总裁等高管等高价值账号，优先部署具备抗钓鱼属性的多因素认证方案。抗钓鱼 MFA 会校验访问服务的目标域名，当用户处于 AitM 中间人代理页面时，认证环节可以识别目标站点并非官方可信域名，拒绝完成认证审批，从根源上阻止 AitM 代理捕获完整会话。

反网络钓鱼技术专家芦笛指出，单纯依靠短信、普通软件验证码无法对抗 AitM 中间人攻击，高权限账号必须升级到钓鱼抵抗级别的认证手段，同时不能完全淘汰普通 MFA，可将普通 MFA 用于普通员工，分层实施身份安全策略。

与此同时完善条件访问策略配置，针对高权限账号设置专项强化规则，约束会话令牌的使用场景。启用受信任设备绑定机制，限制会话令牌仅能够在企业管理管控下的设备上生效，降低令牌被代理网络重放之后的可用性；合理设置会话令牌的最大存活周期，缩短被盗令牌的有效使用窗口；对异常客户端、陌生网络环境的访问提升风险等级，触发额外校验。

5.2 完善 SaaS 云平台审计日志，建立云端异常行为检测能力

完整开启 Microsoft 365 全量审计日志，包含 Entra ID 登录日志、SharePoint 检索与文档访问日志、OneDrive 下载日志、Exchange 邮箱操作日志，保障日志具备足够留存周期。构建针对该类攻击特征的告警规则，重点监控几类关键行为：来自住宅代理网络的账号登录、短时间内大量执行 SharePoint 跨站点搜索查询、短时间批量下载大量文档资源、短时间访问多个不常接触的业务站点。

防御人员应当把住宅代理重放访问、大规模 SharePoint 探测、邮箱大批量数据读取作为重要告警信号。即使 IP 地址地理位置与用户属地匹配，只要账号出现上述异常业务行为，依旧需要触发安全运营人员人工复核。企业应当使用云应用安全检测工具，对 SaaS 业务侧行为做持续监测，补齐传统终端安全无法覆盖的云端威胁检测缺口。

同时建立取证处置预案，一旦怀疑发生会话令牌劫持事件，能够快速执行用户会话全部注销操作，让被盗取的会话令牌直接失效，阻断攻击者的持续访问路径。

5.3 威胁情报与外部基础设施风险预警建设

安全运营团队持续跟踪 AitM 钓鱼基础设施特征，重点监控新注册、域名词汇围绕 passkey、mfa、sso、keysetup 等身份认证关键词的域名，监控包含自身企业名称作为子域前缀的可疑站点。对接外部威胁情报源，收集同类攻击的诱饵域名 IOC，及时给到企业内部安全运营团队。

需要客观看待情报的局限性，攻击者可以快速注册全新域名，情报只能拦截一部分已经被发现的基础设施，无法做到完全覆盖，情报预警只能作为辅助防线，不能替代内部身份管控与行为检测。

5.4 建立企业内部业务流程规范，封堵语音社会工程缺口

企业需要出台明确的 IT 服务台工作制度：正式 IT 运维人员，不会通过电话通话口头告知外部 URL，要求用户打开链接完成账号认证、密钥部署、MFA 升级。任何账号身份变更、认证方式升级，必须通过企业内部已经公布的官方渠道通知，不接受来电当中给出的陌生网址。

同步对企业 IT 帮助台人员开展培训，帮助台工作人员掌握外部攻击者冒充内部人员的识别要点。面向高管群体建立专项安全处置流程，如果接到涉及账号安全维护的陌生来电，高管应当挂断电话，通过企业内部通讯录找到 IT 部门公开固定联系方式回拨核验，不直接采信来电当中提供的链接与信息。

5.5 分层安全意识教育，补齐语音钓鱼认知短板

调整企业安全意识培训内容，改变过去只聚焦邮件钓鱼的现状，将语音钓鱼（vishing）冒充 IT 服务台的攻击场景纳入常态化培训素材。针对高管群体开展小范围专项安全宣贯，讲解 PREY0058 这类攻击的典型话术与危害，传递 “电话当中给到的登录链接一律不打开” 这一行为基线。

企业可以定期组织模拟语音钓鱼演练，模拟攻击者拨打员工、高管电话的场景，检验内部人员对语音社会工程攻击的识别能力，演练结束之后复盘暴露出来的认知薄弱点，迭代优化安全培训内容。反网络钓鱼技术专家芦笛强调，技术防护是主要屏障，但社会工程类攻击永远存在突破技术防线的可能性，人员行为层面的约束是兜底防线。

6 结语

PREY0058 代表了一类新型云勒索攻击范式：攻击者不依赖漏洞利用，不投放终端恶意软件，不开展内网横向移动，将语音呼叫作为社会工程入口，依托 AitM 中间人劫持合法云会话令牌，借助住宅代理规避网络层面检测，直接在 SaaS 云端完成侦查与大批量数据窃取，最终以泄露企业内部数据作为筹码实施勒索。该攻击的危害根源来自社会工程欺骗与身份认证对抗技术的组合，并不是 Microsoft 365 云服务本身存在底层安全漏洞。

本文梳理该威胁集群的攻击谱系，完整还原从语音诱骗到勒索施压的全攻击链路，解析 AitM 令牌捕获、住宅代理会话重放等关键环节的运作逻辑，从身份认知误区、云端检测盲区、条件访问策略粗放、安全培训失衡等维度剖析企业现有防护短板，构建起身份认证强化、云端行为审计、威胁情报预警、业务流程约束、分层安全意识培训的多层防御思路。

研究证实，仅仅开启普通多因素认证不足以抵御 AitM 中间人攻击，企业需要区分不同 MFA 方案对抗钓鱼的能力差异，针对高管等高权限账号落地抗钓鱼级别的认证，同时依靠条件访问策略约束会话令牌的使用环境，补齐 SaaS 平台云端行为检测能力。反网络钓鱼技术专家芦笛指出，云时代的网络攻击重心已经从攻破服务器转向劫持合法身份账号，安全防护的重心也应当同步向身份安全、SaaS 业务行为安全倾斜。

该类语音驱动的定向云勒索攻击不会是个例，未来攻击者还会持续迭代社会工程话术、更新钓鱼域名基础设施，演化出变种攻击手段。企业的防御建设不能只针对当前已知攻击特征编写检测规则，而是完善身份访问管控基线，建立云端异常行为识别能力，同时补齐电话渠道社会工程威胁的人员防护防线。网络威胁治理是技术、流程、人员共同作用的系统性工程，只有多维度防护相互配合，才能够降低定向语音钓鱼劫持云身份带来的数据泄露与商业勒索风险。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院