微软Sway在大规模二维码钓鱼活动中被滥用
内容提要
最近，有大规模网络钓鱼活动利用Microsoft Sway诱使Microsoft 365用户泄露登录凭证。攻击者通过电子邮件引导用户扫描QR码，然后重定向到恶意网站。攻击主要针对亚洲和北美地区的技术、制造和金融行业。攻击者采取多种手段提高成功率，包括盗取用户凭证和多因素认证码。此前，Microsoft Sway在PerSwaysion钓鱼活动中也遭到滥用。
延伸解读
攻击规模与目标行业
2024年7月，Netskope发现通过Microsoft Sway托管的钓鱼网页数量较上半年激增2000倍，显示攻击活动急剧扩大。攻击主要针对亚洲和北美地区的技术、制造和金融行业，这些行业因拥有大量Microsoft 365用户和高价值数据而成为重点目标。
QR码钓鱼的规避手法
攻击者通过电子邮件将用户引导至Sway托管的钓鱼页面，并诱导其扫描QR码重定向至恶意网站。由于URL嵌入图片，仅扫描文本的邮件安全工具无法识别；同时，攻击者鼓励使用移动设备扫描，因移动设备安全防护通常较弱，更易绕过安全措施。
透明钓鱼与检测绕过
攻击者采用透明钓鱼手段，在展示合法登录页面的同时窃取凭证和多因素认证码，直接登录用户Microsoft账户。此外，他们利用Cloudflare Turnstile隐藏钓鱼页面内容，避免静态扫描器检测，并保持域名信誉，防止被Google Safe Browsing等过滤服务屏蔽。
历史滥用与持续风险
Microsoft Sway并非首次被滥用。五年前的PerSwaysion钓鱼活动就通过恶意软件即服务提供的钓鱼套件针对Office 365凭证，至少欺骗了156名高级职位人员，其中超过20%的账户来自美国、加拿大、德国、英国、荷兰、香港和新加坡等地的组织。这表明Sway的滥用风险长期存在。
Q&A
微软Sway是如何被用于网络钓鱼的？
攻击者利用Microsoft Sway搭建钓鱼登录页面，诱使用户泄露Microsoft 365的登录凭证。
这次钓鱼活动主要针对哪些行业？
攻击主要针对技术、制造和金融行业的用户。
攻击者是如何引导用户扫描二维码的？
攻击者通过电子邮件引导用户扫描QR码，重定向到恶意网站。
移动设备在这次钓鱼活动中有什么风险？
移动设备的安全防护较弱，增加了用户成为攻击目标的可能性。
攻击者使用了哪些手段提高钓鱼成功率？
攻击者使用透明钓鱼手段盗取用户凭证和多因素认证码，同时隐藏钓鱼页面内容。
Microsoft Sway在历史上是否曾被滥用？
是的，五年前的PerSwaysion钓鱼活动中也曾滥用Microsoft Sway。
