Storm-3032语音钓鱼团伙瞄准BYOD以获取M365访问权限

语音钓鱼找到新弱点：你的个人手机

新一轮攻击浪潮正在表明，个人设备与工作设备之间的界限比以往任何时候都更加重要。根据对微软威胁情报发现的报道，被追踪为Storm-3032和Storm-3121的团伙正在拨打和发送短信至员工的个人手机，冒充内部IT服务台人员。一旦员工确信来电是合法的，攻击者就会引导他们完成一系列操作，从而获得对企业Microsoft 365账户的访问权限，通常利用的是自带设备（BYOD）配置——即个人手机也被用于登录工作邮箱、Teams和SharePoint。

这次攻击活动引人注目的不仅仅是语音钓鱼战术本身，而是初始访问得手后所发生的事情。据报道，这些团伙充当初始访问经纪人：他们进入网络后，利用微软的Graph API来勘察有哪些数据和系统可用，然后确定哪些受害者足够有价值，可以出售或转手。此后，访问权限被传递给勒索团伙，包括ShinyHunters——这个名字在数据窃取和勒索案件中越来越为人熟知。

为什么BYOD让这种攻击如此有效

个人设备处于大多数公司围绕企业硬件构建的安全边界之外。工作笔记本电脑可能有端点检测、受限的应用权限和IT管理的配置。而用于查看邮件或加入Teams通话的个人手机通常这些都没有。这也是员工最有可能不加思索就接听电话的设备，因为这是他们的家人和朋友使用的同一部手机。

这种信任缺口正是语音钓鱼（有时称为vishing）所利用的。攻击者不需要破解加密或找到软件漏洞。他们只需要一个员工相信电话那头的人确实来自IT部门，是在帮忙而非害人。报道指出，攻击者还滥用合法的协作功能，如Microsoft Teams中的外部访问，以融入正常的业务沟通，而不是触发明显的危险信号。

这种模式与多个行业的更广泛趋势相呼应。在杰克·亨利勒索软件攻击中，攻击者也同样使用电话而非技术漏洞来获得立足点，这凸显了基于语音的社会工程学已成为首选的入口点，正是因为它绕过了传统的技术防御。

Graph API的角度：将访问权限转化为情报

据报道，一旦进入账户，攻击者就会使用微软的Graph API——这是开发者用来与Microsoft 365数据交互的合法工具——来绘制组织的环境地图。这使他们能够快速识别哪些邮箱、文件或用户账户最有价值，实际上是利用目标自身的基础设施进行侦察。初始访问经纪人似乎并非在每个案例中都自行窃取数据，而是将高价值的立足点转交给像ShinyHunters这样的勒索团伙，后者专门通过数据窃取和勒索要求将窃取的访问权限变现。

这种分工——一个团伙入侵，另一个团伙获利——与其他近期入侵案例中所见的情况如出一辙。在拿破仑·珀迪斯数据泄露事件中，被盗的客户记录被泄露，并由一个独立于最初可能访问数据的威胁行为者声称负责，这说明被入侵的访问权限和公开的数据泄露往往由完全不同的方面处理。

这对你意味着什么

如果你的雇主允许通过BYOD访问Microsoft 365、Teams或企业邮箱，那么无论你的职位或部门如何，你都可能成为这类攻击的入口点。核心风险不在于微软软件的缺陷，而在于这样一个假设：自称“IT支持”的来电者就是他们所声称的人。员工应对任何未经请求的、要求重置凭据、批准登录提示或安装任何内容的电话或短信保持怀疑，即使来电者听起来对内部系统很了解，或者使用了真实员工的名字。

组织还应重新审视BYOD设备的验证和监控方式，因为一部能访问企业云服务的个人手机可能成为通往敏感数据的直接路径，而无需接触任何公司拥有的笔记本电脑。