重點整理
- 駭客利用 TeamFiltration 工具攻擊 Microsoft 365 帳號。
- 被入侵的都是沒人管的服務帳號，且使用未更改的預設密碼。
- 帳號沒開啟多因素驗證，駭客最快 7 分鐘就能成功破解。
- 企業最弱的資安防線往往不是員工，而是被遺忘的系統帳號。
很多中小企業主以為，只要提醒員工不要亂點釣魚信件，公司的網路安全就沒問題了。但近期的資安事件告訴我們，真正的破口往往不是真人用的帳號，而是系統裡「被遺忘的帳號」。如果您公司也有使用 Microsoft 365 等雲端服務，這篇文章將帶您了解最新的攻擊手法，以及為什麼那些為了方便而設定的帳號，可能會讓公司機密門戶大開。
7 分鐘就被破解？駭客盯上「被遺忘的服務帳號」
資安研究員近期揭露了一項代號為 UNK_CondorFiltration 的攻擊活動。這項活動最初主要針對國外的零售與金融機構，駭客針對 28 個企業雲端空間（Microsoft 365 tenants）的超過 5,700 個帳號進行測試。雖然最終只有 7 個帳號被成功入侵，但這 7 個帳號的失守原因，卻值得所有企業警惕。
這 7 個被入侵的帳號，都不是員工個人的帳號，而是「服務帳號」（Service accounts）。服務帳號是為了讓系統或軟體自動執行任務（例如自動寄信、同步資料）而建立的帳號，通常沒有真人會去登入它。
問題就出在，這些服務帳號在 IT 人員設定好之後，就再也沒人管理。它們不僅沒有開啟多因素驗證（MFA，即除了密碼還要手機驗證碼等雙重確認），甚至還保留著系統剛建立時的預設密碼。駭客利用「密碼噴灑」（用常見密碼去嘗試登入大量帳號）的手法，在短短 7 分鐘內就破解了其中 6 個帳號。
駭客怎麼動手？TeamFiltration 工具與後續破壞
這次攻擊使用的核心工具叫做 TeamFiltration。這是一個原本用於合法測試的跨平台攻擊框架，但被駭客拿來做壞事。它可以幫駭客大量測試帳號密碼、竊取敏感資料，甚至悄悄取得雲端硬碟的控制權。
資安公司觀察到，駭客在成功登入後，不到 2 分鐘就會立刻轉移陣地。他們會透過虛擬私人網路（VPN）隱藏身分，接著去探查公司的企業 VPN、存取雲端管理後台（Azure Portal），並瀏覽 SharePoint Online 與 Microsoft Teams。
雖然單憑登入紀錄不能直接證明資料已經被偷走，但駭客已經成功進入了 Microsoft Office、OneDrive 和 Teams，這代表他們有充分的機會去讀取並下載公司的內部文件與機密資料。
資安專家警告：最弱的防線往往是「方便」
這其實不是 TeamFiltration 第一次被用於惡意攻擊。早在 2025 年 6 月，就有另一個攻擊群體利用它入侵了數萬個帳號。
資安公司 Proofpoint 在報告中點出一個殘酷的現實：企業身份邊界最弱的環節，通常不是被釣魚的員工，也不是軟體的零日漏洞（Zero-day exploit，指軟體還沒被發現或修補的未知漏洞），而是那些「被遺忘的帳號」。
「為了方便而配置、且從未重新檢視的服務帳號，是一個結構上完全沒有保護的攻擊面。」
這句話的意思是，當我們為了讓系統跑得快、設定得方便，而留下一些沒人管的後門時，其實就是幫駭客留了最穩的登陸艇。
崴米的建議
面對這種針對「被遺忘帳號」的攻擊，中小企業不需要花大錢買昂貴的資安設備，而是可以從日常的系統管理做起。我們建議您可以馬上採取以下行動：
- 盤點並清理服務帳號：請 IT 人員或系統管理員列出所有非真人使用的服務帳號，把不需要的刪除，剩下的強制更改為高強度密碼，並務必開啟多因素驗證（MFA）。
- 定期檢視系統日誌與主機狀態：不要讓網站或雲端服務上線後就放牛吃草。定期檢查是否有異常登入紀錄，確保主機與系統運作都在監控之中。
如果您公司的網站或系統需要專業的定期檢查與維護，確保主機安全與系統穩定，歡迎了解我們的網站代管維護與主機監看服務，讓專業團隊幫您顧好上線後的每一個細節。
參考來源：TeamFiltration Campaign Compromises Seven Microsoft 365 Accounts Using Default Passwords
