📋 行政摘要:
- 威脅行動者: Huntress（未命名的APT小組）
- 攻擊向量: OAuth濫用的裝置代碼欺詐
- 影響: 高風險的未經授權存取和資料外洩，可能導致 PHI 洩漏
- HIPAA風險: 高 – 必須在60天內發出違規通知
風險等級: 高 (85%)
裝置代碼詐欺是如何進行的？
裝置代碼詐欺利用了OAuth的裝置授權流程。攻擊者請求一個裝置代碼，然後使用該代碼生成存取權杖，即使在用戶密碼重設後這些存取權杖仍然有效。這允許未經授權的存取和潛在的資料外洩.
初始存取:攻擊者利用OAuth請求一個裝置代碼.
執行:受害者輸入代碼和憑證，授予攻擊者存取權杖.
外流：攻擊者使用取得的權杖以獲取未經授權的存取權限，並可能外流資料。
簡介
最近針對全球多國Microsoft 365用戶的一系列設備代碼釣魚攻擊活動，對醫療機構構成了重大關注。本簡報提供了該威脅的詳細分析、技術分解以及可採取的措施以降低風險。
攻擊者與攻擊向量
攻擊行動最早於2026年2月19日由Huntress觀察到。據信，這些威脅行為者屬於一個未命名的APT小組，利用Cloudflare Workers重定向進行資格證書釣魚。這種方法特別危險，因為它利用了合法的Microsoft基礎設施和OAuth流程，使檢測變得困難。
技術分解
設備代碼欺詐技術的操作方式如下：
- 請求設備代碼：攻擊者透過OAuth向身份驗證提供者（例如，Microsoft Entra ID）發起請求以獲取設備代碼。
- 輸入憑證：受害者被重定向至登入頁面，在此頁面中他們需輸入設備代碼及其憑證，若需要兩步驗證碼也需輸入。
- 權杖生成：成功驗證後，會產生存取權杖，即使在密碼重設後，這些權杖仍可被用於未授權的操作。
影響分析
此攻擊對醫療保健機構的影響非常嚴重。未經授權存取 Microsoft 365 帳戶可能會導致：
- 存取敏感電子郵件和通訊。
- 透過資料外洩技術外洩受保護的健康資訊（PHI）。
- 患者照護及運作功能可能出現中斷.
合規影響
HIPAA法規要求組織必須在資料洩漏發生後60天內通知受影響個體、Health and Human Services (HHS) 劃範辦公室（OCR）及其他相關利害關係人。考慮到未經授權存取的高風險及 PHI 資料外洩的可能性，醫療保健機構必須:
- 進行詳細的風險評估以確定資料外洩的程度.
- 在規定時間內實施洩漏通知程序.
- 記錄所有應變活動，以防OCR調查.
風險評估
風險等級高，因為：
- 資料外洩及未經授權存取的潛在風險。
- 攻擊手段隱蔽，利用合法的OAuth流程。
- 跨醫療、金融服務及政府等多個領域擴散。
減緩策略
為了緩解這些風險，資安長和資訊管理員應:
- 為所有 Microsoft 365 帳戶實行多重因素驗證 (MFA)。
- 啟用條件存取策略，根據使用者情境限制存取。
- 監控 OAuth 活動，尋找異常模式和可疑裝置代碼。
- 定期為員工提供安全意識訓練，特別是針對網路釣魚試圖。
最佳實踐
實施這些最佳實踐可以幫助防止類似的攻擊：
- 定期更新和修補系統以應對漏洞。
- 使用威脅情報來源檢測並阻擋惡意流量。
- 定期進行安全審核及滲透測試。
組織目標
340
受影響的組織數量
20
受影響國家
CISO行動清單
✅ 推薦動作:
- 啟用所有Microsoft 365帳戶的多重因素認證（MFA）。
- 實踐條件存取策略，基於用戶情境限制存取。
- 監控OAuth活動，注意可疑裝置代碼和未經授權的存取試圖。
結論
此簡報強調，醫療機構必須對複雜的魚叉式網路釣魚攻擊保持警覺，特別是那些利用合法OAuth流程的攻擊。實行堅固的安全措施有助於降低風險並保護敏感的病人資料.
⚠️ HIPAA影響：未經授權的存取和資料外洩可能對 PHI 造成重大風險。醫療機構必須在規定的時間內通知受影響的個體、HHS OCR 及其他相關利害關係人.