微软警告 ACR Stealer 攻击上升：企业客户浏览器密码与令牌面临被窃风险

据 BleepingComputer 7 月 18 日报道，微软近期观察到针对其企业客户的 ACR Stealer 恶意软件攻击出现上升趋势。来源显示，该类攻击的目标包括浏览器中保存的密码、身份验证令牌以及敏感文档等数据。对企业与远程办公用户而言，这类窃密软件的风险不只在于“账号被盗”，更可能牵连内部系统访问、云服务会话和文档资产外泄。

ACR Stealer 属于典型的信息窃取型恶意软件。与勒索软件直接加密文件不同，窃密软件通常更隐蔽：它会尝试从受害设备中收集可用于登录、冒充身份或横向移动的数据。来源摘要提到，微软观察到攻击者正利用它窃取浏览器保存的凭据、认证令牌和敏感文件，这意味着即便用户没有主动输入密码，攻击者也可能通过本地缓存或会话数据获得进一步访问机会。

攻击为何值得 VPN 与隐私用户关注

很多用户会把 VPN 视为远程办公和隐私保护的第一道工具，但这次事件提醒我们：VPN 主要保护网络传输与访问路径，不能替代终端安全。如果设备本身已经感染窃密软件，浏览器内保存的密码、Cookie、令牌或本地文档仍可能被读取并外传。换句话说，加密隧道能降低公共网络监听和位置暴露风险，却无法自动阻止恶意程序在本机抓取数据。

对企业用户来说，风险还会进一步放大。身份验证令牌一旦被盗，攻击者可能绕过常规登录流程，尝试访问企业应用或云端资源。尤其在远程办公环境下，员工经常通过浏览器访问邮箱、协作平台、后台系统和文档库，浏览器因此成为攻击者重点盯上的数据入口。

从来源信息看，关键风险集中在哪些数据

根据报道摘要，ACR Stealer 相关攻击主要瞄准几类高价值数据。它们共同点是：一旦泄露，可能直接转化为账号接管、资料外泄或进一步入侵。

• 浏览器保存的密码：方便用户自动填充，但也可能成为窃密软件的集中目标。
• 身份验证令牌：可能被用于维持登录状态，风险不亚于密码泄露。
• 敏感文档：包括企业资料、客户信息、内部文件等，泄露后可能造成合规与商业损失。
• 企业终端中的会话数据：若被滥用，可能帮助攻击者冒充合法用户访问系统。

普通用户和企业应如何降低暴露面

面对窃密软件，防护思路应从“只保护连接”扩展为“保护身份、设备和数据”。首先，不建议长期把核心账号密码直接保存在浏览器中，尤其是企业账号、管理后台、财务或云服务账号。更稳妥的做法是使用受保护的密码管理方案，并为关键账号启用多因素认证。

其次，企业应关注终端检测、浏览器安全策略和令牌失效机制。如果员工设备出现可疑行为，应及时撤销相关会话、重置凭据并检查敏感文件访问记录。对于远程办公人员，使用可信网络连接仍然必要；例如在公共 Wi-Fi 或跨地区访问企业资源时，可选择 RedGate VPN 这类工具降低网络侧暴露，但同时必须配合终端杀毒、系统更新和最小权限策略。

最后，用户应减少从不明来源下载文件、插件或破解软件，避免让窃密软件获得落地机会。此次微软所警告的趋势说明，攻击者正在继续围绕身份凭据和浏览器数据展开行动。真正有效的隐私保护不只是隐藏 IP，而是防止账号、令牌与本地数据被拿走。