微软称通行密钥与单点登录主题钓鱼正被用于窃取 Microsoft 365 数据

据 BleepingComputer 2026 年 9 月 12 日报道，微软表示，与 ShinyHunters、Helix 以及其他勒索团伙有关的威胁行为者，正在利用以通行密钥（passkey）和单点登录（SSO）为主题的社会工程攻击，入侵企业 Microsoft 账户，并从 Microsoft 365 服务中窃取数据。来源显示，这类攻击并非单纯依赖技术漏洞，而是围绕用户对新式登录方式、统一身份入口和企业账号流程的信任感展开诱导，对企业云办公环境构成直接风险。

从隐私与远程办公安全角度看，此类事件值得 VPN 用户和企业管理员关注：即便访问链路已加密，账号本身一旦被诱导交出访问权限，攻击者仍可能进入云端服务读取邮件、文件或协作数据。换言之，加密连接不能替代身份安全，VPN、通行密钥、单点登录和权限管理必须被放在同一套风险模型中审视。

攻击为何借用“通行密钥”和“单点登录”主题

通行密钥和单点登录近年来被大量企业用于减少密码依赖、简化登录流程。对普通员工而言，这些概念通常意味着“更安全”“更便捷”或“公司要求更新”。威胁行为者正是利用这种心理预期，将钓鱼内容包装成账户升级、登录验证、身份同步或安全配置相关场景，诱导用户完成错误操作。

来源摘要提到，相关攻击属于社会工程活动，目标是企业 Microsoft 账户。社会工程的危险之处在于，它绕开了许多传统安全边界：攻击者不一定需要先攻破设备或网络，而是通过伪装可信流程，让用户主动配合。尤其在 Microsoft 365 这类云服务中，账号就是访问邮件、文档、团队协作内容和业务数据的关键入口。

• 主题更具迷惑性：通行密钥和 SSO 本身是安全概念，攻击者借此降低用户戒心。
• 目标更偏企业化：攻击围绕公司 Microsoft 账户展开，数据价值通常高于普通个人账号。
• 后果更偏数据窃取：来源显示，攻击者的目的包括从 Microsoft 365 服务中获取数据。
• 链条更依赖人为判断：员工是否识别异常登录流程，成为防线中的关键一环。

对 VPN 用户与企业隐私保护的影响

很多远程办公用户习惯认为，只要连接了 VPN，工作通信就已足够安全。但这起事件提醒我们，VPN 主要解决的是网络传输路径的隐私与安全问题，而钓鱼攻击瞄准的是身份入口和用户行为。若用户在伪造页面或欺骗流程中授权、登录或完成所谓验证，攻击者可能不需要监听网络流量，也能获得进入云服务的机会。

因此，企业在推广 VPN、零信任访问或统一身份管理时，应避免给员工造成“只要使用某个工具就万无一失”的错觉。更合理的做法是把 VPN 作为安全访问的一部分，同时配合账号异常监测、登录流程教育和最小权限策略。对于需要在公共 Wi-Fi、跨境网络或移动场景中访问办公系统的用户，选择可信的加密连接工具仍然重要；例如 RedGate VPN 可作为保护网络连接隐私的可选方案，但它不应被视为防钓鱼的唯一屏障。

企业和个人应如何降低类似风险

面对以安全功能为诱饵的钓鱼活动，最重要的是重新训练用户对“登录升级”和“身份验证通知”的判断方式。通行密钥、SSO、多因素认证等机制本身有助于提升安全性，但任何要求用户跳转、重新绑定、重新授权或输入账户信息的流程，都应通过官方入口核验。

企业管理员可重点检查 Microsoft 365 相关账户的登录异常、数据访问行为和权限变化；普通员工则应避免从邮件、即时消息或陌生页面直接进入所谓的账户配置流程。真正的安全升级不应依赖恐吓式提示和临时链接。当页面声称需要立即处理、否则账号将受限时，更应提高警惕。

总体来看，这起事件的核心警示是：攻击者正在把“更安全的登录方式”包装成新的钓鱼入口。对企业而言，保护 Microsoft 365 数据不仅要部署安全工具，还要让员工理解工具的边界。对个人和远程办公用户而言，保持网络连接加密、核验登录入口、警惕异常授权请求，才是更完整的隐私保护策略。