研究称恶意外部 MFA 提供方可在正常登录流程中窃取密码

据来源显示，安全研究人员近日披露了一种针对多因素认证流程的攻击思路：当攻击者已经拥有较高权限时，可以注册一个恶意的外部 MFA 提供方，并在用户进行看似正常的登录尝试时窃取密码。该消息由 BleepingComputer 于 2026 年 9 月 23 日发布。与常见的钓鱼页面不同，这类风险发生在合法登录链路内部，因而对企业账号、远程办公环境以及依赖 VPN 访问内部资源的用户都具有较高警示意义。

来源摘要指出，研究人员开发的攻击方式并不是单纯绕过 MFA，而是利用“外部 MFA 提供方”这一集成机制。一旦攻击者具备注册或配置该提供方的特权，就可能把恶意组件接入身份认证流程。用户输入密码并继续完成登录时，密码可能在认证过程中被恶意提供方捕获。也就是说，用户看到的登录流程可能仍然是合法入口，但背后的认证扩展环节已经被篡改。

攻击关键：问题不在用户粗心，而在身份系统配置被滥用

传统账号安全教育常强调识别假网站、不要点击陌生链接、启用 MFA 等措施。但这起研究所揭示的风险更偏向身份基础设施层面：如果攻击者已经取得管理权限，能够添加或修改外部 MFA 提供方，那么 MFA 本身也可能被转化为攻击通道。这使得防护重点从“用户是否被骗”进一步扩展到“企业是否严格控制认证集成权限”。

对组织而言，外部认证组件通常是为了兼容不同身份服务、提升登录安全或统一访问策略。但任何能进入登录链路的第三方或外部模块，都需要被视为高敏感资产。来源显示的攻击场景说明，拥有特权的攻击者可以利用可信机制制造不可信结果，这也是近年来身份安全事件中反复出现的问题。

• 应审计哪些账号具备注册、启用或修改外部 MFA 提供方的权限；
• 应检查现有 MFA 集成是否全部来自可信来源，并保留变更记录；
• 应对身份系统的管理操作设置告警，尤其是新增认证提供方、修改回调或策略变更；
• 应避免把 MFA 视为一次性完成的安全配置，而要持续监控其运行状态。

对 VPN 与远程访问用户的影响

从 VPN 用户角度看，MFA 常被用于保护远程登录、云控制台、企业邮箱和内部应用访问。许多企业会要求员工先通过身份认证，再访问 VPN 或受限资源。如果认证链路被插入恶意外部 MFA 提供方，攻击者可能在合法登录过程中获得密码，再结合其他会话信息或权限进行进一步渗透。换言之，VPN 加密的是网络传输通道，并不自动保证身份系统本身没有被篡改。

个人用户也应理解这一点：使用 VPN 可以降低公共网络监听、运营商侧窥探和部分网络劫持风险，但账号安全仍依赖服务端身份系统的配置质量。选择具备清晰隐私政策、稳定加密连接和良好安全实践的服务很重要；例如 RedGate VPN 可作为注重隐私连接的可选方案之一，但用户仍应为关键账号启用独立强密码，并留意异常登录提醒。

企业应把 MFA 管理纳入特权安全治理

这项研究的核心提醒是：MFA 并非“启用后万无一失”。当认证扩展、外部提供方和管理权限叠加时，身份系统本身会成为高价值攻击面。企业需要把 MFA 提供方配置纳入特权访问管理范围，对新增、删除、修改操作进行审批和日志留存，并确保少数必要人员才有相关权限。

对于普通用户，最现实的做法是减少密码复用、为关键服务使用密码管理器生成复杂密码，并及时关注账号异常通知。如果某项服务提示重新登录、MFA 流程出现异常跳转或验证方式突然变化，应提高警惕并联系管理员确认。此次研究再次说明，隐私保护与账号安全需要同时覆盖终端、网络传输和身份认证链路，任何一个环节被滥用，都可能削弱整体防护效果。