新網釣攻擊手法ConsentFix v3能自動化攻擊Azure環境
攻擊手法簡介
ConsentFix v3 是一種新型網釣攻擊手法，專門針對微軟 Azure 環境設計。攻擊者透過惡意註冊的 Azure AD 應用程式，製作偽造連結，誘騙使用者點擊，進而觸發 OAuth 同意授權流程。
攻擊機制與流程
- 攻擊者註冊惡意的 Azure AD 應用程式，並建立一個看似合法的登入連結。
- 當使用者點擊連結後，系統會自動導向一個偽造的登入頁面，並觸發 OAuth 權限授權流程。
- 使用者在無意識下授權，導致其微軟帳號被自動化接管，整個過程不需取得密碼，也無需繞過多重身份驗證（MFA）。
- 此攻擊手法完全在瀏覽器中執行，不涉及端點電腦的作業系統，因此難以被傳統防護機制偵測與封鎖。
技術特性與風險
ConsentFix v3 的攻擊流程結合了 OAuth 同意授權與 ClickFix 社交工程，利用使用者對微軟官方工具的信任，進行高擬真度的釣魚。
由於攻擊行為完全在瀏覽器中進行，且不觸及系統層面，因此傳統防禦措施如防毒軟體或端點保護系統難以有效攔截。
相關來源與警示
資安公司 Push Security 已揭露此攻擊手法，並警告企業需提高警覺，加強對 OAuth 授權流程的監控與驗證。