安全研究人员发现了一种影响广泛的网络钓鱼活动，该活动试图通过网络钓鱼获取 Microsoft 电子邮件凭据，以危害企业帐户。 更糟糕的是，它可以绕过多重身份验证（MFA）。
同时密码管理器可以用来创建足够长的密码以抵御暴力攻击，MFA 破坏技术开始变得越来越普遍。
在这种情况下，威胁行为者仍然逍遥法外，并以“无情”的速度创建恶意域。
网络钓鱼的目的
安全公司的研究人员Z缩放器注意到特定行业中发生的网络钓鱼尝试数量急剧增加。
据安全团队称，所有网络钓鱼攻击都是从发送给受害者的电子邮件开始的。 一些恶意链接位于电子邮件副本中，而其他链接则加载到 HTML 文件中。
攻击者设置了许多新域，其中许多使用了网络钓鱼活动中的一种经典技术，称为拼写错误抢注（创建一个拼写稍有错误的合法域名的网络钓鱼域）。 这些攻击针对的是企业级公司的最终用户。
一旦恶意代码开始工作并且给定的企业帐户遭到破坏，该帐户就会被用来向其他企业帐户发送更多网络钓鱼电子邮件。
受影响的行业包括美国、澳大利亚、英国和新西兰的贷款、保险、会计和联邦信用合作社。
当 Zscaler 不到 48 小时前发布报告时，这种威胁仍在持续。 他们跟踪了注册域名的威胁行为者。
威胁行为者如何绕过 MFA？
MFA 可以阻止许多网络钓鱼活动，因为即使威胁行为者设法获取某人的帐户凭据，他们也无法突破 MFA 屏障。
威胁行为者正在使用所谓的“中间对手”(AiTM) 技术来绕过 MFA，这是此处使用的网络钓鱼工具包的一项功能。
安全社区了解流行的 AiTM 套件，但 Zscaler 的团队认为这是一个定制套件。
这些套件允许威胁行为者在个人设备（或“客户端”）和他们向其发送请求的邮件服务器（因此“在中间”）之间操作代理。
代理意味着威胁行为者可以在客户端和服务器之间中继所有信息。
MFA 的弱点强化了对强密码的需求
不幸的是，多因素身份验证方法不像以前那么安全。 黑客和诈骗者已经开发出越来越普遍的新技术来绕过它。
SIM 交换（即在打电话给电话运营商时冒充受害者，将其号码交换到您手机的 SIM 卡上，从而接收其双因素身份验证文本的过程）一直是黑客使用的一种方法窃取加密货币。
MFA 的脆弱性使两件事变得更加重要：首先，培训组织中的所有员工，使其能够发现网络钓鱼活动的迹象并保护自己；其次，拥有足够强大的第一道防线：长、独特、多样化的密码。
确保组织中的每个人都拥有强密码的最佳方法是使用密码管理器。 密码管理器不仅可以帮助您为员工拥有帐户的每个站点创建足够长的密码，而且还可以创建完全唯一的密码。
多因素身份验证方法并不是许多人曾经认为的帐户安全领域的灵丹妙药。 因此，请确保使用您可以使用的所有资源 - 安全总比后悔好。
