研究揭露 NovaCookies 網釣平臺，濫用 DocuSign 通知竊取 Microsoft 365 帳號

研究人員揭露名為 NovaCookies 的網釣平臺，該平臺透過濫用 DocuSign 的通知服務來竊取 Microsoft 365 帳號。利用合法服務作為投遞管道，是近年網釣攻擊的主要演進方向。

傳統網釣的偵測，很大程度依賴寄件來源的信譽。郵件安全閘道會檢查寄件網域的信譽分數、SPF 與 DKIM 驗證結果，以及網域的註冊時間；來自陌生或新註冊網域的郵件，被攔截的機率相當高。

濫用合法服務直接繞過了這道防線。當通知郵件確實由知名電子簽署服務發出，其寄件網域信譽良好、驗證機制完整，郵件安全系統沒有理由攔截；而收件者看到熟悉的品牌與介面，警覺性也會自然下降——特別是在商務環境中，收到簽署請求本身就是常態。

攻擊的實際流程通常是：攻擊者以正當方式註冊該服務的帳號，建立一份包含惡意連結的文件，再透過服務本身的功能寄送給目標。整個投遞過程完全在服務的正常使用範圍內，服務商也難以在事前判斷意圖。

竊取 Microsoft 365 帳號是常見的目標，原因在於其後續價值。取得帳號後，攻擊者能存取郵件、檔案與內部通訊紀錄；更重要的是，可以用該帳號向組織內外發送郵件，進行更具說服力的後續攻擊。這種橫向擴散往往比初次入侵造成更大損害。

防禦的重點因此需要往後移。既然投遞環節難以攔截，強化的重心就落在多因素驗證、對異常登入行為的偵測，以及對憑證竊取型網釣頁面的攔截上。後續觀察重點在於服務商是否會強化帳號註冊與內容審查機制——但這種措施必然會影響正常使用者的體驗，取捨並不容易。