明明進了微軟官網帳號卻被盜？ 小心新騙局！

(中央社財經訊息服務20261110 18:35:26)收到一封線上講座或Teams會議邀請，點開後要求前往微軟官網，輸入一組驗證碼才能完成登入。你檢查了網址，確定真的是Microsoft官方網站，於是放心照做。沒想到，這個動作反而可能讓別人取得你的帳號存取權限。這不是假網站騙密碼，而是駭客利用真正的微軟登入功能，誘騙使用者替駭客完成驗證。

真正的官網跟網址，怎麼也會被拿來做詐騙？

微軟原本就提供一種稱為「裝置代碼登入」（Device Code Authentication）的機制。例如電視、印表機或部分會議設備不方便直接輸入帳號密碼，可以先產生一組代碼，再請使用者到另一台裝置上的微軟網站輸入，完成授權。但駭客可能反過來利用這項功能。他們先發送假會議邀請、文件通知或其他訊息，誘導使用者取得一組代碼，再前往真正的微軟裝置登入頁面輸入。一旦使用者完成驗證，就可能在不知情的情況下，授權駭客控制的登入工作階段。微軟在2026年公布的調查中，已揭露駭客利用這類機制大規模入侵企業帳號的手法。

怎麼判斷自己是不是遇到這種騙局？

一般使用者應特別注意以下情況： 1.　報名講座、查看文件，卻突然要求輸入裝置登入代碼。 如果原本只是要參加活動，卻被要求前往 `microsoft.com/devicelogin` 輸入對方提供的代碼，應先停止操作。 2.　代碼不是由自己正在使用的設備產生。 如果出現一組陌生代碼在郵件、網頁或聊天訊息裡，不能因為對方提供的是官方網址就放心使用。 3.　登入畫面出現不認識的應用程式。 授權前應確認系統顯示的應用程式、設備及要求是否與自己正在操作的事情相符。

如果已經輸入代碼怎麼辦？

立即停止操作，透過可信任的管道聯絡公司IT管理員。管理員應檢查異常登入、撤銷可疑登入工作階段及存取憑證，並確認是否出現不明應用程式授權、裝置註冊或郵件自動轉寄規則。必要時也應變更密碼，但要注意，單純更換密碼不一定能立即排除所有已取得的存取權限。

安全的關鍵不只在於網址真假，更在於你究竟正在授權誰、完成什麼操作。

參考資料來源： 1. Microsoft Security Blog（2026/4/6）｜Inside an AI-enabled device code phishing campaign https://www.microsoft.com/en-us/security/blog/2026/04/06/ai-enabled-device-code-phishing-campaign-april-2026/ 2. Microsoft Security Blog（2026/9/22）｜Unmasking EvilTokens: Getting to the root of device code phishing https://www.microsoft.com/en-us/security/blog/2026/09/22/unmasking-eviltokens-getting-to-the-root-of-device-code-phishing/ 3. Microsoft Security Blog（2025/2/13）｜Storm-2372 conducts device code phishing campaign https://www.microsoft.com/en-us/security/blog/2025/02/13/storm-2372-conducts-device-code-phishing-campaign/

【匯智生活觀察室】 從生活出發，觀察科技與數位時代的大小事，分享實用資訊，讓科技更貼近日常。 由Cloudmax匯智資訊策劃，持續關注科技、資安與數位生活議題。 官方網站：www.cloudmax.com.tw

圖片來源：Cloudmax 匯智／AI生成