微软威胁情报团队在 2026 年初披露的攻击向量揭示了一个令人担忧的趋势：攻击者正通过滥用内部通知机制，让钓鱼邮件伪装成组织内部合法通信。这种攻击方式的核心在于利用邮件路由配置的复杂性，绕过传统的身份验证检查，使恶意邮件在收件箱中呈现出 "自己发给自己" 的可信外观。
攻击入口：配置缺陷与社工的结合
攻击链路的起点通常是对邮件基础设施配置的侦察。当组织的 MX 记录未直接指向 Microsoft 365，而是经过本地 Exchange 服务器、第三方邮件网关或归档服务进行中转时，邮件的验证路径变得复杂。攻击者首先识别这些配置差异，然后利用弱化的 DMARC 和 SPF 策略作为突破口。
在社工层面，攻击者不需要直接攻破用户凭据。相反，他们利用邮件系统的信任传递机制 —— 当一封邮件经过复杂的内部路由后，接收端的验证逻辑可能出现判断偏差。微软指出，自 2025 年中以来，这种攻击向量的利用频率显著上升，攻击者将其与 Tycoon 2FA 等钓鱼即服务平台结合，形成完整的攻击链条。
权限扩散：从外部到 "内部" 的跃迁
攻击的关键转折点在于攻击者如何让外部邮件获得内部可信度。当 MX 记录指向非 M365 系统时，邮件在到达最终收件人之前可能经过多个中继节点。在这个过程中，标准的 SPF 硬失败检查和严格的 DMARC 执行策略可能无法正确应用。
攻击者利用这一间隙，构造发件人地址与收件人地址相同的邮件。在邮件客户端的默认视图中，这种 "自己发给自己" 的呈现方式极具欺骗性。攻击者还会修改发件人显示名称，使其与内部系统通知或 IT 部门通信的风格一致。由于邮件确实通过了组织的邮件基础设施，传统的基于信誉的过滤机制难以将其标记为恶意。
这种权限扩散的隐蔽性在于，攻击者并未真正获得内部账户的凭据，而是滥用了邮件系统的配置逻辑。邮件头中可能包含多个 Received 字段，显示邮件经过了组织内部的邮件服务器，这种 "内部路由痕迹" 进一步增强了邮件的可信度。
取证溯源：重建攻击时间线的关键节点
事件响应团队在调查此类事件时，需要重点关注以下取证维度：
邮件头分析：完整的邮件头信息是重建路由路径的核心证据。调查人员应提取所有 Received 字段，识别邮件实际来源 IP 与声称来源的差异。特别注意 X-MS-Exchange-Organization-AuthSource 和 X-MS-Exchange-Organization-AuthAs 等 M365 特有的头字段，这些字段记录了微软系统的验证决策。
DNS 配置审计：检查 MX 记录的实际指向是识别攻击面的关键步骤。使用 nslookup 或 dig 工具查询组织域名的 MX 记录，确认其是否直接指向 Microsoft 365（通常形式为 *.mail.protection.outlook.com）。任何指向第三方服务或本地服务器的配置都需要深入审查。
认证策略验证：通过 DMARC 记录查询（_dmarc. 域名）和 SPF 记录查询，验证组织的邮件认证策略强度。特别注意是否存在 p=none 的宽松 DMARC 策略，或包含 + all 等允许任意发送的 SPF 机制。
时间线关联：将可疑邮件的时间戳与邮件服务器日志、身份验证日志进行交叉比对。攻击者通常会在非工作时间批量发送钓鱼邮件，以避开实时监控。
可落地的响应清单
针对此类攻击，事件响应团队应建立以下检测与响应参数：
检测规则：
- 监控 From 与 To 地址相同的入站邮件，特别是当发件人域名为组织内部域名时
- 识别邮件头中 Received 字段数量异常（超过 3 跳）的外部邮件
- 标记 SPF 验证结果为 softfail 或 none 的入站邮件
响应动作：
- 立即隔离匹配的邮件，阻止用户交互
- 检查受影响用户的登录日志，确认是否存在凭据泄露迹象
- 审查邮件流规则，确认第三方连接器配置是否允许验证检查通过
溯源取证：
- 提取邮件完整头信息，绘制路由拓扑图
- 查询发送方 IP 的地理位置和历史信誉
- 分析邮件内容中的 URL 重定向链，识别最终的钓鱼落地页
这类攻击的防御难点在于其利用了合法的基础设施组件。事件响应的价值不仅在于遏制单点事件，更在于识别配置层面的系统性风险。当 MX 记录指向复杂路由时，组织需要确保每一跳都保持验证策略的一致性，否则攻击者将持续利用这些信任间隙。
资料来源
- Microsoft Threat Intelligence: Phishing actors exploit complex routing and misconfigurations to spoof domains (2026-01)
- CSO Online: Microsoft warns of a surge in phishing attacks exploiting email routing gaps (2026-01)
内容声明：本文无广告投放、无付费植入。
如有事实性问题，欢迎发送勘误至 i@hotdrydog.com。