隨著越來越多企業將微軟Copilot集成到其日常工作中，網絡犯罪分子瞄準了這一AI助手的用戶，發起了高度復雜的釣魚攻擊。微軟Copilot自2023年推出以來，因其與Microsoft 365應用的深度集成和AI驅動的功能，迅速成為許多企業的重要生產力工具。然而，這種廣泛的應用也為網絡犯罪分子提供了新的攻擊渠道。

釣魚攻擊的具體手法

根據Cofense的最新發現，攻擊者正在分發精心制作的釣魚郵件，這些郵件偽裝成來自“Co-pilot”，模仿微軟的正式通信。攻擊通常以虛假的Copilot服務發票通知郵件開始。報告中指出：“對于這類新服務，員工可能不太清楚應該收到什么樣的郵件。他們可能不熟悉這些郵件的格式或外觀，因此很容易想象，首次使用該服務的員工會收到這種偽造的服務發票，從而被騙點擊其中的鏈接。”

當收件人點擊釣魚郵件中的鏈接時，他們會被重定向到一個與微軟Copilot歡迎頁面高度相似的欺詐頁面。這些頁面仿制了微軟的界面設計，包括品牌元素和布局，但網址并不屬于微軟的域名，而是諸如“ubpages.com”等無關網站。欺騙手段并未就此停止，隨后還會出現一個模仿微軟身份驗證流程的登錄提示。

安全分析師指出，這些釣魚頁面通常缺乏“忘記密碼”功能，這是憑證盜竊類網站的常見缺陷，因為攻擊者無法提供真正的密碼重置服務。攻擊的最后階段尤為令人擔憂：受害者輸入憑據后，會進入一個偽造的微軟身份驗證器多因素認證（MFA）頁面。當員工等待MFA提示時，攻擊者可能正等待機會更改密碼或執行其他操作。

如何保護企業免受攻擊

企業可以通過實施全面的安全措施來抵御這些新興威脅。微軟的假冒智能洞察工具可以幫助識別和管理假冒的發件人，允許合法的通信，同時攔截潛在威脅。Cofense營銷副總裁Susan Warner指出：“每天發送的電子郵件超過2800億封，同時有報告稱，90%的數據泄露始于惡意郵件。遺憾的是，釣魚攻擊對許多網絡犯罪分子仍然有效，他們繼續利用這種方式發動攻擊。”

隨著微軟在其產品套件中不斷集成AI功能，安全專業人員必須對新興威脅保持警惕。實際案例顯示，攻擊者已經發送了聲稱向用戶收取360美元Microsoft Copilot服務費用的釣魚郵件。AI技術與傳統釣魚手段的結合，標志著威脅格局的重大演變。通過了解這些攻擊方法并實施適當的防護措施，企業可以在享受Microsoft Copilot等工具帶來的生產力優勢的同時，有效降低風險。