Varonis发现TrustSink MFA攻击漏洞

发生了什么

据Bleeping Computer报道，Varonis Threat Labs发现名为TrustSink的攻击技术。拥有高权限 Entra 账户的攻击者可注册恶意外部多因素认证(MFA)提供商，在合法登录流程中插入伪造的Microsoft密码提示框。该提示框以明文形式窃取用户密码，随后返回有效签名令牌使登录成功且无错误显示。该技术适用于任何依赖外部认证模型的提供商。