微软回应OneDrive用户名枚举风险

发生了什么

据IT之家报道，微软针对OneDrive URL探测问题回应称，攻击者可通过批量访问链接枚举用户主体名称（UPN），但微软将此归类为低风险侦察手段，认为其无法直接绕过身份验证。微软已采取IP限流措施，对反复尝试访问不存在站点的客户端返回HTTP 429错误。微软强调风险在于后续的钓鱼或撞库攻击，并建议用户启用多因素身份验证（MFA）、配置条件访问及部署钓鱼防护。