公司要求員工開啟多因素驗證，卻可能漏看早已取得授權的第三方應用程式。微軟 10 月 21 日公布一波利用代理式 AI 加速的攻擊活動，提醒企業注意這個常被忽略的入口。

微軟將相關行動歸因於與中國國家力量有關的 Storm-0940，指出其使用 ARTEX 框架，將既有攻擊流程自動化，目標涵蓋全球多個產業。這是微軟的威脅情報判斷，不能擴大成對所有中國開發者或工具的指控。

AI 改變的是攻擊速度與規模

依微軟觀察，部分案例從開始鎖定到取得雲端高權限存取，不到三小時。這不代表所有被鎖定的企業都遭入侵，也不是每次攻擊都能成功。

值得留意的是，代理工具可以持續嘗試、整理資訊並接續執行步驟，讓原本需要更多人工時間的流程加快。企業的回應速度，也因此不能只依賴隔天上班後才查看的通知。

這次事件另涉及 ConnectWise 多租戶應用程式遭入侵。微軟表示，活動並非源於其企業系統、產品或服務的漏洞，不能簡化成「微軟 AI 被駭」。

為什麼員工沒登入，也可能有存取活動？

企業常讓外部服務連接郵件、檔案或管理功能。授權完成後，部分應用程式可以用自身憑證運作，不需要每次都請員工重新登入。

若這類憑證或權限被濫用，單看使用者有沒有通過多因素驗證，可能看不出完整情況。資訊團隊還要檢查應用程式的登入、憑證變更與權限變動。

這也是「大家都換密碼了」不一定代表事件已處理完的原因。人的帳號、服務帳號與第三方 App，應放在同一份權限盤點中。

有安裝相關 App，不等於資料已被偷走

微軟特別說明，存在受影響應用程式或曾發生驗證活動，不能單憑這兩點就認定客戶資料已遭讀取或外傳。仍需調查後續行為與紀錄。

這個界線對企業通知很重要。說得太輕，可能讓使用者忽略風險；說得太滿，又可能把尚未確認的狀況當成既定事實。

處理時應保留相關日誌，依供應商公告進行限制與恢復作業。尤其是恢復連線，不能只因服務頁面重新打得開，就認定所有安全條件都已完成。

小公司可以先做一份外部連接清單

不一定要等大型資安專案才開始。先列出哪些服務接到公司的信箱、雲端硬碟、訂單和管理帳戶，記下用途、負責人、權限與最後使用時間。

已經不用的連接，可以交由管理者評估撤除；仍在用的，確認是否需要目前所有權限。當供應商發生事件時，這份清單能讓公司更快知道自己是否使用相關功能。

把「誰可以進來」從員工帳號延伸到應用程式，是這次事件最直接的提醒。今天就請負責資訊的人找出權限最高的三個外部服務，確認必要性與緊急聯絡方式。

常見問題

有多因素驗證就不會受影響嗎？

不一定。第三方應用程式可能透過自身憑證運作，需要另外檢查授權與行為。

使用相關供應商就代表資料被偷嗎？

不能直接推論。需依產品範圍、活動紀錄與調查結果確認。