M365網路釣魚防護警示可遮蔽，有心人士可透過CSS樣式表隱藏

釣魚郵件攻擊橫行，收信軟體搭配相關的警示機制提醒使用者提高警覺，但這樣的機制也可能被干擾，導致使用者無法看到相關訊息。

例如，收信軟體Outlook在用戶收到鮮少往來的電子郵件信箱寄出的信件時，會顯示警告訊息，提醒用戶這封信件可能有問題，這項功能微軟稱做首次聯絡安全提示（First Contact Safety Tip），是Microsoft 365當中的Exchange Online Protection（EOP）及Microsoft Defender提供的釣魚防護機制，如今研究人員發現，攻擊者找到方法隱藏這種警示訊息，增加網路釣魚攻擊成功率。

資安業者Certitude指出，微軟將這項警示訊息放置在電子郵件的主體（Body）開頭，攻擊者其實能藉由指定郵件的階層樣式表（CSS）隱藏相關訊息。了實際驗證上述手法可行，他們在寄出的郵件加入特定的CSS樣式表，將背景及字體都變成白色，就能阻止收信人看到警示。

研究人員進一步進行改造，使郵件看似經過加密及簽章處理、具有Outlook加上的圖示，而達到幾可亂真的效果。

雖然這兩種手法並不完美，較為細心的收信人有機會察覺異狀而提高警覺，但研究人員認為，這樣的做法還是會讓許多粗心的使用者上當，而讓攻擊者能夠得逞，以便執行下一步的攻擊行動。

對此，Certitude今年2月通報相關發現，微軟確認、肯定研究人員揭露的缺陷，但因為不符須立即改進的標準而暫時不處理，但會作為未來改進產品的參考。