QR Code網釣濫用微軟Sway從事攻擊行動，意圖竊取M365帳號

為了迴避網址過濾系統的檢查，駭客利用QR Code從事網路釣魚（Quishing）的情況，最近兩至三年可說是越來越常見，但如今駭客結合微軟雲端簡報服務Sway來引誘使用者上當。

資安業者Netskope指出，他們今年7月察覺濫用Sway的網路釣魚攻擊流量爆增2千倍，而且，駭客使用的網頁大多數都運用了QR Code而引起他們的注意。研究人員指出，駭客透過對手中間人（AiTM，或稱為Transparent Phishing）攻擊手法，利用捏造的登入網頁，取得多因素驗證所需資料，最終的目的是竊取受害者的Microsoft 365帳號。

再者，攻擊者為了防止資安系統察覺有異而攔截，他們濫用Cloudflare Turnstile圖靈驗證機制，確保攻擊目標是人類。

值得一提的是，駭客使用的QR Code，應該是透過Chrome和QR Code Generator Pro服務產生，但為何利用這些方式產生QR Code，研究人員並未說明。