Microsoft 365 陷入色情电子邮件丑闻

黑客们正在利用 Microsoft 365 管理门户网站巧妙地发送色情电子邮件，这些邮件可以躲过垃圾邮件过滤器，直接进入您的收件箱。这些骗局利用 Microsoft 365 消息中心--一个专为服务和功能的合法更新而设计的工具。网络犯罪分子没有发送真正的更新，而是滥用其 “共享” 功能来推送他们的诈骗信息，让它们看起来像是直接来自微软。

情况是这样的：这些电子邮件声称你的设备被黑客入侵，他们掌握了你的丑闻，比如你的隐私视频或图片。然后，骗子要求用比特币付款，威胁说如果你不付钱，他们就会分享这些所谓的资料。这是一个大胆的举动，而使用合法的微软电子邮件地址则让它看起来更加真实。

让这些邮件变得尤为危险的是，它们是如何绕过电子邮件安全系统的。通常情况下，这些诈骗邮件会被过滤器标记，但由于它们是从一个可信的微软地址 “o365mc@microsoft.com” 发送的，因此它们可以神不知鬼不觉地通过。

显然，这些骗子正在滥用 Microsoft 365 消息中心 “共享” 选项中的 “个人信息” 字段，该字段的目的是在共享咨询时添加简短的注释。通常，这个字段的上限是 1000 个字符，但攻击者已经找到了绕过它的方法。通过使用浏览器开发工具，他们调整了 HTML 文本区域元素中的最大长度属性，以允许更长的信息。这样，他们就可以在电子邮件中包含完整的色情文本，而无需截断。

这对微软来说简直是尴尬之极，因为网络安全的第一条原则就是 “Never trust user input”。这一原则通常被表述为 “绝不相信来自浏览器的内容”，它强调客户端验证（如字符限制）是不可靠的。如果没有服务器端检查来执行这些限制，电子邮件系统就会盲目地处理和发送更改过的邮件。

虽然这种技术让骗子们绕过了过滤器，但用户还是有必要认清这些电子邮件的真面目：骗局！ Bleeping Computer 表示：微软已经承认了这个问题，并正在调查滥用情况，但到目前为止，还没有添加服务器端检查来防止此类邮件。

Microsoft Answers 论坛上发布了一封此类诈骗邮件的副本，一位用户在论坛上分享了令人不安的内容。这封邮件包含奇怪的箭头符号和收件人的详细信息，包括他们的生日，以使其看起来更真实。它威胁说，除非在 48 小时内支付比特币，否则就会分享泄密视频。

性勒索电子邮件已经不是什么新鲜事了，但它们正变得越来越恶心，越来越先进。这些骗局的一大部分都是由西非臭名昭著的 “Yahoo Boys” 等团伙所为，他们已经把这变成了一场全面的行动。他们在 TikTok 和 YouTube 等平台上分享操作指南，在 Instagram 和 Snapchat 等应用程序上以青少年和年轻人为目标。