Sophos X-Ops 於 10 月 19 日公布一宗現代雲端身分入侵案例。攻擊者冒充企業服務台，以電話誘導使用者提供簡訊 MFA 驗證碼，藉此完成自助密碼重設（SSPR），取得一個 Microsoft 365 帳號的控制權。
成功重設密碼後，攻擊者在 Entra ID 註冊新的 Windows 裝置，建立由 Primary Refresh Token（PRT）支援的裝置工作階段，再透過 Microsoft Edge 使用該權杖脈絡進行存取。這種方式讓後續活動看起來更像合法裝置登入，而不是單次帳密外洩。
研究觀察到攻擊者透過 Microsoft Graph 偵察雲端資源，存取郵件與 SharePoint 內容，並下載接近 100,000 份文件；此外還觸及 Salesforce，並從 ServiceNow 匯出約 2,500 筆使用者表格紀錄。Sophos 強調，案例並不需要新型惡意程式，主要是對既有身分恢復流程與雲端權限的濫用。
事件顯示，組織不能只監控可疑電子郵件，還要關注異常 SSPR、裝置註冊、PRT 工作階段與跨 SaaS 資料存取。報告中的數字屬單一調查案例，不代表所有同類攻擊的普遍規模。
發生了什麼事
Sophos 公布攻擊者如何由電話誘導密碼重設，進一步取得雲端裝置權杖並跨 SaaS 讀取資料。
為什麼重要
雲端身分一旦遭控制，攻擊範圍可超越信箱，擴及文件、CRM 與 IT 服務管理平台。
影響哪些人
Microsoft 365、ServiceNow、Salesforce 管理者及企業身分防護團隊應檢查重設與裝置註冊流程。
已確認與未確認
已確認研究案例中的下載與匯出數量級；不能據此推定其他企業也有相同損失。