加拿大警示假冒 IT 語音釣魚持續針對法律及金融界

主要來源公告：2026-10-28

本站刊登：2026-10-31 · 內容更新：2026-10-31（香港日期）

情報摘要

加拿大網絡安全中心於10月28日發出 AL26-028 警報：假冒內部 IT 的語音釣魚活動持續針對加拿大機構，10月集中於法律界。騙徒可經電話或 Microsoft Teams 誘導員工登入假網頁，即時轉送驗證資料以取得工作階段。

警報引述的入侵後行為包括新增攻擊者控制的 MFA、存取及外洩 Microsoft 365 資料，以及勒索；這不代表所有受針對機構均發生上述後果。

機構身分驗證與 Microsoft 365 雲端帳號；非特定產品版本漏洞

法律、金融及專業服務機構的 IT、保安人員與員工

按官方建議部署抗釣魚 MFA（如 FIDO2），加強條件式存取及帳號復原核實；員工應透過獨立渠道確認突如其來的 IT 來電。懷疑入侵時撤銷工作階段及權杖、重設憑證、移除未授權 MFA，並保留稽核紀錄。

官方警報未提供 CVSS 或分級；不將帳號接管風險轉換成虛構漏洞評分。

本文只涵蓋官方活動警報，不核實個別律師樓、受害帳號或外洩檔案數目，也不作特定組織歸因。

未核實香港機構或客戶受影響；防護建議供相關機構參考。

公告日並非事件起始日；確切受害範圍及個別事件日期未在本文確立。