資安廠商或客戶來信說「你們公司的網域出現在竊資日誌（stealer logs）裡」；或是某個早就啟用 MFA 的帳號，被發現從陌生地點存取信箱，本人卻說從沒收到任何 MFA 要求。這兩種情況背後常是同一類惡意程式：資訊竊取程式（Infostealer）。它偷的不只是密碼，還包括瀏覽器裡已經登入的工作階段，攻擊者拿到後可以直接接手一個早已通過 MFA 的連線。

這篇寫給 IT 人員與主管：先說明它偷走什麼、為什麼 MFA 擋不住，再看常見的感染途徑與竊資日誌的地下市場，以 2024 年 Snowflake 客戶資料竊取事件和 2025 年的 Lumma 掃蕩行動為例，最後整理收到通知後的處置步驟與預防做法。各種 MFA 方式的比較不在本文範圍，請見多因素驗證導入指南。

偷走的不只是密碼：MFA 為什麼擋不住

以常見的 Lumma 為例，微軟分析它會從 Chromium 系（包括 Edge）與 Mozilla 系瀏覽器取出儲存的密碼、工作階段 Cookie 與自動填入資料，另外蒐集加密貨幣錢包、VPN 設定檔（.ovpn）、電子郵件與 FTP 用戶端、Telegram 的資料，以及 PDF、DOCX 等使用者文件[1]。換句話說，一台中毒的電腦會把使用者在瀏覽器裡存過的所有帳密一次交出去，公司帳號和私人帳號都在裡面。

MFA 通常只在登入的那一刻檢查身分。登入成功後，網站會發給瀏覽器一個工作階段 Cookie，之後每一次存取都靠它證明「這個人已經驗證過」。攻擊者把這個 Cookie 匯入自己的瀏覽器，網站看到的就是一個已登入的使用者，不會再要求密碼或 MFA。MITRE ATT&CK 把這類手法列為 T1539「竊取網頁工作階段 Cookie」，並指出它能繞過部分 MFA 機制[2]。Google 也坦言，在任何作業系統上，光靠軟體都無法可靠地防止 Cookie 被帶走[3]。

這和 MFA 導入指南提到的 AiTM 釣魚結果相同，都是工作階段被盜；差別在於 AiTM 是在登入過程中攔截，資訊竊取程式則是事後直接從使用者自己的電腦取出。MITRE 指出，FIDO 硬體金鑰這類把登入網域納入驗證過程的方式，可以防止 Cookie 在登入時被代理伺服器攔走[2]；但抗釣魚 MFA 保護的是登入過程，保護不了登入後已經存在電腦裡的 Cookie，這一段要靠後文的工作階段綁定與裝置管控。

怎麼中毒：假驗證頁面、盜版軟體，還有家裡那台電腦

常見感染途徑

美國 FBI 與 CISA 在 2025 年 5 月針對 LummaC2 發布的聯合通報，以及微軟的分析，列出幾種主要途徑[4][1]：

  • 假驗證頁面（ClickFix）：網頁顯示「我不是機器人」之類的驗證，使用者點下去時，惡意指令已經被複製到剪貼簿；頁面接著要求按 Windows 鍵 + R 開啟「執行」視窗、按 Ctrl + V 貼上再按 Enter，實際執行的是經過 Base64 編碼的 PowerShell 指令[4][1]。微軟觀察到這類頁面會被植入原本正常、但遭入侵的網站[1]。
  • 惡意廣告與假下載站：在搜尋引擎投放假廣告，鎖定「Notepad++ download」「Chrome update」這類搜尋，點進去是仿冒原廠的網站[1]。
  • 盜版與破解軟體：把破解版的正常軟體和惡意程式綁在一起，透過檔案分享平台散布；安裝過程看不出異狀，啟動後才默默執行[1]。Bitdefender 指出，受害者常把安全警告當成破解軟體的正常現象而忽略[5]。
  • 釣魚郵件與偽冒軟體：魚叉式釣魚郵件裡的連結或附件，或偽裝成熱門多媒體播放器、工具程式的安裝檔[4]。

FBI 與 CISA 也提醒，LummaC2 的混淆手法能避開用來偵測一般釣魚與偷渡式下載的 EDR 或防毒軟體[4]，所以不能把防線全押在端點偵測上。ClickFix 會在 Windows「執行」對話框的歷史紀錄（登錄機碼 RunMRU）留下痕跡，微軟公布的獵捕查詢就是在這裡找含有 powershell、mshta 等字樣的紀錄[1]；有 EDR 或能收集登錄機碼紀錄的公司，可以用同樣的方式回查。

台灣也看得到同類威脅。數位發展部資通安全署 2026 年 7 月的資通安全網路月報指出，從政府機關聯防情資中發現駭客透過惡意郵件散布 LxBase RAT；這是一種資訊竊取型的遠端操控木馬，會竊取瀏覽器資料、數位錢包與社群平台帳號密碼，還能再下載其他惡意程式[6]。

私人電腦與同步的瀏覽器設定檔

資訊竊取程式最容易得手的地方，往往不是公司管理的電腦。Verizon《2025 年資料外洩調查報告》（DBIR）分析竊資日誌後估計，受害電腦中約 30% 可辨識為企業授權的裝置；而在含有公司登入資料的受害電腦中，46% 是未受管理、同時存放個人與公司帳密的裝置，報告推測多半來自 BYOD，或公司電腦被違規使用[7]。

瀏覽器同步讓問題更難察覺。Okta 的客戶支援系統在 2023 年 9 月 28 日到 10 月 17 日之間遭未經授權存取，涉及 134 個客戶的檔案，其中部分 HAR 檔含有可用來劫持工作階段的權杖[8]。根本原因調查發現，一名員工在公司配發筆電的 Chrome 上登入了個人 Google 設定檔，一個服務帳號的帳密因此被存進他的個人 Google 帳號；Okta 認為最可能的外洩途徑，是這個個人帳號或員工的私人裝置遭入侵，事後也透過 Chrome Enterprise 的設定，禁止公司筆電用個人 Google 設定檔登入 Chrome[8]。反過來也一樣：員工在家裡的電腦登入同一個瀏覽器帳號，公司帳密就跟著同步過去，那台電腦一旦中毒，公司也跟著曝險。

竊資日誌的地下市場與真實案例

服務化的惡意程式

資訊竊取程式多半以「惡意程式即服務」（MaaS）的方式販售。微軟數位犯罪防制單位（DCU）指出，Lumma 至少從 2022 年起在地下論壇販售，開發者透過 Telegram 與俄語論壇推出分級方案，買家可以自行產生惡意程式版本、加上隱匿與散布工具，並透過網頁後台追蹤偷來的資料；開發者在 2023 年 11 月的訪談中自稱約有 400 個活躍客戶[9]。微軟也觀察到 Octo Tempest 等勒索軟體集團在攻擊中使用 Lumma[1]。

偷來的資料會打包成「日誌」轉賣。FBI 與 CISA 引述業界統計，2024 年 4 到 6 月，多個犯罪論壇上販售 LummaC2 日誌的商品超過 21,000 筆，比前一年同期增加 71.7%[4]。

竊資日誌和過去的外洩帳密清單有什麼不同

過去常見的外洩帳密清單（combolist），多半整理自某個網站的資料庫外洩，對公司的威脅主要來自員工在不同網站重複使用同一組密碼。竊資日誌則是從受害者自己的電腦直接取出：Have I Been Pwned 的維護者 Troy Hunt 說明，每一筆紀錄都把網址、電子郵件與密碼連在一起，所以也會包含從未被駭過的服務[10]。如果日誌裡出現你們的 VPN 入口、雲端主控台或 SSO 網址，代表曾有人在中毒的電腦上登入這些服務，可能是員工、承包商，也可能是客戶；再加上同一台電腦的 Cookie，攻擊者拿到的可能是一套可以直接使用的存取權。

這些日誌和勒索軟體事件有明顯的重疊。Verizon 比對 2024 年被勒索軟體集團公布的受害組織與竊資日誌、市場貼文後發現，54% 的受害者網域出現在這些外洩資料中，40% 的受害者有公司電子郵件地址在其中；報告認為這些帳密可能被用於入侵，也顯示初始存取仲介可能參與其中[7]。

案例：2024 年 Snowflake 客戶資料竊取

2024 年 4 月，Mandiant 接獲情資，發現一批資料庫紀錄外流，追查後確認來自某家企業的 Snowflake 執行個體，進而揭露一波針對 Snowflake 客戶的資料竊取與勒索行動，追蹤代號為 UNC5537[11]。重點如下：

  • Mandiant 與 Snowflake 共通知約 165 個可能受影響的組織；調查沒有發現 Snowflake 本身的企業環境遭入侵，Mandiant 處理的每一起事件都追溯到客戶自己的帳密外洩[11]。
  • 攻擊者使用的帳密多數來自過去的資訊竊取程式感染，涉及 VIDAR、RISEPRO、REDLINE、RACOON STEALER、LUMMA 與 METASTEALER 等家族；至少 79.7% 被利用的帳號先前就已外洩，最早的感染可追溯到 2020 年 11 月[11]。
  • 得手的三個條件：帳號沒有啟用 MFA；竊資日誌裡的帳密多年後仍然有效，不少長達四年沒有更換；也沒有設定網路允許清單，只讓可信任的地點連線[11]。
  • 好幾起事件的最初感染發生在承包商的電腦上，這些電腦也被拿來玩遊戲、下載盜版軟體[11]。
  • 攻擊者匯出大量資料後，直接向許多受害者勒索，並在犯罪論壇兜售資料[11]。

這些帳號連 MFA 都沒有，算是最基本的缺口；但這個案例清楚說明竊資日誌的「保存期限」：帳密沒換，幾年前的感染照樣能用。

執法掃蕩之後：Lumma 的例子

2025 年 5 月 13 日，微軟 DCU 向美國喬治亞州北區聯邦地方法院提起訴訟，依法院命令扣押、下架與封鎖約 2,300 個構成 Lumma 基礎設施的網域；美國司法部同步扣押其中央控制架構，並干擾販售 Lumma 的市場，歐洲刑警組織（Europol）的歐洲網路犯罪中心（EC3）與日本 JC3 則協助處理當地的基礎設施[9]。微軟統計，2025 年 3 月 16 日到 5 月 16 日之間，全球有超過 394,000 台 Windows 電腦感染 Lumma[9]。

掃蕩並沒有讓它消失。Bitdefender 在 2026 年 2 月的報告指出，Lumma 的經營者改用較不配合執法的防彈主機（bulletproof hosting），並透過 CastleLoader 等載入程式與假驗證頁面重新大規模散布[5]。對企業來說，執法行動能爭取一些時間，但不能當成防禦計畫的一部分；市面上也不只一個家族，光是 Snowflake 事件就涉及至少六種。

收到「網域出現在竊資日誌」的通知之後

先弄清楚曝險範圍

通知可能來自資安廠商、外部情資服務或執法單位，也可以自己查。Have I Been Pwned 的網域搜尋要先驗證你確實控制該網域；竊資日誌可以依電子郵件網域或網站網域查詢，但需要付費訂閱，而且只回傳網域與電子郵件地址，不提供密碼[12]。評估商業情資服務時，重點是它能否告訴你是哪個帳號、哪個網址、什麼時候感染，以及受害的是不是公司裝置。拿到資料後先分類：

  • 公司網域的電子郵件出現在日誌：這個人用過的某台電腦中毒了，不一定是公司電腦，日誌裡也可能同時有他的私人帳號。
  • 公司的網址出現在日誌：例如 VPN、SSO、客戶入口網站，代表有人在中毒的電腦上登入過這些服務，可能是員工、承包商或客戶。
  • 比對受害電腦：Lumma 這類程式會一併蒐集作業系統版本、語系、已安裝程式等系統資訊[1]，可以用來和資產清冊比對是哪一台電腦。

處置步驟

確認有帳號或裝置出現在竊資日誌時，依序處理：

  1. 先處理中毒的裝置：公司電腦隔離後重灌，不要只跑一次防毒掃描就放回去。資訊竊取程式常和其他惡意程式一起出現，例如資安署提到的 LxBase RAT 能下載後續的惡意程式[6]，微軟也看過 Lumma 和 XWorm 被包在同一個執行檔裡散布[1]。私人電腦請本人重灌，完成前阻擋它存取公司資源。
  2. 從乾淨的裝置重設密碼：不只公司帳號，那個瀏覽器存過的每一組密碼都要換，包括會用來登入公司服務的私人帳號。
  3. 撤銷所有工作階段與更新權杖：只改密碼，已經被偷走的 Cookie 不一定會失效。Microsoft 365 與 Google Workspace 的操作方式見公司信箱帳號被盜用怎麼辦；VPN、SaaS 與內部系統各自的工作階段也要一併撤銷。
  4. 輪替電腦上找得到的金鑰與權杖：API 金鑰、雲端命令列工具的存取憑證、SSH 金鑰、VPN 設定檔，以及 FTP 與郵件用戶端存的帳密。Lumma 會蒐集 VPN 設定檔、FTP 與電子郵件用戶端資料和使用者文件[1]；Snowflake 事件也顯示，沒換的帳密多年後依然有效[11]。
  5. 檢查帳號有沒有被動手腳：新增的 MFA 方式、收件匣規則與轉寄設定、使用者同意過的應用程式授權，檢查方法見公司信箱帳號被盜用怎麼辦。
  6. 回查記錄：從感染日期開始，找這些帳號來自陌生 IP 或陌生裝置的存取；MITRE 建議留意「不可能的移動」等工作階段被重放的跡象[2]。記錄該保存多久見日誌與記錄保存。

如果已經看到攻擊者在環境裡活動，改依疑似遭入侵的前 24 小時處理；內部人力不足時，可以考慮尋求事件應變服務協助。

預防：讓偷到的東西用不了

  • 不讓瀏覽器存密碼：用政策關閉瀏覽器內建的密碼儲存，改用公司管理的密碼管理器，選擇與導入見密碼政策與密碼管理器。以 Microsoft Edge 的 PasswordManagerEnabled 政策為例，停用後使用者不能再儲存新密碼，但先前存的仍然可以使用[13]，所以還要請使用者把要繼續用的密碼移到密碼管理器，再清除瀏覽器裡的舊資料。同時禁止公司電腦的瀏覽器登入個人帳號並同步，這正是 Okta 事後採取的措施[8]。
  • 抗釣魚 MFA：Snowflake 事件的帳號只要有 MFA，光有密碼就登入不了。FBI、CISA 與微軟都建議採用抗釣魚 MFA[4][1]，導入順序見多因素驗證導入指南。
  • 工作階段綁定（Microsoft）：要讓偷走的 Cookie 失效，得把工作階段綁在原本的裝置上。Microsoft Entra 的 Token Protection 是條件式存取的工作階段控制，只接受與裝置綁定的登入工作階段權杖；目前可在 Windows 與受 MDM 管理的 Apple 裝置上，對原生應用程式存取 Exchange Online、SharePoint Online 與 Teams 強制執行，瀏覽器中的網頁應用程式則仍在預覽，且只支援存取 Azure Resource Manager 的部分應用[14]。換句話說，Outlook 網頁版這類瀏覽器工作階段目前還不在保護範圍內。
  • 工作階段綁定（Google）：Google 的 DBSC（Device Bound Session Credentials）在 2026 年 4 月開放給 Windows 版 Chrome，macOS 將在之後的版本跟進；它用 TPM 等硬體產生無法匯出的金鑰，伺服器只在瀏覽器證明持有私鑰時才發出新的短效 Cookie，但其他網站必須自行在後端加上註冊與更新的端點[3]。Google 帳號本身已經套用：Windows 版 Chrome 上的 Google Workspace 帳號自 2026 年 5 月 25 日起逐步預設啟用 DBSC，管理者無法關閉，推出期最長約 60 天，個人 Google 帳號也適用；管理者可以在安全性調查工具的稽核記錄中查看綁定事件[15]。Token Protection 與 DBSC 目前都只涵蓋部分應用與平台，可以先在支援的範圍內啟用，但還不能取代其他控制。
  • 條件式存取要求合規裝置：MITRE 建議用條件式存取限制只能從受信任的裝置登入，例如已註冊到 Intune 或加入 Entra 的裝置，讓被偷的權杖無法在未經授權的裝置上重複使用[2]。微軟也提醒，Token Protection 目前只涵蓋 Windows 與 Apple 裝置，攻擊者可能偽裝成其他平台來繞過，因此要同時設定「封鎖未知平台」與「所有已知平台都要求裝置合規」兩項原則[16]。對資料庫、雲端主控台這類核心系統，再加上網路位置的允許清單[11]。這樣一來，公司帳號就不能在沒有管理的家用電腦上使用。
  • 縮短工作階段壽命：MITRE 建議縮短 Cookie 的有效期限，或定期刪除持久性 Cookie[2]，被偷的 Cookie 能用的時間就跟著縮短。
  • 應用程式控制與 EDR：FBI 與 CISA 建議導入應用程式白名單，設定得當時可以封鎖任何不在清單上的程式，包括可攜式執行檔；防毒軟體可能偵測不到經過壓縮、加密或混淆的可攜式執行檔[4]。微軟則建議以封鎖模式執行 EDR，並啟用攻擊面縮減（ASR）規則，例如封鎖不符合普及度、存在時間或信任清單條件的執行檔，以及封鎖經過混淆的指令碼[1]。
  • 教育訓練講清楚一件事：正常的驗證頁面不會要你按 Windows 鍵 + R 貼上指令。把假驗證頁面、假下載站與破解軟體的實際畫面放進宣導教材。

行動清單

  • 查一次公司網域在 Have I Been Pwned 等服務的曝險狀況，並指定收到竊資日誌通知時由誰負責處理。
  • 把處置順序寫成作業程序：裝置重灌、從乾淨裝置重設所有存過的密碼、撤銷工作階段、輪替金鑰與權杖、檢查 MFA 與信箱規則。
  • 用政策關閉瀏覽器內建的密碼儲存，清除既有的已存密碼，改用公司管理的密碼管理器。
  • 禁止在公司電腦的瀏覽器登入個人帳號並同步，公司帳號只允許在合規裝置上使用。
  • 管理員、遠端存取與雲端資料平台的帳號優先改用抗釣魚 MFA，並限制可連線的網路位置。
  • 評估 Entra Token Protection 與 Chrome DBSC 在公司環境能涵蓋哪些應用，先在支援的範圍內啟用。
  • 導入應用程式白名單，或至少以封鎖模式執行 EDR；在公司規範中明文禁止安裝破解軟體。
  • 用 RunMRU 紀錄回查是否有人照假驗證頁面的指示執行過指令，並把這個手法加進資安宣導。
  • 承包商與外包人員也要納入：要求使用受管理的裝置，或至少縮小他們帳號的存取範圍。