微软账户遭3轮爆破：伊朗黑客把密码当导弹用

300多家组织、25个阿联酋机构、3次精准时间窗口——这不是军事演习的数据，是Check Point Research刚刚锁定的网络攻击规模。伊朗背景的黑客组织把密码喷洒（password spraying）玩成了数字化炮击，目标直指以色列市政系统。

市政系统成了情报前哨站

Check Point在3月25日发布的报告中披露，攻击分三波推进：3月3日、3月13日、3月23日。时间点选得刁钻，恰好覆盖伊朗对以色列的导弹打击周期。市政部门在战时负责评估建筑损毁、调度救援资源，攻破这些账户等于在敌方指挥部装了窃听器。

研究人员发现，被密码喷洒锁定的城市与遭导弹袭击的城市存在地理重叠。「这暗示该行动很可能旨在支持动能作战和轰炸毁伤评估（BDA）」，报告原文如此写道。换句话说，键盘上的操作与战场上的爆炸形成了闭环。

攻击者没用什么高级漏洞。他们拿Tor出口节点当跳板，每轮扫描换一批IP，User-Agent伪装成IE10——一款2013年发布的浏览器，现在连微软自己都懒得维护。这种复古配置反而成了识别特征，像罪犯故意穿旧款衣服躲避监控，却因款式太老被记住。

密码喷洒的流水线作业

第一阶段是饱和式试探。攻击者向数百个组织的微软365账户批量投递弱密码，比如「Password123」「Company2024」这类管理员看了会血压飙升的组合。一旦撞开缺口，立刻切换至商业VPN：Windscribe的185.191.204.X段或NordVPN的169.150.227.X段，IP地理定位强制设为以色列境内。

这种「本地化伪装」绕过了基于地理位置的访问限制。系统日志显示正常用户从特拉维夫登录，实际操控者可能在德黑兰的某个地下室。

拿到有效凭证后，黑客直奔个人邮件和敏感文档。市政系统的邮箱里通常存着什么？疏散路线图、应急物资储备、关键基础设施状态——全是轰炸毁伤评估的拼图碎片。

Check Point将攻击手法与伊朗伊斯兰革命卫队旗下的Peach Sandstorm、Gray Sandstorm等组织关联。这些团伙以密码喷洒作为标准入场券，专挑高价值目标下手。本次行动中，他们还动用了红队工具，通过Tor节点执行攻击，技术指纹与Gray Sandstorm的历史活动吻合。

被忽视的63次科技业试探

市政部门承受了主要火力，但攻击者的雷达扫过多个行业。Check Point的统计显示：科技行业遭遇63次尝试，交通运输与物流32次，医疗健康28次，制造业28次。这些数字远小于市政系统的规模，却暴露了攻击者的情报胃口——科技公司可能掌握供应链数据，物流网络映射着战时物资流动，医院数据库里有伤亡统计。

更值得玩味的是地理分布。虽然以色列和阿联酋是重灾区，但同一攻击者对美国、欧洲、沙特的「有限数量」目标也进行了试探。这种广撒网策略像是压力测试：看看哪些节点的响应延迟、哪些账户的密码策略松弛，为后续行动储备入口。

攻击基础设施中出现了AS35758（Rachamim Aviel Twito）托管的商业VPN节点。这家以色列本土网络服务商的名字出现在近期多起疑似伊朗关联的中东网络行动中，像同一把钥匙反复插入不同的锁孔。

从邮箱到简历：同一时期的另一把刀

密码喷洒报告发布前后，另一支伊朗关联团伙Handala Hack正忙着搞行为艺术。他们入侵了FBI局长Kash Patel的个人邮箱，泄露其简历和照片，并留下宣言：「这只是我们的开始。」

Handala Hack是Stryker破坏性攻击的幕后推手，该组织与伊朗情报机构存在关联。从市政密码爆破到联邦高官邮箱沦陷，伊朗背景的黑客群体似乎进入了「高频曝光模式」——不求隐蔽，只求震慑。

这种策略转变值得玩味。传统网络间谍追求长期潜伏、缓慢渗透，而近期的操作更像心理战：快速得手、公开炫耀、制造不确定性。对以色列而言，导弹袭击的物理破坏叠加账户入侵的情报渗透，形成了复合压力。

微软365的防御盲区

密码喷洒能奏效，往往因为基础防护的溃坝。多因素认证（MFA）本可拦截大部分尝试，但许多组织的遗留账户或第三方服务账号仍依赖单点密码。攻击者像挑软柿子一样，专门寻找这些未受保护的入口。

Check Point建议企业启用MFA、监控异常登录地理、限制旧版浏览器访问。这些措施写在无数安全手册里，执行率却始终打折扣——直到导弹落下、密码泄露，才想起本该锁好的门。

市政系统的特殊性加剧了风险。它们预算有限、IT人员短缺、系统老旧，却承担着战时最关键的基础设施运营。当攻击者把密码喷洒与物理打击同步，网络安全的漏洞直接转化为战场情报的泄露。

微软365作为全球数亿组织的生产力底座，其安全态势早已超越企业IT范畴，成为国家基础设施的一部分。这次攻击证明，针对云账户的批量试探可以服务于传统军事行动——键盘和导弹，正在共享同一套目标清单。

Check Point的研究人员没有预测下一步行动。他们只是把3月3日、13日、23日的攻击时间线摆出来，让读者自己看日期与导弹袭击的对应关系。这种克制本身就是一种提醒：当密码喷洒的频率与炮火密度同步上升，防御者该重新评估什么才是真正的前线？