事件概述
微软官方 X 账号（@microsoft，粉丝超过 1300 万）于 10 月 1 日至 2 日间遭未授权访问，被用于推广一款与 Clippy 形象绑定的加密货币代币。攻击者控制账号约 30 分钟，期间更换头像、关注并转发一个 Clippy 主题账号，还以微软口吻发布”点赞达到 50 万就让 Clippy 回归”的帖文。
微软发言人确认：”我们已确认有人未经授权访问了我们在 X 上的账号，包括发布了一些并非来自微软的帖文。该账号已得到保护，未授权帖文已被删除，我们正在继续调查。”
事件经过
- 攻击者先让微软账号关注 @clippymsftcto。该账号发布 Clippy 站在 Windows XP 经典壁纸前的图片，并提问”多少点赞才能让 Clippy 回归”。
- 被劫持的微软账号引用该帖文，声称”点赞达到 50 万，我们就让 Clippy 回归”，制造微软官方承诺的假象。
- 微软账号头像被临时换成 Clippy 形象，以增强欺骗性。
- 约 30 分钟后，账号出现一条”道歉声明”，称微软不支持、不认可任何与 Clippy、微软或 $MSFT 相关的加密代币，并将采取法律行动。微软随后确认这条帖文同样非官方发布，并已删除。
- 推广方还声称该代币”拥有与 $MSFT 直接配对的流动性池”，此说法与微软股票没有任何关系。
技术细节与可能入口
微软未披露攻击者如何取得账号控制权。按此类账号劫持的常见路径，可能入口包括：
1. SIM 交换：劫持与账号绑定的手机号，重置密码
2. 邮箱接管：控制可用于密码重置的邮箱账号
3. 会话 Cookie 窃取：通过信息窃取类恶意软件窃取已登录会话
4. 第三方社交媒体管理工具：工具侧持有长期凭证被滥用上述任一路径都可在不需要 X 平台自身被攻破的前提下，获得数十分钟的完整控制权。微软印度账号曾在 2024 年 6 月被劫持，用于发放加密钱包窃取恶意程序；美国 SEC 的 @SECGov 账号则在 2024 年初的 SIM 交换攻击中被用来发布比特币 ETF 虚假获批消息。
影响评估
这类事件的关键危害不在技术层面，而在信任放大：攻击者无需自建可信度，直接”借用”了拥有蓝标与千万级粉丝的品牌账号。从发出帖子到代币完成一轮拉升出货，往往只需几分钟，被吸引的用户很难在三次点击内完成核实。
本次事件无 CVE 编号，也不属于软件漏洞，属于典型的账号接管（Account Takeover）与社会工程结合的资金诈骗前置环节。事件同时暴露出企业账号治理的一个常见缺口：清理动作本身也被攻击者利用——那条虚假”道歉声明”一度被认为是官方回应。
修复与缓解建议
- 为所有官方社交账号启用抗钓鱼的多因素认证，优先使用硬件安全密钥而非短信验证码。
- 清点并最小化第三方社交管理工具的长期授权，定期轮换其凭证，及时回收离职人员权限。
- 将浏览器会话 Cookie 与恢复手机号视为高价值机密；在疑似设备失陷后立即轮换会话并重置凭证。
- 配置账号异常监控：关注对象突变、资料图片变更、异常发布时段与非本地登录。
- 提前准备危机沟通预案与快速下架流程，明确”由谁发布、发布后如何核验”，避免攻击者抢先以品牌口吻发声。