# Microsoft 365 帳號遭到詐騙或被駭客入侵後的解鎖方法

我們公司主要採用 [Microsoft 365](https://www.microsoft.com/zh-tw/microsoft-365/microsoft-365-enterprise) (`M365`) 為主要的協作平台，背後自然使用的是地表最強大的 [Microsoft Entra ID](https://learn.microsoft.com/en-us/entra/fundamentals/whatis?WT.mc_id=DT-MVP-4015686) 服務。我們上個月有位同事被 Entra ID 判定有 MFA 異常登入的狀況，導致帳號被鎖定，無法使用 MFA 登入，因此導致他完全無法使用任何 `M365` 服務。我當時也不知道怎樣處理的，可能是設定讓他重新設定 MFA 之類的，反正他就正常可以登入了。結果過了一個多月，就在前幾天，同一個人，他的帳號又再次被鎖定，這次鎖的更緊了，害我怎樣都解鎖不了，還必須要動用微軟技術支援中心才能解決。這次我還是認真做一下筆記好了，以免日後再有同仁遇到帳號被鎖定的狀況。

### 事件經過

整個事件是這樣的：

1.  我在 `2024/03/12 下午 04:34:07` 收到一封由微軟 M365 平台寄來的 MFA 詐騙通知，上面有標示哪個帳號被詐騙！
    
    ![Multi-Factor Authentication Fraud Alert](https://stwillblogassets.blob.core.windows.net/files/images/external/github.com/1a5340d7ef3bb38c74e9-3bd28968-d455-4871-872c-3b807d8f60fc.png)
    
2.  我當下立刻詢問同事，問他帳號是否被入侵？我們公司有導入 `ISO 27001:2022` 資訊安全管理系統 (ISMS)，所以有資安事件都要通報與記錄。
    
    以下是我跟他的對話記錄：
    
    我：「請問你的公司帳號有被盜嗎？」
    
    同：「沒有歐，應該是不小心按到 `Microsoft Authenticator` app 中的 "回報" 那顆按鈕」
    
    我：「這樣帳號不會被鎖定嗎？」
    
    同：「沒有耶，目前都正常」
    
    我：「喔」
    
    > 因為我本人沒遇過 M365 有通知 `Multi-Factor Authentication Fraud Alert` 的狀況，所以不太清楚正確的處理程序為何，既然他沒事，我也就沒再多問。
    
3.  過了一週左右，在 `2024/03/18 上午 9:51`，該同事透過另一名同事告訴我，他的帳號怎樣都無法通過 MFA 驗證，訊息如下：
    
    ![image](https://stwillblogassets.blob.core.windows.net/files/images/external/github.com/85f8ae3d23af902caa4e-87699e94-f292-4c18-a57a-1b065468809e.png)
    
    怎麼解決的我有點忘了，當時沒留下記錄，應該是讓他重新註冊 MFA 之類的，反正他又再次可以正常登入了。
    
4.  過了一個月左右，在 `2024/04/22 上午 9:36`，他又透過同事告訴我，他的帳號這次怎樣都無法通過 MFA 驗證，而且 Microsoft Authenticator 直接拒絕讓他進行 MFA 驗證，而且不提供他任何其他方式進行 MFA 驗證。錯誤訊息如下：
    
    ![image](https://stwillblogassets.blob.core.windows.net/files/images/external/github.com/999aa408c06a3c2c584d-1c3a295c-77ba-4846-a7e4-a5526bd69a8b.jpg)
    
    這次我就算幫他設定重新註冊 MFA 資料，也無法使用，他的 MFA 完全被鎖定了，我最後只好求助微軟技術支援中心。
    

### 解決方式

微軟技術支援中心告知有兩個方法：

1.  要求使用者重新註冊 MFA 認證資料
    
    這個步驟僅限於使用者的 MFA 認證資料有異常的情況，例如：使用者的手機號碼換號、手機遺失、手機 App 重裝等情況。
    
    不過，之前我都是用這招幫助使用者可以在次註冊 MFA 並成功登入。
    
2.  解除使用者的 MFA 鎖定狀態
    
    由於我不知道「帳號」被鎖定的狀況，之前沒遇過，所以不太知道「解鎖」的功能藏在哪裡，畢竟 Microsoft Entra ID 是一套超級複雜的產品，功能與頁面都超級多，不是非常好找。
    

### 要求使用者重新註冊 MFA 認證資料

以下是要求使用者重新註冊 MFA 認證資料的設定步驟：

1.  先以 `Global Administrator` 身分登入 [Microsoft Entra admin center](https://entra.microsoft.com/)
    
2.  點擊 `Users` > `All users` 並搜尋要解鎖的使用者，然後點擊該使用者進入詳細資料頁面
    
3.  點擊 `Authentication methods` 選項，然後點擊 `Require re-register multifactor authentication` 按鈕
    
    ![Require re-register multifactor authentication](https://stwillblogassets.blob.core.windows.net/files/images/external/github.com/3fbf3670a787e4da3dfc-81f30992-a847-47ce-bd31-3fd18a4dfb6b.jpg)
    
4.  確認要求重新註冊 MFA 認證資料
    
    ![Require re-register multifactor authentication: This will deactivate hardware OATH tokens and delete the following authentication methods from this user: phone numbers, Microsoft Authenticator apps and software OATH tokens. Are you sure you want to proceed?](https://stwillblogassets.blob.core.windows.net/files/images/external/github.com/3489fadce6f34088d3ec-02471ce0-7fd7-4cc9-8fb8-3e780b4f87f8.jpg)
    
5.  通知使用者到 [https://aka.ms/MFASetup](https://aka.ms/MFASetup) 登入並重新設定 MFA 即可。
    

### 解除使用者的 MFA 鎖定狀態

以下是解除使用者的 MFA 鎖定狀態的設定步驟：

1.  先以 `Global Administrator` 身分登入 [Microsoft Entra admin center](https://entra.microsoft.com/)
    
2.  點擊 `Protection` > `Multifactor authentication`
    
3.  點擊 `Block/unblock users` 選項，然後找到被封鎖的帳號，按下 `Unblock` 按鈕即可解除 MFA 鎖定狀態
    
    ![Blocked users](https://stwillblogassets.blob.core.windows.net/files/images/external/github.com/87072b7f3721c996999f-20f61b30-bfe0-4b6e-81ee-f2f45cec460f.jpg)
    

### 結論

老實說，啟用 MFA 之後，帳號的安全性真的高出許多，我們公司多年來，其實也就這麼一次有同仁帳號被鎖定的紀錄。

但他是否真的「被駭」，我還真的無法確定，因為他本人也不清楚發生了什麼事。

我自己是這樣猜想：

1.  我們公司有設定 MFA 每 30 天要重新設定一次，這是 Entra ID 預設的設定，所以大家基本上每個月至少要認證一次。
    
2.  事實上，當 MFA 過期時，當下使用者並不會知道是 MFA 已經到期，但是當下你電腦的 Outlook 或 Teams 可能正在連接 M365 服務，所以會自然而然的被登出，然後自動嘗試重新登入。
    
3.  接著，身為一個使用者，你的手機會莫名其妙跳出 `Microsoft Authenticator` 的重新認證通知，但你根本沒在「登入」喔！
    

我好奇問大家，如果是你，你會按下「允許」？還是「拒絕」？還是直接關閉 App 無視登入狀況？

按下「允許」的話，可能會讓擁有你的密碼的「駭客」當下就取得你的帳戶權限。

按下「拒絕」的話，可能會讓 Entra ID 判定為一次「詐騙」事件，你的帳號有被鎖的可能。(就像這次事件一樣)

如果每次都「無視」的話，可能會讓你的帳號在 30 天後被鎖定。(就像這次事件一樣)

你看！很難選擇吧？我覺得這個狀況比較像是 UX 的問題，微軟應該要想辦法解決才是！🔥

### 相關連結

-   [Microsoft Entra authentication documentation](https://learn.microsoft.com/en-us/entra/identity/authentication/?WT.mc_id=DT-MVP-4015686)
-   [What authentication and verification methods are available in Microsoft Entra ID?](https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-methods?WT.mc_id=DT-MVP-4015686)