資料來源:www.ithome.com.tw/news/146468 

釣魚郵件攻擊濫用網址重新導向、雲端服務與自動化真人檢測服務CAPTCHA

微軟揭露一起透過合法網域寄件、並搭配重新導向的網址按鈕，誘騙使用者網路服務的帳密，為了規避資安防護的偵測且取信受害人，攻擊者還運用了CAPTCHA與郵件檢測畫面

收信人若是完成CAPTCHA驗證後，便會看到冒充合法服務（如Office 365）的登入網站，這個網站會預先填入收件人的帳號（電子郵件信箱），甚至可能會包含收件人所屬的公司標誌。如果收信人輸入了密碼，這個網頁便會顯示錯誤訊息，像是連線逾時或是密碼不正確，要求收件人再次輸入密碼。微軟指出，攻擊者這麼做的目的，很可能是為了確保得到正確的密碼。

收件人輸入了第二次密碼後，便會被導向合法的Sophos網站，讓人誤以為是安全的。但實際上，剛剛輸入的密碼已經遭到側錄。