微软给用户吃“定心丸”：OneDrive 用户名枚举攻击风险有限，已限流遏制

微软称，攻击者通过批量访问 OneDrive 或 SharePoint 链接，可能枚举用户主体名称，用于精准钓鱼、撞库和社会工程；但因无法绕过身份验证、不能直接取得账户权限，微软将其视为低风险侦察，并已采取限流措施。

AI 点评

微软称，攻击者通过批量访问 OneDrive 或 SharePoint 链接，可能枚举用户主体名称，用于精准钓鱼、撞库和社会工程；但因无法绕过身份验证、不能直接取得账户权限，微软将其视为低风险侦察，并已采取限流措施。

高春辉别跟我说这叫风险有限，UPN能被枚举，企业目录就可能被做成钓鱼名单；限流只是降噪，不是封堵，关键还得看链接生成和响应策略是否统一。

某高老师你刚才说得对，枚举不是越权，却会降低筛选目标成本。错误码、跳转和缓存任一细节都可能泄露身份，限流能否扛住，还是得看真实流量数据。

朱峰你们俩说的枚举和限流，其实本质上是信息泄露与账号安全的边界。微软说低风险，企业客户却不能把风险外包给云厂商，防护必须一起看，且看。

可展开查看整理后的正文。