Veronis 研究人員指出 Microsoft 365 的 Power Automate遭到駭客濫用， 駭客得以竊取數資料以及避開資料外洩防護（Data Loss Prevention，DLP）等保護功能，造成資料的不安全。
若用戶使用 Power Automate，即可將Microsoft 365 中所提供的各種應用和服務之間建立流程，以享有自動共享或發送文件等服務，例如：在Outlook、SharePoint 與 OneDrive 之間建立流程。因此Veronis 研究人員表示， 駭客不僅可以從Power Automate流程中劫走電子郵件，也可以從 SharePoint 和 OneDrive 中存取文件，更可以直接在Microsoft 365 的應用服務竊取資料，此漏洞說明應用程式的互通造成極大的資安風險。
Lookout 安全方案經理 Hank Schless 表示， Power Automate可避開傳統監控，因此Microsoft 需要同時保護資料不被洩漏出應用程式，以監控DLP以外的可疑活動，DLP為資料外洩防護，主要以網路、郵件及端點等方式防護資料外洩，利用監視與檢測來阻止資料的外洩。
Cequence Security 的常駐駭客 Jason Kent 表示，公司經常防範駭客在系統上所執行的惡意行為，此惡意行為的主要手法是非法登入，以進入系統中等待，並伺機竊取出訊息。在有資料外洩防護檢測器的情況下，一旦登入，資料外洩防護檢測器便會有所察覺，並發出警告。但若駭客是執行合法的流程，檢測器無法檢測出，可輕鬆進入系統。如此一來，駭客可以存取用戶的每個文件，並可發送SharePoint上的文件，造成資料外洩，而微軟啟用流程功能且允許資料在傳遞時，不必經過資料外洩防護系統的行為令人驚訝。
相關連結：
Steve Zurier(2022). Automated features in Microsoft 365 a ‘perfect storm’ of data export. SC Media.
檢自：
https://www.scmagazine.com/news/application-security/automated-features-in-microsoft-365-a-perfect-storm-of-data-export (Feb. 13, 2022)
