俄罗斯关联黑客被指利用 Exchange OWA 零日漏洞，长期访问企业邮箱

据 BleepingComputer 于 2026 年 7 月 30 日发布的安全消息，俄罗斯国家支持背景的黑客组织 Laundry Bear（也被称为 Void Blizzard）正在利用 Microsoft Exchange Outlook Web Access（OWA）中的一个零日漏洞，在电子邮件攻击活动中投递名为 OWAReaper 的复杂后门程序。来源显示，该攻击的关键风险在于攻击者可借此获得并维持对邮箱的长期访问能力。对于依赖 Exchange/OWA 处理跨境业务、远程办公和客户沟通的组织而言，这类事件不仅是服务器安全问题，也可能进一步影响账号安全、支付审批链路和企业内部信任体系。

事件核心：OWA 成为长期邮箱访问入口

OWA 是许多企业员工在浏览器中访问企业邮箱的重要入口，尤其在海外出差、远程办公或无法使用桌面客户端时更为常见。来源提到，Laundry Bear 正通过相关漏洞开展邮件攻击，并部署 OWAReaper 后门。由于攻击目标聚焦在邮箱访问层，一旦成功，攻击者可能持续读取通信内容、观察组织内部流程，并寻找进一步扩大入侵的机会。

与一次性钓鱼邮件不同，长期邮箱访问的风险更隐蔽。攻击者若能持续掌握收发件记录、联系人关系和业务上下文，就可能更容易伪造可信邮件、插入付款指令或绕过普通员工的警惕。对于跨境团队而言，时区差、远程审批和多语言沟通常常增加核验难度，这会放大邮箱被控后的实际危害。

对跨境账号、支付与远程办公的影响

从跨境用户视角看，Exchange OWA 漏洞并不只影响 IT 部门。企业邮箱通常连接着云服务登录、SaaS 管理后台、收款平台、供应商往来和域名注册等关键账号。一旦邮箱被持续监控，验证码、重置链接、账单通知和审批邮件都可能暴露。

• 海外平台账号：攻击者可能利用邮箱中的重置入口或历史邮件信息，尝试接管企业使用的云服务、广告平台、协作工具等账号。
• 支付与对账流程：若攻击者掌握采购、发票、汇款或退款沟通链路，可能伪造更具可信度的付款变更请求。
• 远程办公访问：员工通过浏览器访问 OWA 的场景较多，若组织缺少设备校验、多因素认证或异常登录监控，风险更难被及时发现。
• 客户与供应商信任：邮箱被长期访问后，攻击者可利用真实线程发起后续攻击，造成对外沟通中的信任损耗。

安全解读：邮箱系统应被视为核心身份资产

这起事件提醒企业，邮箱已不只是通信工具，而是连接账号、身份和支付流程的核心资产。特别是 Exchange OWA 这类面向互联网的访问入口，需要与普通内网服务区别对待。来源显示攻击涉及零日漏洞，意味着在公开补丁或缓解措施完全落实前，单纯依赖传统规则可能不足以发现异常。

企业可优先检查 OWA 暴露面、管理员权限配置、异常登录记录和邮箱规则变更情况，并对关键岗位启用更严格的登录保护。对于财务、商务、账号管理员等高风险角色，建议将邮件审批与付款执行分离，重大变更通过独立渠道二次确认，避免只凭邮件内容完成操作。

跨境团队还应关注访问环境的一致性。员工在不同国家和网络环境下登录企业邮箱时，安全系统可能出现误判或漏判，因此需要结合设备指纹、MFA、地理位置异常和会话持续时间综合判断。VPN、零信任访问或安全网关可以作为访问管理的一部分，但关键仍是补丁、身份验证和日志审计的组合防护。

用户与管理员可采取的应对方向

在官方修复和厂商通告进一步明确前，组织应提高对 Exchange OWA 异常活动的监测优先级。普通用户若发现邮箱中出现未知转发规则、已读状态异常、登录提醒异常或收到与业务上下文高度贴合的可疑付款邮件，应立即上报。管理员则应重点核查面向公网的 Exchange 服务、近期异常会话、可疑后门迹象以及高权限邮箱的访问历史。

总体来看，Laundry Bear 被指利用 OWA 零日并部署 OWAReaper，反映出攻击者正在围绕企业邮箱构建更持久的情报和渗透能力。对跨境业务而言，邮箱安全就是账号安全与支付安全的前置防线，需要尽快纳入日常风险管理，而不是在发生资金或账号损失后才补救。