詐欺不只是安全性問題。它是一項業務風險，可能侵蝕客戶信任、中斷營運，並造成實際的財務曝險，包括營收損失或客戶流失。對雲端解決方案提供者 (CSP) 合作夥伴而言，這項風險會因為合作夥伴在客戶環境中擁有特殊權限存取權，並負責計費與佈建，而進一步放大。
Microsoft 的詐欺防範工作凸顯生態系統正面臨的規模。根據 2025 年 8 月白皮書 Microsoft 打擊詐欺的三大啟示，Microsoft 阻止了 40 億美元的詐欺嘗試、每小時封鎖約 160 萬次機器人註冊，並拒絕 49,000 件詐欺性合作夥伴註冊。
這些並非極端案例。它們反映合作夥伴每天都會看到的營運環境：冒名、帳戶接管、合成身分，以及看似合法卻造成損害的濫用模式。
生態系統中的最新詐欺趨勢
冒名與社交工程的放大效應
其中最顯著的轉變之一，就是 AI 驅動的冒充行為。攻擊者可以產生高度個人化的網路釣魚與商務電子郵件入侵嘗試，模仿合法通訊的語氣與內容，使傳統檢查更難察覺這些攻擊。AI 工具讓詐騙更容易大規模執行，提高社交工程攻擊的真實感和廣度。
供應鏈攻擊
供應鏈攻擊依然普遍，因為攻擊者經常以較小的第三方供應商為突破口，進而攻擊較大的組織。對合作夥伴而言，這一點很重要，因為如果未嚴格治理，您的工具、存取權、整合與營運流程，便可能成為進入客戶環境的管道。
Microsoft 透過多種方式緩解供應鏈攻擊，包括合作夥伴審查與盡職調查，並輔以分析工具繪製供應商關係圖譜，偵測資料流程中可能代表詐欺活動的異常情況。
微型詐欺手法
微型詐欺是另一項日益升高的風險。這些手法仰賴大量低價值交易，個別來看似乎微不足道，但累積起來會造成有意義的財務損失。白皮書引用了一個鎖定個別學生學術方案的範例，其中小型重複動作也會累積成重大損害。
這對合作夥伴尤為重要，因為如果沒有設計用來偵測細微模式，而不只是明顯尖峰或單一高價值事件的監控，微型詐欺可能很容易被忽略。
Microsoft 平台針對合作夥伴有哪些變革
Microsoft 持續強化產品與服務中的保護，包括中斷不真實行為、增強偵測機制，以及在產品設計流程中加入詐欺控制等措施。同時，我們正在提高合作夥伴存取權的安全性基準，以降低以身分識別為基礎的風險並保護客戶。
合作夥伴租用戶與 Partner Center API 必須使用 MFA
合作夥伴的安全性需求很明確：您必須在合作夥伴租用戶中的所有使用者帳戶 (包括來賓使用者) 強制執行多重要素驗證 (MFA)。這項需求適用於合作夥伴中心存取、合作夥伴委派管理，以及透過 API 進行的交易。
Microsoft 也正逐步在特定情境中，針對 Partner Center API 存取強制執行 MFA。自 2026 年 4 月 1 日起，Partner Center API 的所有應用程式與使用者 (App+User) 使用方式都將強制執行 MFA。Microsoft 也指出，截至 2025 年 10 月，API 現在會尋找 MFA 權杖，並在回應中確認其存在，以支援合作夥伴整備。
用於自動化的 Secure Application Model 與現代化驗證
Microsoft 合作夥伴安全性需求也明確提出 Secure Application Model 架構。與 Partner Center API 整合的合作夥伴，必須針對任何 App+User 驗證模型應用程式採用 Secure Application Model 架構；Microsoft 也強烈建議合作夥伴在運用自動化時使用此架構，以避免 MFA 強制執行時發生中斷。
身分識別是常見的進入點
許多詐欺事件都從帳戶接管、遭竊認證或權限過高的身分識別開始。隨著詐欺手法變得更具說服力，尤其是 AI 驅動的詐騙，身分識別控制就是韌性的第一道防線。
Microsoft 在平台上採取的行動
Microsoft 正在針對合作夥伴中心體驗與 API 交易中的合作夥伴租用戶存取權，強制執行並驗證 MFA。未實作必要安全性需求的合作夥伴，可能失去在 CSP 中交易的能力，也可能遭到封鎖，無法管理使用委派管理權限的客戶租用戶。
Microsoft 也讓合作夥伴 API 存取模式與 MFA 驗證訊號保持一致。使用 App+User 驗證時，Partner Center API 會檢查權杖宣告中是否存在 MFA，並可拒絕不符合需求的要求。
每位合作夥伴都應達成的基準
將 Microsoft 平台強制執行視為基準，然後以此建立您的營運實務。對大多數合作夥伴而言，這些動作可以快速降低曝險：
這些不只是合規措施。它們能降低單一遭入侵身分識別演變成影響客戶事件的可能性。
詐欺、誤用與未付款會為 CSP 合作夥伴造成財務曝險
CSP 合作夥伴必須為其客戶的詐欺性購買，以及購買服務的未付款承擔財務責任。這也是 Microsoft 建議採用嚴格詐欺防範與偵測控制，以及線上交易風險管理紀律之所以重要的原因。
更強大的上線流程是一項實務防禦。在您延伸服務之前，先驗證佈建對象的身分。留意耗用量快速尖峰、頻繁的計費變更，以及類似服務濫用的行為。Microsoft 線上交易風險管理指南概述了加密貨幣挖礦、惡意程式散佈和自動化帳戶建立等風險曝險，並建議採用包含預防、偵測、調查與緩解的完整架構。
Microsoft 關於管理未付款、詐欺和誤用的文件概述了降低曝險的具體步驟。此外，以下文章聚焦於可緩解客戶詐欺活動與誤用 Microsoft 服務的最佳做法：
有效使用 Microsoft 通知與安全性警示
偵測到可疑活動時，Microsoft 可以傳送通知，但合作夥伴應使用其他監控方法，而不只仰賴通知。
對 CSP 合作夥伴而言，合作夥伴中心安全性警示提供偵測和回應潛在未授權濫用與帳戶接管的方式，包括近乎即時的警示與儀表板。Microsoft 指引也強調，應讓電子郵件地址與安全性連絡人保持最新狀態，確保正確團隊收到警示。
AI 驅動的詐騙手法正在提高風險
生成式 AI 的使用正在提高網路釣魚與冒名手法的規模、速度與逼真度。AI 也可以透過抓取公開資訊來客製化社交工程誘餌，進而加速偵察。結果就是詐騙在更大規模下看起來和聽起來都更合法。
這項現實讓身分識別控制與營運嚴謹度變得更加重要。既有措施仍然有效，包括提升員工對合法支援流程的認知，以及套用零信任原則，對帳戶與裝置強制執行最低權限角色。
信任始於主動執行
Microsoft 採用詐欺規避、設計安全的方法，將詐欺防範內嵌至產品開發、遙測與政策中。相同的思維也適用於合作夥伴。身為 Customer Zero，您的控制措施會向客戶傳達安全執行應有的樣貌。
現在正是詢問團隊艱難問題的好時機。您的系統是否具備抵禦冒名或帳戶誤用的韌性？您是否能在微型詐欺活動擴大前發現它？您的客戶是否知道他們可以信任您的營運完整性？
若您需要簡單計畫，請專注於三項行動：
- 端對端保護身分識別：全面使用 MFA、為 App+User Partner Center API MFA 強制執行做好整備，並採用 Secure Application Model 架構。
- 降低爆炸半徑：依任務採用 GDAP、最低權限角色，以及與零信任保持一致的限時存取。
- 落實防詐騙準備：上線檢查、耗用量監控，以及接收、檢閱並處理 Microsoft 安全性通知與合作夥伴中心安全性警示的明確流程。
詐欺行為持續存在。透過強大的身分識別控制與具韌性的營運，您可以降低曝險，並保護您辛苦建立的客戶信任。
其他資源