“以为是真正的登录窗口”…警惕Facebook钓鱼手段升级

有警告指出，针对Facebook用户账户的网络钓鱼手法正变得日益精密。网络安全公司Trellix在近期报告中透露，攻击者正在利用一种基于浏览器的伪装技术，即所谓的"浏览器中的浏览器"技术，该技术被设计得与真实的登录窗口一模一样。 这种技术超越了简单的钓鱼邮件或虚假登录页面的水平，它能在用户的网页浏览器内实现一个完全独立的登录弹窗。由于外观上显示的是真实的Facebook网址，用户很难察觉自己正在向虚假登录窗口输入信息。这导致账户失窃率急剧上升。 这类钓鱼活动的起点通常是包含看似权威的警告信息（如版权侵权或登录异常检测）的电子邮件。点击伪装成Meta或律师事务所发送的邮件格式中的链接后，用户会被引导至一个精心设计的双重登录流程。在此过程中，用户会先经过输入姓名、电子邮件、电话号码、出生日期等基本个人信息的环节，然后才会被要求输入真实的Facebook密码。攻击者利用这些信息完全访问账户后，会进一步传播钓鱼信息或窃取个人信息，用于身份盗用等二次犯罪。 Trellix指出，此次攻击活动的一个值得注意之处在于，虚假登录页面不再托管在恶意域名上，而是被部署在Netlify或Vercel等云托管平台上。这种滥用高可信度云服务的伪装方式，结合使用URL缩短服务，能够轻易绕过大多数电子邮件安全过滤器或网络过滤系统。 Trellix强调，这种日益精密的"浏览器中的浏览器"攻击方式构成了严重威胁，因为仅靠传统的视觉检查已难以识别。该公司警告称，即使是技术熟练的用户也可能轻易受骗，并指出仅依靠传统的安全习惯已不再足够。 因此，该公司强烈建议所有Facebook用户启用双重认证，尽量避免点击收到的电子邮件中的链接，并在遇到问题时务必通过打开浏览器直接输入"facebook.com"地址或通过官方移动应用进行访问。 随着尖端技术日益普及，用户保护技术也需变得更加精密的时代已经到来。安全公司和IT平台建立能够实时应对此类钓鱼手法演变的共同防御体系，比以往任何时候都更为重要。