雙重驗證也擋不住？Google示警「中間人攻擊」新型釣魚手法

Google指出，傳統網路釣魚手法持續進化，出現更難防範的「中間人攻擊」（AiTM）及QR Code釣魚。（路透）

〔記者邱巧貞／台北報導〕開啟雙重驗證是不少民眾保護網路帳號的重要方式，不過，即使完成雙重驗證，也不代表帳號就能完全避免遭到盜用。Google最新公布全球詐騙趨勢報告，警告網路釣魚手法持續進化，詐騙集團開始利用「中間人攻擊」（AiTM）及QR Code釣魚等方式，誘騙民眾進入假網站，甚至可能在使用者完成雙重驗證的過程中，攔截驗證結果及登入憑證。

Google指出，傳統網路釣魚手法持續進化，出現更難防範的「中間人攻擊」（AiTM）及QR Code釣魚。雖然開啟雙重驗證是保護帳號安全的重要措施，然而，詐騙集團現在玩起轉手傳接球的把戲： 他們做出以假亂真的登入畫面，當你以為自己正在登入官方網站、並乖乖配合完成雙重驗證時，詐騙集團其實是在幕後同步把你的驗證結果攔截並複製一份，進而取得登入帳號的機會。

除了假登入網站，類似的釣魚手法也可能出現在路邊海報或餐廳桌面上的QR Code，詐騙者透過掉包或覆蓋原有條碼，引導民眾掃描後進入假網站。

面對這類連雙重驗證都可能繞過的進階攻擊，Google表示，正逐步導入「裝置綁定連線階段憑證」（DBSC）技術，系統會將使用者的登入狀態與實體手機或電腦綁在一起，就算連線憑證不小心外流，詐騙集團也無法在其他裝置上登入你的帳號。

此外，考量到實體手機遭竊往往會演變成後續的金融盜刷與詐騙，Android系統現在會在偵測到高風險情境時（例如手機未連接常用 Wi-Fi 且近期未曾解鎖），自動隱藏鎖定螢幕上的動態密碼（OTP），防止他人從螢幕預覽竊取驗證碼。

Google也鼓勵使用者採用免記密碼、更安全的「密碼金鑰」（Passkeys），透過免輸入傳統密碼的方式提高帳號安全性，並在全球透過法律途徑，打擊開發及散布釣魚工具包的惡意組織。

一手掌握經濟脈動 點我訂閱自由財經Youtube頻道

不用抽 不用搶 現在用APP看新聞 保證天天中獎 點我下載APP 按我看活動辦法