釣魚警報 - 提防偽冒「WhatsApp 安全中心」網頁騎劫帳戶
類別: 網絡釣魚
網絡釣魚警告
現況及相關趨勢
公眾應提防針對 WhatsApp 用戶的網絡釣魚活動。騙徒會假冒「WhatsApp 安全中心」，訛稱受害人的帳戶因「安全風險」而被鎖定，並誘使受害人前往釣魚網站，欺騙其透過 WhatsApp 正式提供的 「已連結裝置」 功能，將帳戶連結至騙徒控制的裝置。
一旦受害人完成有關虛假的「驗證」程序，騙徒便可能未經授權存取其 WhatsApp 帳戶，並進一步利用該帳戶進行惡意活動，包括冒充受害人及向其聯絡人進行詐騙。
釣魚活動手法
該釣魚活動通常按以下步驟進行：
騙徒首先發送訊息，聲稱收件人的 WhatsApp 帳戶因「安全風險」而被鎖定，並已無法向其他人發送訊息。
該訊息附有一條釣魚網址，聲稱用戶可透過該連結「解鎖」帳戶。
當受害人進入釣魚網站後，網站會顯示一個偽冒 「WhatsApp 安全中心」 的頁面，並要求受害人按下 「開始驗證」 按鈕。
其後，釣魚網站會要求受害人輸入與 WhatsApp 帳戶相關聯的電話號碼。
接著，網站會指示受害人於 WhatsApp 應用程式內，透過 設定 → 已連結裝置 完成所謂的驗證程序。視乎不同釣魚網站的變種，受害人可能會被要求：
- 掃描釣魚網站上顯示的 QR Code；或
- 選擇 「以電話號碼連結裝置」，並輸入釣魚頁面上顯示的一組 8 位英數字元代碼，作為所謂的驗證碼。
一旦受害人按指示掃描 QR Code 或輸入代碼，騙徒便可將受害人的 WhatsApp 帳戶連結至其控制的裝置，從而取得未經授權的存取權限。
釣魚網站畫面截圖
本節將提供與此釣魚活動相關的釣魚網站畫面截圖，以供參考。
可能影響風險
若釣魚攻擊得逞，可能導致以下風險：
- WhatsApp 帳戶被未經授權存取
- 騙徒冒充受害人身份
- 向受害人的聯絡人發送詐騙訊息
- 向朋友、家人或商業聯絡人進行社交工程或詐騙
- 聊天記錄、聯絡人資料或其他可透過帳戶存取的敏感資訊外洩
保安建議
公眾應採取以下預防措施：
- 切勿輕信聲稱 WhatsApp 帳戶已被鎖定，並要求你點擊連結進行驗證或恢復帳戶的訊息
- 切勿掃描來歷不明的 QR Code，或將網站提供的代碼輸入 WhatsApp 的 「已連結裝置」 功能
- 切勿依照未經請求的指示，在 WhatsApp 中使用 「以電話號碼連結裝置」 功能
- 如需核實與帳戶相關的通知，應僅透過 WhatsApp 官方渠道進行
- 定期檢查 WhatsApp 帳戶中已連結的裝置，並即時移除任何不明或可疑裝置
- 啟用 WhatsApp 的 雙重認證 功能，以加強帳戶保安
- 對帶有催促性或製造恐慌的訊息保持警惕，例如聲稱帳戶被停用或出現安全問題等
- 如收到親友透過即時通訊軟件發出的異常請求，例如借款、索取驗證碼或要求點擊連結，應先透過其他方式核實對方身份
- 只應從官方應用程式商店下載及安裝即時通訊應用程式，避免使用來歷不明或經修改的版本
- 保持即時通訊應用程式及裝置作業系統為最新版本，並盡快安裝保安更新，以減低黑客利用已知漏洞入侵帳戶或裝置的風險
如懷疑 WhatsApp 帳戶已被入侵
如用戶懷疑曾按指示進行相關操作，應立即採取以下行動：
- 開啟 WhatsApp，檢查 設定 → 已連結裝置
- 移除任何不熟悉的已連結裝置
- 啟用或重新設定 雙重認證
- 通知聯絡人帳戶可能已被入侵
- 留意帳戶是否出現可疑活動或訊息
- 如有需要，透過 WhatsApp 官方支援渠道尋求協助
企業或公眾如欲向 HKCERT 報告與資訊保安相關的事故，可以填寫網上表格：https://www.hkcert.org/zh/incident-reporting 或致電24小時熱線電話：（852）8105 6060。如有其他疑問，歡迎發電郵至 [email protected] 與 HKCERT 聯絡。
分享至