給 junior 工程師的技術分析：當信任平台變成攻擊跳板
在開發系統或維運服務時，我們常會依賴一些知名平台的服務來發送通知或存放檔案，因為這些平台擁有極高的信譽，不容易被防火牆或垃圾郵件過濾器攔截。然而，這正是這次被命名為 AccountDumpling 的攻擊行動所利用的漏洞。這是一個由越南駭客組織發起的精巧操作，他們成功盜取了約三萬個 Facebook 帳號，其核心策略在於將信任平台轉化為 釣魚中繼站 Phishing Relay，也就是利用合法平台的發信機制來傳遞惡意連結，讓受害者放下戒心。
信任平台被濫用的手法
這次攻擊最值得關注的是他們如何繞過垃圾郵件過濾器。駭客並非使用隨機的伺服器發信，而是利用 Google AppSheet。AppSheet 是 Google 提供的低程式碼開發平台，允許使用者快速建立應用程式。駭客利用該平台的自動化發信功能，讓郵件從 [email protected] 發出。
對郵件過濾系統來說，來自 Google 官方網域的郵件通常被視為安全，因此這些釣魚信能輕易進入使用者的收件匣。這種手法在資安領域稱為 Living off the Land，意即利用環境中既有的合法工具來達成惡意目的，讓偵測變得極其困難。
多樣化的社交工程陷阱
駭客針對的是 Facebook 商業帳號持有者，並設計了多種讓受害者感到恐慌的劇本，這在資安上稱為社交工程 Social Engineering。他們會偽裝成 Meta 官方支援團隊，發送關於帳號被停用、版權申訴、驗證審查或假冒高階職位招募的通知。
為了提高成功率，他們部署了四種不同的攻擊路徑：
第一種是利用 Netlify 託管的偽造幫助中心頁面。Netlify 是一個流行的前端部署平台，駭客在上面搭建假頁面，誘導使用者輸入生日、電話甚至上傳政府核發的身份證件照片。
第二種是利用 Vercel 託管的安全性檢查頁面。Vercel 同樣是信任度高的開發平台。駭客在頁面中加入偽造的 CAPTCHA 驗證碼檢查，營造出正式系統的假象，進而騙取登入憑據以及二階段驗證 2FA 碼。
第三種則是利用 Google Drive 存放 PDF 文件。這些文件是用 Canva 製作的偽裝指南，引導使用者前往釣魚網站。更危險的是，他們使用了 html2canvas 這類前端技術，在使用者不知情的情況下截取瀏覽器畫面，獲取更多敏感資訊。
第四種則是傳統的假冒職缺誘騙，偽裝成 Meta 或 Apple 等大公司，透過建立信任感誘導受害者進入受控網站。
數據流向與商業化閉環
這場攻擊並非單純的隨機盜號，而是一個完整的犯罪商業鏈。所有被盜取的帳號資訊、身份證件和 2FA 碼，都會即時透過 Telegram Bot 傳送到駭客控制的頻道中。
這些被盜的帳號隨後會被放在地下黑市出售。對於攻擊者來說，他們交易的不再僅僅是一個帳號，而是包含商業身份、廣告信譽以及帳號恢復權限在內的綜合資產。
給開發者的啟示
這次事件提醒我們，不能單純依賴發信者的網域來判斷郵件的安全性。即使是來自 Google 或其他信任平台的通知，只要內容涉及緊急操作、要求提供敏感資料或跳轉到外部未知連結，都必須保持高度警覺。
對於工程師而言，在設計系統時應意識到，任何提供自動化發信或靜態頁面託管的功能，都可能被攻擊者利用來建立信任跳板。因此，推動使用者啟用更強的身份驗證，以及教育使用者識別社交工程陷阱，比單純依賴技術過濾更為重要。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。