許多剛入行的工程師對 Phishing（釣魚攻擊）的認知通常停留在：攻擊者做個假網站，騙使用者輸入帳號密碼，然後攻擊者把這些資料存起來，等之後有機會再嘗試登入。但 CTM360 最近的研究揭露了一個危險的趨勢：攻擊模式已經從單純的資料收集，進化成了即時的帳號劫持（Real-Time Account Hijacking）。
這種攻擊不再是延遲性的，而是在使用者的瀏覽工作流中同步完成。
為什麼保險業成為目標
保險公司近年將大量服務數位化，包括保單購買、理賠申請與個資更新。對攻擊者來說，保險帳號的價值甚至高於傳統銀行帳號。銀行帳號主要針對金錢轉移，但保險帳號內含大量的身分證明文件、詳細個資與支付方式。這些資料可以用於更深層的身分盜用（Identity Fraud），在多個平台進行詐騙，影響範圍遠超單一帳戶。
攻擊路徑的轉移：從郵件轉向搜尋廣告
傳統釣魚依賴電子郵件或簡訊，但現代攻擊者開始利用 Google Ads（贊助廣告）。當使用者在 Google 搜尋保險報價或續約時，攻擊者購買的廣告會出現在搜尋結果頂端，標題通常是吸引人的最便宜保險或報價比較。
使用者點擊後會被導向極其擬真的偽造網站。這些網站不僅外觀像，連報價流程和使用者介面都完全複製。更值得注意的是，攻擊者不再租用昂貴的專屬伺服器，而是利用 GitHub Pages、Netlify 或 Wix 等合法雲端平台或網站建置工具。由於這些平台本身信譽良好且域名隨機，傳統的品牌監控工具很難快速偵測並封鎖。
核心技術進化：即時同步劫持
這是本次研究最關鍵的技術轉折。現代釣魚網站不再是靜態的表單，而是一個即時的中繼站（Live Intermediary）。
當受害者在假網站輸入帳號密碼時，攻擊者後端會同步將這些資訊輸入到真正的保險公司登入頁面。如果真正的系統要求輸入 OTP（One-Time Password，一次性動態驗證碼），假網站會立刻彈出視窗要求受害者輸入驗證碼。受害者以為是在進行正常的身分驗證，但實際上這個驗證碼會被即時傳送到真正的登入頁面。
整個過程在單次瀏覽工作流中完成，攻擊者在驗證碼過期前就完成了登入並接管會話（Session）。這意味著即使企業部署了多因素驗證（MFA），只要驗證方式是基於 OTP 的，依然會被這種同步劫持攻破。
InsureOTP Kit：攻擊者的操作平台
研究人員發現了一套名為 InsureOTP Kit 的專用工具包。這已經不是簡單的網頁程式碼，而是一個完整的操作平台，具備以下能力：
即時監控：攻擊者可以在後台看板看到受害者的操作進度。 會話管理：能夠追蹤每個受害者的 Session 狀態。 自動化通知：透過 Telegram Bot API 即時接收受害者的提交資料。 反覆嘗試：如果驗證碼失效，後端可以要求受害者重新輸入，直到成功登入為止。
這種工具化讓攻擊者可以像管理電商後台一樣管理釣魚攻擊，極大地提升了劫持成功率。
對工程師與防禦者的啟示
對於負責安全維運的工程師來說，這次案例提醒我們，傳統的事件回應（Incident Response）邏輯需要更新。過去我們假設從資料外洩到帳號被盜之間有時間差，但現在這個時間差被壓縮到了零。
防禦重點應從單純的域名封鎖，轉向更深層的威脅情報（Cyber Threat Intelligence, CTI）。我們不能只問這個釣魚網頁在哪裡，而要分析攻擊者的基礎設施是如何連接的、使用了什麼工具包、以及其操作流程（Workflow）為何。
實務上的防禦建議包括監控品牌關鍵字的贊助廣告異常、偵測異常的登入模式（例如短時間內從不同地理位置觸發 OTP 並成功登入），以及推動更安全的驗證機制，例如從 OTP 轉向基於 FIDO2 的硬體金鑰或 Passkeys，以徹底杜絕中繼人攻擊（Man-in-the-Middle attack）。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。