Meta 近期揭露並阻斷了由以色列間諜軟體供應商 NSO Group 發起的定向釣魚攻擊。這次事件不僅是單純的資安漏洞修補，更涉及法律禁制令的違規以及高階威脅對抗的防禦策略。對於工程師來說，理解這類攻擊的脈絡能幫助我們在設計系統時，更清楚如何縮小攻擊面。
定向釣魚與攻擊路徑
本次 NSO Group 採用的手段稱為 Spear Phishing（定向釣魚）。不同於大規模隨機發送的垃圾郵件，定向釣魚是針對特定高風險目標（如政治人物、記者或企業高層）設計的精準攻擊。
攻擊者試圖誘導使用者點擊惡意連結，將其導向 WhatsApp 外部的第三方網站。這種做法通常是為了繞過 WhatsApp 的端到端加密（End-to-End Encryption），因為加密僅保護傳輸過程中的訊息內容，一旦使用者離開應用程式進入惡意網頁，攻擊者就能利用瀏覽器的漏洞或社交工程手段，嘗試植入像 Pegasus 這樣的間諜軟體。
此外，Meta 發現 NSO Group 甚至在平台上創建測試帳號與群組來驗證攻擊路徑，這顯示了專業攻擊組織在正式發動攻擊前，會先進行偵察與環境模擬。
端到端加密的限制與誤區
Meta 在聲明中強調訊息與通話仍受端到端加密保護。這裡需要釐清一個技術誤區：端到端加密能保證訊息在傳輸過程中不被第三方（包括 Meta 自己）截獲或解讀，但它無法防止端點設備被攻陷。
如果使用者的手機被植入了間諜軟體，攻擊者可以直接在設備端讀取已解密的訊息內容。因此，當加密技術已經達到極高強度時，攻擊者的目標會從截擊封包轉向攻擊端點設備，而定向釣魚正是最常見的切入點。
縮小攻擊面：嚴格帳號設定的工程邏輯
面對這類高階威脅，單靠系統更新是不夠的。Meta 推出的嚴格帳號設定（Strict Account Settings）本質上是一種縮小攻擊面（Attack Surface Reduction）的策略。
在資安工程中，功能越多，潛在的漏洞入口就越多。嚴格模式透過限制功能來提升安全性，具體做法包括：
首先是關閉連結預覽（Link Previews）。許多釣魚攻擊利用預覽功能在後台觸發請求，或透過視覺欺騙誘使使用者點擊。關閉預覽能切斷一部分自動化的偵察路徑。
其次是限制資訊可見度。將最後見面時間、頭像、簡介等資訊僅限於聯絡人可見。這能防止攻擊者在發動 Spear Phishing 前，透過公開資訊對目標進行側寫（Profiling），降低被精準釣魚的機率。
最後是限制群組加入權限。防止攻擊者將目標強行拉入惡意群組，從而降低社交工程攻擊的成功率。
實務建議與總結
對於開發者或維運人員而言，這次事件提醒我們，最強大的加密算法也無法抵禦設備端的淪陷。在面對高風險環境時，應採取零信任（Zero Trust）的思維，不要假設使用者不會點擊連結。
建議高風險使用者採取以下防禦措施：開啟兩步驟驗證（2FA）、關閉不必要的社交預覽功能，並將帳號隱私設定調至最高等級。最重要的是，保持應用程式與作業系統的即時更新，以修補可能被間諜軟體利用的零日漏洞（Zero-day vulnerability）。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。