駭客冒充台灣學研機構發假活動邀請，鎖定研究圈竊取Google帳密與MFA驗證碼

思科（Cisco）旗下威脅情報團隊Talos揭露一起針對台灣研究機構關係人的魚叉式釣魚（spear phishing）行動。駭客冒充台灣學研單位寄送假活動邀請，將受害者導向中間人攻擊（AitM）釣魚框架，意圖竊取Google帳號密碼與多因素驗證（MFA）碼。Talos將此活動追蹤為UAT-11985，指出最早於2026年中被觀察到。

借用真實活動主題，冒充台灣學研單位

Talos研究員Joey Chen指出，攻擊者利用真實的公開活動主題，並冒充具公信力的學術與政策機構來建立信任。被冒用的寄件單位包括台灣歐盟中心（Taiwan European Union Centre）、國立政治大學國際關係研究中心（NCCU Institute of International Relations）與財團法人台灣綜合研究院（Taiwan Research Institute）。

郵件中的連結看似指向Google Forms，滑鼠停留時也會顯示類似網址，實際上卻指向攻擊者控制的基礎設施。

部分郵件還附上從合法網站取得的活動海報，但QR code已被換成惡意版本，誘使收件人掃描後「報名」。Chen表示，這種QR code釣魚（quishing）手法讓受害範圍不再侷限於收信者，也可能波及看到印刷品的其他人。

三段式邀請信，疑為AI輔助量產

Talos認為，這起行動很可能借助人工智慧（AI）生成內容，讓攻擊者能針對不同目標快速產出客製化誘餌。邀請信雖涵蓋多種地緣政治議題，句型結構卻幾乎一致：第一段是冗長精緻的地緣政治或政策背景說明；第二段針對收件人量身撰寫，以恭維引發興趣；第三段列出活動主題、日期、地點與報名方式。

Talos據此判斷，這些信件應是以可重複使用的提示詞範本（prompt template）量產，並非三封各自獨立的邀請。

偽造Google登入頁，即時轉送驗證資料

受害者點擊連結後，會先看到仿冒Google表單的頁面，並跳出視窗要求以Google帳號登入才能完成表單。隨後進入的假登入面板，是一個像素級仿製的AitM代理，透過混淆的JavaScript，以WebSocket連線即時外傳受害者輸入的內容，同時轉送給真正的Google驗證伺服器。

連線建立前，惡意程式碼會蒐集語系、使用者代理、螢幕尺寸與是否為行動裝置等資訊，回報給指揮與控制（C2）伺服器。受害者送出密碼後，頁面再把密碼、帳號識別碼與瀏覽器資訊傳往攻擊者的HTTP C2伺服器，由居中的伺服器轉給Google。

Talos指出，攻擊者將一次性資料上傳與低延遲的狀態更新分開處理，得以即時同步Google的動態驗證狀態，在不引起受害者警覺的情況下完成帳號接管。

登入面板僅支援中英文，研判鎖定華語使用者

偽造的登入面板僅支援簡體中文、繁體中文與英文，並依瀏覽器語言設定判斷地區。Chen認為，這強烈顯示攻擊者鎖定華語使用者。外媒報導未提及受害者人數，也未說明攻擊者的身分或所屬組織。

本文轉載自The Hacker News。