網絡釣魚活動以 Tiktok 影響者帳戶為目標

來自 Abnormal Security 的研究人員發現了一個旨在劫持至少 125 個 TikTok“影響者”帳戶的網絡釣魚騙局。

最初的網絡釣魚電子郵件使用了 TikTok 侵犯版權通知誘餌，該郵件指示受害者回復該郵件，以避免在 48 小時內刪除其帳戶。 

“在 2021 年 10 月 2 日和 2021 年 11 月 1 日分兩輪向超過 125 個個人和企業發送的電子郵件活動似乎針對各種類型和不同地區的大量 TikTok 帳戶。在我們期望看到的典型人才中介和品牌顧問公司中，這位演員向社交媒體制作工作室、影響者管理公司和所有類型的內容制作人發送信息。” 閱讀異常安全發布的報告。

一旦受害者回復了網絡釣魚消息，冒充“TikTok 官員”的攻擊者就會通過電子郵件向受害者提供一個名為“確認我的帳戶”的縮短鏈接。該鏈接將收件人定向到 WhatsApp 聊天對話。參與 WhatsApp 對話的運營商要求受害者驗證鏈接到目標 TikTok 帳戶的電話號碼和電子郵件地址。

然后，威脅行為者要求受害者通過提供他們收到的六位數代碼來確認帳戶的所有權。使用這個技巧，威脅行為者能夠繞過多因素身份驗證。

另一項針對 TikTok 影響者的活動使用了一封聲稱由“TikTok 官員”發送的電子郵件，該電子郵件通知帳戶持有人該帳戶有資格獲得“驗證徽章”，并要求他們回復電子郵件以驗證帳戶。

“雖然我們無法確定該活動的最終目標，但過去針對其他平臺上的社交媒體帳戶提供了多種選擇。近年來，社交媒體帳戶變得越來越有價值，這促使人們以高額費用將其贖回給原始所有者。地下經濟已經演變為提供禁令即服務，操縱濫用報告機制來騷擾和審查其他用戶， 主要是在 Instagram 上。” 報告結束。