釣魚攻擊者如何盜取您的一次性密碼

一次性密碼（OTP）是現時應用非常廣泛的雙重認證（2FA）形式。但它真的安全嗎？大多數人相信，OTP在其生效的短時間內不會外洩——一般情況下的確如此。不過，現時出現了一種新型釣魚手法，攻擊者利用社會工程學及2FA機制誘騙用戶交出自己的OTP，繼而入侵用戶帳戶。

近期，網絡犯罪分子就利用這類手法攻擊加密錢包服務商Coinbase的用戶。攻擊者製作釣魚電郵，誘導已知的活躍用戶前往登入其Coinbase帳戶（或授予帳戶直接存取權限）。用戶點擊這類經過社會工程學設計的連結後，會跳轉至仿冒的Coinbase登入頁面。該頁面偽裝成正規網站的登入介面，讓黑客得以與受害者實時互動。用戶透過這個介面提交自己的電郵地址、密碼、手機號碼、OTP及其他個人資料。在Coinbase發現並叫停該釣魚活動前，不法分子已經透過這種方式盜取了超過6000名客戶的資產。

這次針對Coinbase的釣魚攻擊反映了威脅態勢的演變。這類攻擊手法，配合現時OTP登入協議的廣泛應用，對個人和企業都構成實在、迫切的威脅，亦印證了基於數碼證書的無密碼認證的價值。現代認證方案應同時兼顧易用性與安全性。OTP可視為一種過渡性的舊有技術，作用是從過往以用戶名/密碼為主的認證體系，接駁到現時已有更優秀無密碼技術可用的階段。業務場景容易受這類黑客攻擊影響的企業，可考慮部署基於數碼證書的無密碼認證方案，協助用戶識別及規避釣魚風險。

如要深入了解這次Coinbase釣魚攻擊事件，以及事件對企業安全的啟示，可收聽《Root Causes》播客第190期《釣魚攻擊Coinbase》.”