【透视脸书粉专遭盗案例一】骇客竟用一个不像FB官方隐私公告的粉丝专页，就要诱骗用户至钓鱼网站

在今年4、5月间，台湾企业组织与名人脸书粉丝专页遭盗事件频传，引发关注。从这些事件来看，这些粉专的遇害方式可能不尽相同，受害者通常没能完整还原事件经过，而脸书公司也都不会出面说明，使得大家对于粉专如何遭骇一事，没人能说得清楚。

值得注意的是，在6月初，趋势科技揭露了新的攻击行动，指出网络诈骗者大量设立伪冒脸书官方的粉丝专页的行径，让我们有机会能深入了解实际的诈骗手法，并还原一种诈骗情境。

锁定国内粉专盗用威胁正持续，国内名人、企业、歌手与网红一直都是目标

日前，趋势科技在6月3日指出，有不肖分子企图伪装成Facebook官方通知，开设伪装为脸书官方的“Prıvacy Policy”粉丝专页，近日我们询问趋势科技时，该公司指出这批攻击者又有新的动作。

为了实际了解诈骗方的手法，因此，我们循线找到名为“Prıvacy Corporation Policy Page Identify”的粉专，当时，可以看到该专页的不当行为，例如，诈骗方不仅是盗用了脸书Logo图示当作大头贴照，在其动态消息贴文中，可以看到该粉专在几个小时前，正锁定多名台湾目标进行诈骗，包括：郭台铭、牙医史书华、环球牙医诊所，职业围棋选手黑嘉嘉、女歌手郭静、魏如昀，以及电獭公司旗下电獭少女-女孩的科技日常等，都是攻击目标。

而在分享贴文中的讯息上，诈骗者利用用户粉专遭他人举报，因此脸书需要认证用户的理由，来欺骗用户至钓鱼网站。为了了解诈骗过程，我们实际检视该钓鱼网站，它的网址明显看得出有异常，不过网页内容模仿了Facebook风格的登入画面，要让不知情的用户因此受骗。

因此，我们透过此次掌握到的诈骗方式与钓鱼网站，让粉专管理者能认识其中一种手法，了解完整诈骗流程。简单来说，就是假冒脸书官方名义，并利用使用者担心粉丝团违反规定遭检举的心里，让不熟网络或社交平台操作，无法辨别真假的用户，被骗至假冒的Facebook登入页面。

但是，为何上述这种方式，能够引诱拥有粉专的脸书用户上当呢？仍是许多人没想通的地方。因此，我们从这次看到的攻击者手法，来尝试还原用户面临的诈骗情境。

为何诈骗者的这种手法有机会引诱用户上钩？

对于一般粉专管理者而言，是如何收到这样的诈骗讯息？更是很多人都想知道的答案。

首先，可管理粉丝专页的成员，不论是管理员、编辑或版主，会收到一则Facebook通知讯息。举例来说，在桌面版脸书左下方，你会看到弹出的即时动态讯息，有一个蓝底FB Logo图示的Prıvacy Corporation Policy Page Identify转贴了自己的文章，而摘录的文字内容是“你的粉丝专页已被其他人举报，为了防止这种情况，我们需要验证你的账号…”。

这样的通知讯息，使用者一般也可以桌面版或手机版，在脸书通知选项（铃铛图示）中找到，此外，用户也可能是在电子邮件信箱收到，因为Facebook可以设定将使用者相关的活动通知以Email方式发送到信箱。

当用户点击这样的通知讯息后，会进入自己粉丝专页的通知页面，看到完整的分享内容，当中提到用户粉丝专页已被他人举报，要使用者遵循指示，前往一个telegra.ph的连结网址，以验证自己的账号，否则系统将会自动封锁你的Facebook账号，让你无法再使用。（这里的原始贴文其实都是英文内容，不过Facebook系统很贴心的帮国内用户翻译成中文。）

一旦用户担心粉丝专页被检举的问题，看到通知讯息及FB Logo，就误以为是官方发出的通知，并依循指示点击该连结后，就是上当的开始。

接着，使用者会看到一个白底黑字的英文通知网页，内容一样是粉专被他人举报而需要验证，并附上“Confirm Here!”文字的连结，且最下方署名是Facebook Department。

当用户再次点击连结，将会前往一个看似Facebook风格的网站，当中佯称这是官方的违反规定声明页面，按下Continue选项后，就会看到假冒的Facebook登入页面，一旦用户误以为这是验证自己账号之用，输入了自己的脸书帐密，但殊不知，这其实就是将帐密输入到诈骗者的钓鱼往页，进而使得自己账号所拥有的粉丝专页管理权，也一并落入网络诈骗者的手中。

透视粉专窃取手法易混淆使用者的3大关键

为何用户可能被这种看似一般的手法混淆，而误以为是官方通知？接下来，我们一步步来分析。

混淆用户关键1：转贴用户粉丝专页内容，制造官方宣称用户粉专遭举报需账号验证的假象

从这次诈骗过程来看，攻击者让用户上钩的作法，是分享用户粉专的封面相片或是大头贴照，到自己假冒官方粉专的动态时报上，并加上伪造官方检举的声明文字内容。

对于用户而言，这里有两个可能上当的关键，一是透过分享机制误导用户，二是利用检举名义造成用户担心。

其实，从脸书的机制来看，上述行为只是单纯的分享连结，将他人的内容，发表到自己粉专的动态时报上，并加上自己的文字描述，让自己专页的粉丝浏览，但这样的过程，却被利用来诈骗。

因为，这样的分享过程会产生通知到用户粉丝专页，诈骗者因此特意将分享时所张贴的文字，变成写给用户粉丝专页管理者，骗称专页遭他人检举，需依指示处理。

基本上，对于经营粉专的管理者而言，收到这种被检举的消息，通常都会特别关注。而且，诈骗者更是利用上述分享通知的机制，来进一步假冒官方，因此这时，当使用者看到或点击这个分享的通知，可能突然搞不清这其实只是一则分享的通知，只看到自己的脸书通知界面上，有一个脸书Logo，还有Prıvacy Corporation Policy Page Identify这种有点像官方隐私政策的名称，正声称粉专遭举报需要用户验证身份。因此，诈骗者就是利用这样的情境来假冒官方与混淆使用者。

为了了解诈骗者的混淆手法，我们实际透过一个别的粉丝专页，来分享iThome Security粉丝专页的任一贴文，并在分享时加上文字‘你的粉丝专页以被他人举报......’，之后，我们回到自己的粉丝专页时，可以看到脸书系统即时弹跳出的即时讯息通知。如果，别的粉丝专页放上FB的Logo，以及取名看似官方隐私政策的名称，一般人可能忘记这是贴文分享的通知，被混淆以为是脸书发送的通知。

而用户也可以从脸书通知选项（铃铛图示）中找到此通知，或是因为Facebook可以设定将使用者相关的活动通知以Email方式发送到信箱，因而从Email收到通知。

当使用者点击前述通知讯息后，会进入到使用者自身的通知页面，这时使用者若是只看到贴文内容，还是有可能以为是官方讯息，而遵循指示前往钓鱼网站确认身份，但其实，这只是脸书系统的讯息分享通知，也就是通知别人粉专分享自己的内容而已，但由于对方转贴内容时的文字，看起来是在跟你自己说话，也就是跟粉专管理角色说话，因而产生误解。

混淆用户关键2：大量开设假冒脸书官方的粉丝专页

当然，对于很多被针对的粉丝专页管理者，其实是有机会分的清楚真伪，例如，若进一步点击前往该假冒粉丝专页，可能从赞数、动态讯息等资讯而察觉有异，因为该假FB粉专伪造算是粗糙。

简单来说，诈骗方在伪造脸书通知讯息前，为了取信于诈骗目标，一开始，他们会假冒FB官方名义，这里使用的方式就是建立一个粉丝专页，或是窃取粉丝专页并改名。

例如，这次网络诈骗者假冒的“Prıvacy Corporation Policy Page Identify”粉专，按赞人数才3千多人，注册的网址名称＠thevirgosigh也与脸书无关，因此很假，但就是放上了脸书Logo为大头贴照来混淆用户。

然而，为何这个看起来不像官方隐私公告的粉丝专页，骇客就能直接利用来诈骗？主要是仰赖上述第一个混淆关键，用户在自己的通知讯息界面上，只会先看到大头贴照、粉专名称与贴文内容，没有点入查看，是有可能搞不清楚状况。

附带一提的是，实际上，脸书在隐私公告方面确实是有官方粉丝专页，我们查到“Facebook and Privacy”@fbprivacy，这里提供了脸书隐私政策方面的贴文，并具有官方认证的蓝底白色勾勾，粉丝专页按赞人数超过260万人。

 

   

 

日前趋势科技提供给我们这个假冒FB的粉丝专页名称时，我们可以看到攻击者正分享多位国人粉专的内容，到该粉专的动态资讯上，包括企业大老郭台铭、牙医史书华、环球牙医诊所，职业围棋选手黑嘉嘉、女歌手郭静、魏如昀，以及电獭公司旗下电獭少女-女孩的科技日常。不过，若是用户前往该粉丝专页一探究竟，其实可以发现这个粉专根本不像脸书官方的页面，甚至可以看到2017年的就贴文，内容属性完全不同。由于诈骗者会持续利用不同的假冒粉专来诈骗，引此这个假粉专也仅仅只是一个例子。

而我们也透过搜寻找到脸书在隐私公告方面，确实是设有官方粉专，像是“Facebook and Privacy”@fbprivacy，这里提供了脸书隐私政策方面的贴文，并具有官方认证的蓝底白色勾勾

混淆用户关键3：制作以假乱真的脸书登入网页

此时，当用户无法确认是否为来自脸书官方的检举通知，就有可能上当，被引导至诈骗者预先准备好的钓鱼网站。

一旦用户点击粉丝专页分享贴文上所附的网站链接，先会看到一个白底黑字的通知网页，内容与之前贴文一样，描述用户的粉丝专页遭举报诈骗，并要用户再次依循指示，点击连结进入身份确认页面，接下来，用户就会进入到一个外观相像的Facebook网页。

较特殊的是，这次诈骗方指示用户前往的连结，感觉是一个类似短网址的连结，其实它是一个Telegram网页，并被诈骗方当成连至钓鱼网站的跳板。根据我们的观察，该Telegram网页已经超过10天都还存在，而前述的假冒粉丝专页，其实隔没几天，该页面就被移除。

而在假冒的Facebook网页方面，主要就是利用以假乱真的界面设计，来混淆使用者，以及使用了较长的网址来掩护，包含social-network-corporation，以及Facebook-verification等字串。

不过，在这个案例中，由于该Telegram网页与钓鱼网址，我们认为，多数用户应该很快会有警觉，认为与脸书无关，可能是诈骗。但要慎防的是，诈骗者是可以使用更多伪装方式让用户上钩。

  

较特别的是，诈骗者在讯息中留下的连结是一个Telegram网页，不过这些天来我们发现，上述假冒的“Prıvacy Corporation Policy Page Identify”＠thevirgosigh粉专，没几天就被删除，但该Telegram网页维持十多天仍存在。

  

为了骗取用户脸书粉专的控制权，诈骗者在这里用的方式就是钓鱼网站，制作伪造逼真的脸书界面，并用先前声称用户粉专遭检举需验证身份的名义，要使用者登入，不过该网页的网址其实并没有伪造的很精心，但就是取得比较长让用户不易去看。

这只是脸书粉专窃取的一种类型方式的一种手法，还有一种类型更难防范

无论如何，这只是窃取脸书帐密的一种手法而已，用户可以借由了解这些诈骗环节，让自己更懂得保护自己。

基本上，从我们目前掌握的盗用粉专方式来看，第一类是脸书账号被盗取；另一类则相当特别，因为脸书账号没有被盗，但粉专控制权被骗到诈骗者建立的企业管理平台之下，更令人防不胜防，我们也已询问到今年国内已有受此类型的遭盗事件，将在下一案例说明。

而上述诈骗者的行径，就是脸书账号被盗取的手法之一，不过用户要注意的是，实际上，可假借的名义很多种，而盗取账号的手法，钓鱼网站也只是一种，还有像是键盘侧录，还有近年帐密外泄情况严重，如果用户在不同平台使用与脸书相同的帐密，也等于自己的帐密早就外泄。在过去这类新闻事件中，也已经多次提醒用户开启脸书双重验证，至早多增加一层防护。