伊朗钓鱼攻击者被发现能绕过二步认证

安全公司 Certfa 研究人员 报告 ，伊朗黑客最近针对美国政府官员、活动人士和记者的钓鱼攻击使用了能绕过二步认证的技术。这一事件凸显了基于短信的二步认证的风险。攻击者首先向目标发送钓鱼邮件，邮件嵌入了隐藏的图像，能在目标查看邮件时实时提醒攻击者。当目标在假的 Gmail 或 Yahoo Mail 登录页面输入密码，攻击者几乎能实时在真实的登录页面输入登录凭证。如果目标账号受到二步认证的保护，攻击者能将目标重定向请求一次性密码的新页面。黑客使用的钓鱼域名和 IP 地址与伊朗政府有关联的黑客组织 Charming Kitten 相关联。