Zimperium 的研究人員正在追蹤大規模網路釣魚活動。攻擊者利用瀏覽器內瀏覽器（Browser-in-the-Browser，BitB）攻擊，誘騙使用者交出企業帳號憑證。攻擊者冒充大型企業的真實人資員工，並以高度逼真的面試流程鎖定求職者。

“在我們的樣本中，遭鎖定最嚴重的對象涵蓋電子商務、精品、科技、航空與零售等產業，包括 Amazon、Louis Vuitton、Apple、FIFA、Emirates Group、Boeing、Heineken、Deloitte、Central Network Retail Group（CNRG）和 Lego 等公司，”研究人員寫道。

行動裝置使用者尤其需要提高警覺，因為手機螢幕能提供的線索較少，可能難以辨識網路釣魚攻擊。

“桌上型電腦使用者會看到模擬的彈出式瀏覽器視窗，但行動裝置則存在獨特的弱點，”Zimperium 表示。“在較小的螢幕上，攻擊會自動調整，將 BitB 框架替換成全螢幕的仿冒登入頁面。由於缺乏傳統桌面瀏覽器介面或明顯的網址列，行動裝置受害者幾乎沒有任何視覺線索，可以分辨假的登入頁面與合法的 OAuth 登入提示。”

值得注意的是，這套網路釣魚工具會自動篩除個人裝置，以鎖定企業使用者。攻擊者刻意鎖定可作為入侵企業內部立足點的帳號。

“這起活動的一項關鍵發現，是攻擊者嚴格的事前資格審查邏輯，”研究人員解釋道。“這套網路釣魚工具不會處理每一名受害者，而是主動篩選輸入內容，並拒絕個人電子郵件網域。透過強制使用企業憑證，威脅行為者得以精準鎖定高價值的企業存取權限。一旦入侵單一企業帳號，攻擊者便能立即取得 OAuth 權杖、內部通訊內容與雲端應用程式，進而在組織內快速橫向移動。”

AI 原生安全意識訓練能培養員工健康的懷疑意識，協助他們避免落入社交工程攻擊的陷阱。KnowBe4 協助您的員工每天做出更明智的安全決策。全球有超過 70,000 個組織信賴 KnowBe4 Platform，以強化安全文化並降低人員風險。

Zimperium 的完整報導如下：https://zimperium.com/blog/extended-rapid-response-zimperium-identifies-recruittrap-recruit-scams-are-targeting-enterprise-credentials-on-mobile