INKY 的研究人員觀察到一波大規模網路釣魚攻擊活動，攻擊者利用 SVG（Scalable Vector Graphics）圖片檔案傳遞惡意 JavaScript。雖然濫用 SVG 檔案並不是新手法，但 INKY 表示，過去一年來，SVG 被用於網路釣魚活動的情況大幅增加。

「2026 年 6 月 1 日至 8 月 4 日期間，INKY 追蹤並偵測到一波持續性的網路釣魚活動。攻擊者利用一個看似簡單的誘餌——未接聽的語音信箱通知——將隱藏在圖片檔案中的惡意程式碼傳遞給受害者，」研究人員寫道。「這波活動觸及 5,527 個組織，並產生 26,589 封遭偵測的電子郵件。所有電子郵件都被攔截並標記為危險。攻擊者選用的武器，是一種多數人以及許多電子郵件過濾器都視為無害的檔案格式：SVG 圖片。」

攻擊者將網路釣魚郵件安排在平日上班時間寄出，讓員工更容易相信這些郵件只是一般的工作通知。使用者開啟惡意檔案後，便會被導向專門竊取登入憑證與多因素驗證代碼的網路釣魚頁面。

「擷取的內容通常是一個偽裝成常見登入服務的憑證竊取頁面，例如 Microsoft 365、Google Workspace 或 Adobe，」研究人員寫道。「在許多攻擊活動中，受害者自己的電子郵件地址會被一併傳遞，並預先填入偽造的登入表單，讓頁面看起來更個人化，也更具合法性。這類頁面也越來越常不是單純的仿冒頁面，而是『中間人攻擊』（adversary-in-the-middle，AiTM）入口網站：它們會即時轉送受害者輸入的資訊至真正的登入服務，擷取最後產生的工作階段權杖，藉此繞過多因素驗證。這項技術與 Tycoon2FA、Mamba2FA 及 Sneaky2FA 等「網路釣魚即服務」工具包有所關聯。將有效負載託管在遠端，也讓攻擊者能隨時更新或替換網路釣魚頁面，而不必更換已傳送出去的 SVG 檔案。」

KnowBe4 協助企業員工每天做出更明智的資安決策。全球有超過 70,000 個組織信賴 KnowBe4 Platform，以強化資安文化並降低人員風險。

Kaseya 的完整報導： https://www.kaseya.com/blog/svg-smuggling-voicemail-phishing-campaign/