近日，有觀察人士發(fā)現(xiàn)，通訊軟件Telegram的匿名博客平臺Telegraph可能正被網絡釣魚者積極利用，他們利用寬松的平臺政策建立臨時登陸頁，從而盜取用戶的賬戶憑證。

在博客平臺Telegraph上，任何人都可以在無需創(chuàng)建賬戶或提供任何身份信息的情況下發(fā)布任何內容。雖然這為信息發(fā)布者提供了良好的隱私保護，但這也可能將造成非常廣泛的威脅。

由于Telegraph的編輯器支持添加圖片、鏈接，并提供文本格式選項，攻擊者可以輕易地使博文看起來像一個網頁或者登錄表單。通常情況下，Telegraph博文在發(fā)布后會生成一個鏈接，而攻擊者可以以任何方式轉發(fā)這個鏈接。

網絡釣魚頁面 

根據網絡安全公司Inky此前分享的一份報告顯示，網絡釣魚者使用Telegraph創(chuàng)建看似網站登陸頁面或登錄門戶的釣魚網站是一個非常普遍的現(xiàn)象。

從報告中可以看到，從2019年底到2022年5月，釣魚郵件中包含Telegraph鏈接的數(shù)量正在急劇上升，其中更是有超90%的統(tǒng)計數(shù)據是在2022年內檢測到的。

不幸的是，這些鏈接位于Telegraph平臺上，而Telegraph平臺沒有被任何電子郵件安全解決方案標記為危險或可疑，因此這些釣魚郵件投遞率非常高。此外，Inky還注意到，在很多情況下，釣魚郵件是通過被劫持的的電子郵件帳戶發(fā)送的，如此一來，已知的詐騙地址屏蔽列表也會被繞過。

在大多數(shù)有記錄的案例中，研究人員可以輕易地觀察到，網絡釣魚者的目的是進行加密貨幣詐騙或獲取目標的賬戶憑證。與此同時，Inky也發(fā)現(xiàn)案例之間存在相當大的差異，這就表明，并非僅有一個特定的威脅群體在利用Telegraph平臺，而是許多個人或群體都在做這樣的事情。

下面的案例中，釣魚者仿造了一個OneDrive通知，它會將瀏覽者誘導至一個逼真的微軟登錄頁面，在那里瀏覽者會被提示輸入他們的帳戶憑證。

在另一個案例中，我們可以看到一條勒索信息，釣魚者威脅收件人如果不支付贖金，他們就會泄露私人文件。支付門戶網站就直接托管在Telegraph上，上面有多種支付方式可供受害者選擇。

如何保護自己

其實，網絡釣魚者也在不斷嘗試新的途徑，以提高他們成功的幾率。他們通常會結合利用竊取的電子郵件帳戶和免費網站，如Telegraph，來達到自己的目的。

因此，用戶不能僅僅因為有了電子郵件的保護措施就盲目信任那些未被過濾的郵件。如果郵件正文中有鏈接，不妨將光標懸停在上面，看看它會重定向到哪里，然后再單擊。

無論什么時候，當進入一個要求您帳戶憑證的網站時，在輸入任何內容之前，請務必確認這網站是否就是真正的官方登錄門戶。

最后，永遠記得要保持冷靜，不要急于采取行動。在網絡世界里，沒有什么事不能讓您花點時間仔細思考觀察，是否存在潛在的詐騙風險。