北京
三封邀请函，语法结构几乎一模一样。收件人不同，话题不同，但句式、修辞、甚至恭维人的方式都像从同一个模子里倒出来的。思科Talos的研究人员把这批邮件翻来覆去比对之后，给出了一个判断：这不是三场独立活动的邀约，而是一次有协调、有目标的定向钓鱼。
被追踪的这组活动代号UAT-11985。攻击目标是与台湾研究机构有关联的个人，最终目的是拿到他们的谷歌账号凭据和多因素认证（MFA）验证码。Talos研究员Joey Chen在分析中表示，这场行动很可能借助了AI辅助内容生成，才能在同一个社会工程框架下，快速为不同目标定制诱饵。该活动最早在2026年年中被观察到。
Talos的原话是，行动"利用了真实的公开活动主题，并冒充知名学术和政策机构来建立可信度"。换句话说，攻击者没有凭空编造一个活动，而是借了真实存在的会议、论坛的壳。
邮件长什么样
这些邀请邮件有一个共同的三段式结构：
- 开头一段，对地缘政治或政策背景做一番"精致但过于繁复"的描述；
- 第二段针对收件人量身定制，用恭维的语气试图激发对方回应；
- 第三段给出活动细节——主题、日期、场地、报名方式。
邮件里嵌入的链接指向攻击者控制的服务器，但鼠标悬停在超链接上时，显示的却是一个看起来完全正常的Google Forms网址。这是整封邮件里最容易被忽略的一处伪装。
被冒充的机构包括台湾欧洲联盟中心、政治大学国际关系研究中心、台湾综合研究院等台湾本地机构。发件人身份是伪造的，为的是让邮件看起来更可信。
Talos的结论是：几乎相同的叙事结构、修辞风格、个性化恭维、机构冒充，再加上一套欺骗性的报名机制，这些加在一起，"强烈表明这是一场有协调、经过精心瞄准的定向钓鱼行动，而不是三封独立的邀请函"。
二维码也被动了手脚
在部分案例中，攻击者从正规网站抓取了真实的活动海报，只改动上面的二维码。收件人如果扫码"报名"，就会被引向钓鱼页面。Talos把这种手法称为二维码钓鱼（quishing），它把攻击面从邮件收件人扩展到了可能接触到印刷材料的次级受害者。
钓鱼页面模仿的是Google Form的外观。页面真正的目的，是弹出一个提示，要求受害者用谷歌账号登录以完成表单。一旦照做，用户就会被带到另一个伪造的谷歌登录面板，账号密码和认证挑战信息在这里被截获。
这个像素级复刻的站点，本质上是一个中间人（AitM）代理。它用混淆过的JavaScript实时收集并外传用户输入的信息，传输走WebSocket连接，同时把数据转发给真正的谷歌认证服务器。
在建立WebSocket连接之前，这段JavaScript会先收集设备和浏览器信息——语言区域、用户代理、屏幕尺寸、是否为移动设备——然后通过一个"google_login_start"请求上报给命令与控制（C2）服务器。
当受害者提交密码时，钓鱼页面会通过"google_login_check"请求，把密码、账号标识和浏览器用户代理信息一并发送到攻击者的HTTP C2服务器。处于中间人位置的攻击者服务器，再把这些凭据转发给真正的谷歌认证服务。
Joey Chen指出，伪造的谷歌登录面板只支持简体中文、繁体中文和英文三种语言环境，区域判断依据是受害者浏览器的"navigator.languages"，这"强烈表明攻击目标是中文使用者"。
他还提到一个技术细节：攻击者刻意把一次性上传的POST请求和低延迟的状态更新用WebSocket连接拆分开，做出了一条无缝的凭据窃取中继链路。这样就能实时镜像谷歌的动态认证状态，最终在受害者毫无察觉的情况下完成完整的账号接管。
整条链路里，没有一处需要受害者主动交出密码。他们只是以为自己在一个正常的谷歌表单上登录了一次。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
