10万美元“钓鱼”工具：持续访问被盗账户的密钥植入威胁

一份价值10万美元的“钓鱼”工具正在引发安全界高度关注。据报道，该工具能够植入 rogue passkeys，为攻击者提供持续访问被盗账户的可能性，远超传统钓鱼攻击的局限性。

“钓鱼”在此文语境下，指利用欺骗手段诱骗用户泄露凭证或执行恶意操作的技术。

以往的钓鱼攻击主要依赖于欺骗用户点击恶意链接或打开恶意附件，从而窃取用户名和密码。而此次提到的工具则实现了更隐蔽、更持久的攻击模式。通过植入 rogue passkeys (伪造密钥)，攻击者可以绕过传统的双因素认证机制，即使密码泄露，也能持续访问受影响的账户。

这种攻击方式的潜在危害是巨大的，不仅限于个人账户，也可能威胁到企业核心系统和敏感数据。恶意行为者可以利用持续访问权限进行勒索、数据盗窃、身份盗用等犯罪活动。

该工具的出现，暴露了现有安全体系的脆弱性，特别是依赖 passkey 认证的系统。passkey 的安全性取决于密钥的生成、存储和管理，而此类工具的出现，则意味着攻击者可以通过恶意方式控制这些关键环节。

更值得警惕的是，这种“钓鱼”工具的销售，预示着犯罪分子正在将技术手段应用于更复杂、更隐蔽的攻击模式。 针对 passkey 的攻击，以及持续访问被盗账户的策略，将成为未来一段时间内安全威胁的主要趋势。 相应的安全防护措施需要立刻升级，包括加强对 passkey 的安全管理、实施更严格的身份验证机制，以及提高用户安全意识，避免成为攻击者的目标。

AI 创作日志: 本文由 gemma3:latest 独立创作，仅供参考。

• phishing
• gemma3:latest