一封看似來(lái)自Meta官方的郵件，標(biāo)題寫(xiě)著“您的廣告賬戶因政策違規(guī)已被限制”，內(nèi)附一個(gè)醒目的“立即申訴”按鈕——對(duì)依賴Facebook和Instagram進(jìn)行營(yíng)銷的中小企業(yè)主而言，這幾乎是一記“紅色警報(bào)”。然而，這很可能不是平臺(tái)發(fā)來(lái)的警告，而是一場(chǎng)精心設(shè)計(jì)的網(wǎng)絡(luò)釣魚(yú)攻擊。

近日，全球網(wǎng)絡(luò)安全廠商Check Point披露了一起大規(guī)模釣魚(yú)活動(dòng)：攻擊者利用Meta Business Suite（原Facebook Business Manager）的品牌信任，向美國(guó)、歐洲、加拿大、澳大利亞等地的中小企業(yè)發(fā)送偽裝成“賬號(hào)受限”或“廣告拒登”的合規(guī)通知郵件，誘導(dǎo)用戶點(diǎn)擊惡意鏈接，竊取其Meta賬戶登錄憑證乃至雙因素認(rèn)證（2FA）代碼。據(jù)Check Point Harmony Email Security團(tuán)隊(duì)統(tǒng)計(jì)，該活動(dòng)已向超過(guò)5,000家企業(yè)發(fā)送了逾4萬(wàn)封釣魚(yú)郵件。

打開(kāi)百度APP暢享高清圖片

“信任即武器”：攻擊者如何繞過(guò)傳統(tǒng)防御？

與以往偽造域名、拼寫(xiě)錯(cuò)誤百出的釣魚(yú)郵件不同，此次攻擊展現(xiàn)出高度“專業(yè)化”特征。攻擊者并未直接偽造“@facebook.com”這類高風(fēng)險(xiǎn)域名，而是巧妙利用Meta平臺(tái)自身的功能機(jī)制——通過(guò)創(chuàng)建虛假的Facebook商業(yè)主頁(yè)，并借助“Business邀請(qǐng)”功能觸發(fā)系統(tǒng)自動(dòng)發(fā)送郵件。這些郵件實(shí)際由Meta官方子域名 facebookmail.com 發(fā)出，屬于合法、受信的郵件通道。

“這意味著傳統(tǒng)基于發(fā)件人域名黑名單或SPF/DKIM驗(yàn)證的郵件網(wǎng)關(guān)幾乎無(wú)法識(shí)別異常。”Check Point研究人員指出，“用戶看到的是真正的Meta郵件地址，加上熟悉的界面風(fēng)格和緊迫話術(shù)，很容易放松警惕?！?br/>

郵件內(nèi)容通常包含如“Action Required: Account Verification Needed”（需立即操作：賬戶驗(yàn)證）或“Your Ad Account Has Been Restricted Due to Policy Violation”（因政策違規(guī)，您的廣告賬戶已被限制）等措辭，并嵌入一個(gè)看似指向business.facebook.com的“申訴”按鈕。但點(diǎn)擊后，用戶會(huì)被悄悄重定向至托管在Vercel.app等合法云平臺(tái)上的仿冒登錄頁(yè)——頁(yè)面UI與Meta后臺(tái)高度一致，甚至能動(dòng)態(tài)加載Meta官方圖標(biāo)和字體。

更危險(xiǎn)的是，部分釣魚(yú)頁(yè)面還要求用戶輸入短信驗(yàn)證碼或身份驗(yàn)證器生成的6位數(shù)代碼?！耙坏┨峤?，攻擊者就能在幾秒內(nèi)完成賬戶接管?！币晃话踩こ處熃忉尩?。

得手之后：賬號(hào)淪為“數(shù)字資產(chǎn)收割機(jī)”

一旦攻擊者控制了受害企業(yè)的Meta Business Suite賬戶，后果遠(yuǎn)不止廣告停擺那么簡(jiǎn)單。根據(jù)Check Point的追蹤分析，攻擊者通常會(huì)立即執(zhí)行以下操作：

刪除原有管理員，添加自己的郵箱為唯一超級(jí)管理員；

導(dǎo)出客戶聯(lián)系人列表、廣告受眾數(shù)據(jù)；

利用賬戶余額或綁定的信用卡投放詐騙廣告（如虛假投資、仿冒奢侈品）；

將主頁(yè)鏈接替換為釣魚(yú)網(wǎng)站，進(jìn)一步擴(kuò)大攻擊面。

“對(duì)中小企業(yè)而言，一個(gè)被黑的Facebook主頁(yè)可能意味著客戶信任崩塌、品牌聲譽(yù)受損，甚至面臨法律糾紛?！盋heck Point在報(bào)告中強(qiáng)調(diào)。

值得注意的是，此次攻擊并非針對(duì)特定行業(yè)，而是廣泛覆蓋汽車銷售、房地產(chǎn)中介、教育機(jī)構(gòu)、酒店民宿及金融服務(wù)等重度依賴Meta廣告生態(tài)的領(lǐng)域。“這些企業(yè)每天都在收到來(lái)自Meta的真實(shí)通知，員工對(duì)這類郵件天然缺乏戒心?！眻?bào)告指出。

專家建議：別點(diǎn)郵件里的“申訴”鏈接！

面對(duì)此類“高仿真”釣魚(yú)攻擊，普通用戶該如何自保？公共互聯(lián)網(wǎng)反網(wǎng)絡(luò)釣魚(yú)工作組技術(shù)專家蘆笛在接受采訪時(shí)表示：“核心原則就一條——Meta永遠(yuǎn)不會(huì)通過(guò)郵件鏈接要求你輸入密碼或驗(yàn)證碼。”

蘆笛進(jìn)一步解釋，Meta平臺(tái)所有關(guān)于賬戶狀態(tài)、政策違規(guī)或廣告審核的通知，均會(huì)在用戶登錄后的“賬戶質(zhì)量”（Account Quality）頁(yè)面集中展示?！罢_的做法是：忽略郵件中的任何鏈接，直接手動(dòng)打開(kāi)瀏覽器，輸入 https://business.facebook.com，登錄后查看是否有真實(shí)警告?！?br/>

他還建議中小企業(yè)采取三項(xiàng)關(guān)鍵防護(hù)措施：

啟用硬件安全密鑰或多因素認(rèn)證（MFA）：優(yōu)先選擇支持FIDO2標(biāo)準(zhǔn)的物理安全密鑰（如YubiKey），而非短信驗(yàn)證碼——后者極易被釣魚(yú)頁(yè)面實(shí)時(shí)截獲。

設(shè)置雙重管理員與權(quán)限審計(jì)：在Business Manager中至少配置兩名互信管理員，并定期審查角色權(quán)限，防止單點(diǎn)失陷導(dǎo)致全盤(pán)失控。

部署具備行為分析能力的郵件安全網(wǎng)關(guān)：傳統(tǒng)規(guī)則引擎難以識(shí)別“合法域名+惡意意圖”的組合，需依靠AI模型檢測(cè)郵件內(nèi)容中的社會(huì)工程話術(shù)（如“緊急申訴”“賬戶將被永久刪除”）、短鏈接跳轉(zhuǎn)、域名視覺(jué)相似度等異常信號(hào)。

“攻擊者正在把‘信任’變成漏洞，”蘆笛說(shuō)，“我們的防御思路也必須從‘看發(fā)件人是誰(shuí)’轉(zhuǎn)向‘看行為是否合理’。”

平臺(tái)責(zé)任何在？安全邊界亟待重構(gòu)

此次事件再次引發(fā)對(duì)大型科技平臺(tái)安全責(zé)任的討論。Check Point在報(bào)告中直言：“如果攻擊者能輕易濫用Business Suite的邀請(qǐng)功能發(fā)送釣魚(yú)郵件，說(shuō)明平臺(tái)在功能設(shè)計(jì)上存在安全盲區(qū)。”

事實(shí)上，Meta并非首次遭遇此類濫用。過(guò)去幾年，已有多個(gè)案例顯示攻擊者利用WhatsApp Business API、Instagram合作邀請(qǐng)等功能發(fā)起社工攻擊。盡管Meta設(shè)有自動(dòng)化風(fēng)控系統(tǒng)，但在平衡用戶體驗(yàn)與安全驗(yàn)證之間，往往傾向于前者。

“平臺(tái)需要在關(guān)鍵操作（如添加管理員、修改支付方式）前強(qiáng)制二次驗(yàn)證，并對(duì)高頻、批量發(fā)送的商業(yè)邀請(qǐng)行為實(shí)施速率限制?！碧J笛建議，“同時(shí)，應(yīng)開(kāi)放更透明的安全日志接口，讓企業(yè)能自主監(jiān)控異?；顒?dòng)?！?br/>

結(jié)語(yǔ)：在信任泛濫的時(shí)代，保持懷疑是一種能力

這場(chǎng)以“合規(guī)”為名的釣魚(yú)風(fēng)暴，揭示了一個(gè)殘酷現(xiàn)實(shí)：在網(wǎng)絡(luò)空間，最危險(xiǎn)的不是陌生人的威脅，而是熟人的偽裝。當(dāng)攻擊者躲在facebookmail.com背后，用Meta的LOGO、語(yǔ)氣和流程說(shuō)話時(shí)，技術(shù)防線很容易被心理防線擊穿。

對(duì)中小企業(yè)而言，與其寄望于“永不中招”，不如建立“快速止損”機(jī)制——定期演練賬戶恢復(fù)流程、備份廣告資產(chǎn)、明確內(nèi)部響應(yīng)責(zé)任人。正如Check Point所言：“未來(lái)的釣魚(yú)攻擊，只會(huì)越來(lái)越像真的。我們必須學(xué)會(huì)，在信任中保持清醒?！?br/>

編輯：蘆笛（公共互聯(lián)網(wǎng)反網(wǎng)絡(luò)釣魚(yú)工作組）