Twitter验证混乱现在是一个安全问题

网络犯罪分子已经利用 Twitter 上持续存在的验证混乱，通过发送旨在窃取不知情用户密码的网络钓鱼电子邮件。

TechCrunch 看到的网络钓鱼电子邮件活动试图诱骗 Twitter 用户在攻击者的网站上发布他们的用户名和密码，伪装成 Twitter 帮助表单。

这封电子邮件是从一个 Gmail 帐户发送的，其中链接到一个 Google 文档，另一个链接到一个 Google 站点，该站点允许用户托管网络内容。这可能会造成多层混淆，使 Google 更难使用其自动分析工具检测滥用行为。但是该页面本身包含来自另一个站点的嵌入框架，该站点托管在俄罗斯主机 Beget 上，它要求用户的 Twitter 句柄、密码和电话号码 - 足以危及不使用更强大的两因素身份验证的帐户。

钓鱼邮件截图旨在窃取所有 Twitter 用户 ID。图片来源：TechCrunch。

该活动在本质上似乎是初级的，可能是因为它很快被整合到利用最近的消息，即 Twitter 将很快每月向用户收取高级功能的费用，包括验证，以及标记的可能性从非付费 Twitter 用户。

截至撰写本文时，Twitter 尚未就其 2009 年启动的验证计划的未来做出公开决定，以确认某些 Twitter 帐户的真实性，例如公众人物、名人和政府。但这显然并没有阻止网络犯罪分子——即使是最不熟练的网络犯罪分子——利用 Twitter 在埃隆 440 亿美元的收购完成后于本周私有化以来缺乏明确信息的机会。马斯克。

TechCrunch 向 Google 和 Beget 发出了网络钓鱼页面的警告，但没有立即做出回应。 Twitter 发言人没有立即回应置评请求。