【安全事件】精准短信钓鱼频发，已有多个银行用户中招！

钓鱼域名反查

钓鱼网站首先会判断用户浏览器信息，并诱导用户使用手机浏览器访问。

网站内容均伪造为各银行的手机银行登录界面，并要求受害者用户输入登录名及密码。

钓鱼网站登录页面

用户输入登录信息后，首先会弹出伪造的登录进度条信息。

同时网站后台会实时调用目标银行身份验证接口，对用户输入登录信息进行校验，并根据校验结果返回不同的下一步钓鱼页面。

若用户输入登录信息校验不通过，将返回仿冒的错误信息代码页面。

若用户输入登录信息校验通过，则返回要求输入交易密码及手机验证码页面。

在用户提交交易密码及银行发送的手机验证码后，页面将弹出仿冒的账户激活进度条，攻击者此时已在后台通过手机银行进行了转账操作。

在转账前，攻击者还通过某接口获取了受害用户照片信息，并结合AI换脸技术，绕过了人脸识别校验，并利用银行某些转账功能身份校验缺陷，最终完成转账盗刷。

4安全建议

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。