标签
作者讲述了遭遇的一次精心策划的钓鱼攻击：攻击者伪造了 Google 登录页面、Apple 的 passkey 提示，以及他们的 Bitwarden 分支密码管理器——最终在其已被入侵的 Google 账户上添加了一个新的 passkey。作者认为，passkey 和浏览器扩展检测 API 反而让钓鱼攻击变得更加严重。
xAI 工程师 Wes Morrill 报告称，一封伪装成 xAI 的高仿钓鱼邮件通过了 SPF、DKIM、DMARC 验证，甚至显示了蓝色认证徽章，但 Grok 机器人仍检测出了其中隐藏的钓鱼链接，解释了漏洞所在，并起草了一份报告连同修复建议一并提交给 xAI。
微软与日本警察厅联合捣毁了网络犯罪交易平台（YAM Store）以及网络钓鱼工具包 CoGUI 和 Iron Man。这些工具向遍布 150 多个国家的 75,000 家组织发送了超过 10 亿条诈骗信息。此次行动停用了 20,000 多个账户，并封锁了 100,000 多个欺诈域名。
Scott Helme 推翻了《通行密钥是个陷阱》一文的论点，解释了同步式通行密钥并不会向网站提供证明信息（attestation），且证明机制并不会暴露操作系统或浏览器信息，TOTP 反而是更容易被钓鱼的倒退方案。
一位 ChatGPT 用户报告称，自己在任务进行中被意外重定向到一个名为 "GPT-5.6 Sol" 的伪造 Custom GPT。该 GPT 试图发起 ClickFix 式的恶意软件攻击：把恶意命令复制到剪贴板，并指示用户通过 Win+R/cmd 运行它。
一位用户反映，点击了一个假冒的“250 美元 Claude Code 额度”领取链接，结果发现是钓鱼骗局，账号立即被封禁，并询问其他人如何解决了这个问题。
Frank Wiles 讲述了自己遭遇一次精密钓鱼攻击的经历：攻击者共享了一个伪造的 Ed Tech 项目仓库，其中包含恶意的 git post-checkout 钩子，该钩子会通过 Vercel 托管的命令与控制（C2）端点下载针对不同操作系统的恶意软件。
模仿Evite或Paperless Post等平台派对邀请的钓鱼诈骗变得常见，诱骗人们输入个人信息。有趣的是，这些诈骗激发了社会联系的重建，当收件人验证邀请时，重新点燃了旧关系。
黑客正在向ChatGPT和Gemini等AI系统投毒，注入恶意内容以诱骗用户陷入骗局，突显了AI依赖网络数据时的关键漏洞。
测试中，AI智能体面对钓鱼链接毫无戒备地进行了访问。文章详细介绍了四项实用安全检查措施以预防此类威胁，强调应在工具层面实现稳健的智能体安全防护。
本文通过指出分散的认证流程和不当的URL处理方式如何让用户难以区分合法网站与骗局，批评了常见的钓鱼漏洞，倡导使用一致的域名以提高安全性。
文章警告了一种钓鱼诈骗，求职者在LinkedIn面试中收到虚假的编程挑战，旨在入侵其系统。文章分析了恶意代码并提出了避免此类攻击的预防措施。
CZ Binance警告钓鱼企图并披露SafePal是YZiLabs的投资组合公司，同时SafePal已修复其订单跟踪插件中的一个安全漏洞，该漏洞曾暴露了一些客户信息。
Trezor披露了其物流供应商ShipMonk发生的数据泄露事件，约13,700名客户的个人数据被曝光，但Trezor系统和私钥并未受到威胁。CZ（Binance）就硬件钱包和软件钱包之间不同的风险特征发表了评论。
CZ就一则警告发表评论，该警告指出用户因从交易历史中复制被投毒的钱包地址而损失资金，他敦促钱包应过滤此类地址。
提醒大家最近针对KOL的盗号骗局增多，并揭露了两种骗局的完整时间线，呼吁用户小心账号安全。
卡巴斯基分析了网络钓鱼者如何越来越多地滥用合法的云平台（如 Cloudflare Workers、Vercel 和 GitHub Pages）来托管钓鱼页面，并通过中间人攻击绕过多因素认证。
Troy Hunt 探讨了合法的 FedEx 包裹通知如何可能被误认为是网络钓鱼诈骗，分析了一条可疑短信中的警告信号，并强调了区分真实消息与攻击的挑战。
Eric Lawrence 批评了 Cloudflare 新的 Wallet 注册流程，指出它与同意式钓鱼攻击极为相似，说明了为什么 Web 安全如此困难。
解释 DMARC 实际保护的内容，阐明其相对于 SPF 和 DKIM 的狭窄范围，以及为何它不是垃圾邮件或网络钓鱼过滤器。