網路詐騙猖獗,詐騙者多利用人們對資訊的不熟悉或急迫心理,誘使受害者提供個資或匯款,民眾必須提高警覺,避免點擊不明連結或輕信陌生訊息,近日社群平台 TikTok上出現冒稱「免費使用 Microsoft或 Spotify等付費服務」的影片,實際上是誘導使用者安裝惡意程式,盜取被害者的帳密、信用卡資料、虛擬貨幣錢包。
最新TikTok詐騙!已經很多人上當
綜合外媒《朝日新聞》、《bleepingcomputer》報導,資安公司趨勢科技最新發現,社群平台TikTok上,近日出現冒稱「免費使用 Microsoft、 CapCut 或 Spotify等付費服務」的影片,但實際上是誘導使用者安裝惡意程式(malware)的詐騙手法。
假「免費技巧」誘用戶執行命令,實為惡意下載
影片號稱提供「免費使用技巧」,內容指示使用者在Windows作業系統中輸入特定命令如來執行下載程序。看似是解鎖付費功能的秘技,實際上卻是下載安裝惡意軟體。
影片由AI生成語音說明,受害者以年輕族群為主
這類影片多半使用由生成式 AI製作的語音說明,缺乏明確文字內容,使得平台較難偵測異常,而受害對象以學生等年輕族群為主。
根據《bleepingcomputer》報導,趨勢科技發現,這些駭客透過社交工程手法,在 TikTok上傳播疑似由 AI 生成的影片,利用 TikTok 影片,誘導用戶執行 PowerShell指令,進而在電腦上安裝為 Vidar和 StealC的資訊竊取惡意程式,這類攻擊被稱為「ClickFix」。
Vidar與StealC功能強大,可竊取多項個資
安裝完成後,Vidar 能夠擷取桌面截圖,並竊取用戶的帳號密碼、信用卡資料、Cookie、加密貨幣錢包、文字檔案,以及 Authy 雙重驗證器資料庫;StealC 則能鎖定多種網頁瀏覽器與加密錢包,擴大竊取用戶電腦中的隱私資料。
趨勢科技指出,其中一支聲稱能「立即提升你的 Spotify 體驗」的影片,觀看次數將近 50 萬,按讚超過 2 萬,留言數也破百。
趨勢科技補充,這些影片的拍攝風格幾乎相同,只有攝影角度與 PowerShell 所連結的下載網址略有不同,顯示這些影片很可能是透過自動化方式製作,影片中的語音也疑似為 AI 生成。
TikTok曾多次淪為惡意程式散布平台
事實上,這並非 TikTok首次淪為惡意程式散布平台,先前駭客曾藉由名為「Invisible Challenge」的 TikTok熱門挑戰活動,引誘大量用戶安裝偽冒應用程式,植入名為 WASP Stealer的惡意程式,可竊取 Discord帳號、密碼、信用卡及虛擬貨幣錢包。
近年 TikTok也屢遭詐騙集團濫用,用於散播假冒以馬斯克、特斯拉或 SpaceX為名的加密貨幣贈獎活動。
一旦裝置中毒,駭客可能會竊取儲存在瀏覽器中的登入資料、密碼,甚至是信用卡資訊,也可能進一步讓攻擊者取得學校內部網路的登入憑證,衍生更大的資安風險。
多帳號散播詐騙影片,影響力驚人
調查顯示,至少有6個TikTok帳號散佈這類內容,其中一個帳號平均每支影片有5萬次播放、2000個讚,顯示其影響力驚人。
如何防詐?
專家提醒,對於社群平台上流傳的所謂「破解秘技」或「免費解鎖教學」,務必要提高警覺,尤其當內容要求輸入特定指令或下載不明檔案時,更應慎重以對。平時也應養成定期更新防毒程式的習慣,並啟用雙重驗證功能,以強化帳號與個人資料的安全防護。
資料來源:《朝日新聞》、《bleepingcomputer》、《Joel來談日本》
責任編輯/陳得馥 (相關報導: 台灣又出現詐騙新招!點進1連結「銀行存款一夕蒸發」,這些平台超多人在用 | 更多文章 )






















































