一種新型網路釣魚詐騙正在利用PayPal合法的發票系統欺騙毫無戒心的用戶，甚至會在他們的收件匣中顯示令人垂涎的「藍色勾號」驗證標記，這種複雜的攻擊繞過了傳統的電子郵件安全過濾器，即使是精通技術的用戶也會感到困惑。

騙局：為什麼藍勾認證是謊言

你可能被教導要留意各種危險信號：拼字錯誤、可疑連結和未經核實的寄件者。但這種騙局正是利用了人們的信任。今天早些時候，我們 Hackread.com 團隊的一名成員收到了一封帶有 PayPal 藍色勾號的帳單郵件，但寄件者地址是一個完全陌生的郵箱。Alexzander@arnilserver.com郵件看起來完全合法，直接來自 PayPal service@paypal.com，但內容顯然是惡意的。以下是這種「反釣魚」釣魚攻擊的運作方式：

1. 合法來源：詐騙分子在 PayPal 上建立一個合法（儘管是欺詐性的）企業帳戶。
2. 真實發票：它們使用 PayPal 的「付款請求」或「發票」功能。由於郵件由 PayPal 直接發送，因此通過了所有身份驗證檢查（SPF、DKIM、DMARC），並在您的收件匣中獲得「藍色勾號」（郵件識別品牌識別 - BIMI）。在這種情況下，該郵件繞過了 Google Workspace 提供的安全性篩選器。
3. 隱藏陷阱：真正的騙局並非藏在惡意連結中（儘管其中包含指向合法PayPal帳單的連結），而是在帳單的「給客戶的留言」部分。騙子會在這裡插入類似這樣的信息：“您的帳戶已被扣款843.29美元，如果您未授權此筆交易，請聯繫客服+1-805-400-3162。”
4. 收件者錯誤陷阱：攻擊者會將郵件傳送到不常用或群組郵件地址（例如Alexzander@arnilserver.com），以此迷惑收件者。用戶通常會想：「這封郵件不是發給我的，但卻是PayPal發來的……肯定有問題！」這種迷惑旨在誘使你撥打詐騙電話號碼。

真正的危險：回撥式網路釣魚

這是一個典型的回撥式網路釣魚攻擊，美國聯邦調查局（FBI）已多次發出警告，提醒民眾注意這種伎倆。發票備註中提供的電話號碼並非PayPal官方號碼，而是直接連接到詐騙呼叫中心。一旦接通電話，詐騙分子就會使用社交工程方法：

1. 取得對您電腦的遠端存取權限（例如，要求您安裝“AnyDesk”或“TeamViewer”）。
2. 誘騙你登入你的銀行帳戶或其他敏感金融平台。
3. 他們會「幫助」你撤銷詐欺性收費，通常是透過讓你相信你不小心轉帳過多的錢，從而要求你把錢退給他們。

為確保安全，您必須做到以下幾點：

X   切勿撥打郵件中的任何號碼：這是個主要陷阱。 PayPal 絕對不會要求您撥打發票備註中的任何號碼。

X   不要點擊電子郵件中的任何連結（即使它們看起來很真實）：雖然連結可能指向真實的 PayPal 發票，但點擊它仍然可能導致混淆。

✔ 直接存取 PayPal：如果您收到此類電子郵件，請立即開啟您的網頁瀏覽器，www.paypal.com手動輸入，然後登入您的帳戶。

✔  檢查待處理的請求：查看您的 PayPal 交易記錄，尋找任何異常的「付款請求」或「發票」。如果發現詐欺性付款，請勿付款。

✔  檢舉詐欺：在 PayPal 官方網站上，您通常可以直接「取消」或「舉報」該發票。您還應該將詐騙郵件（如果可能，請以附件）轉發給 PayPal 的反釣魚團隊phishing@paypal.com。

✔  教育他人：提醒您的朋友、家人和同事注意這種不斷演變的威脅。 「藍V」認證已不再是安全的保證。

PayPal迅速採取行動

Hackread.com 向 PayPal 報告了這起事件，PayPal 在數小時內做出回應，刪除了該發票並將其內容替換為詐騙警告：我們刪除了這張發票，因為它可能是詐騙。我們的欺詐檢測工俱全天候運行，以幫助保障每個人的在線交易安全。

然而，這種騙局也揭示了一種日益增長的趨勢，即攻擊者正想方設法利用合法平台和服務來傳播惡意程式。因此，請相信您的直覺，並始終透過官方管道核實訊息，切勿點擊陌生郵件中的連結或撥打陌生號碼。