駭客不用假冒官方 竟能直接從官方App傳訊息給你？

(中央社財經訊息服務20261008 10:00:58)收到可疑簡訊，我們會先看寄件人；收到奇怪Email，會檢查寄件地址；如果是LINE傳來的連結，也會提醒自己不要亂點，但如果今天通知是直接從你已經安裝很久的「官方App」跳出來呢？很多人的第一個反應可能會是：「這總是真的了吧？」

最近英國時尚電商ASOS發生的一起資安事件，剛好打破了這個我們很容易產生的直覺。10月6日，部分ASOS使用者突然在手機上收到一則由ASOS App發出的異常推播，標題直接寫著「ASOS HACKED」，內容聲稱已掌握ASOS的資料，並附上一個通往 Telegram 的外部連結。

這不是仿冒ASOS的假App，也不是一封把寄件名稱偽裝成ASOS的釣魚信，通知真的出現在ASOS官方App的推播管道裡！

ASOS隨後證實，這是一則「未經授權的客戶通知」，事件涉及其用來與客戶溝通的第三方平台，公司已限制相關通知平台的存取並展開調查。依目前調查結果，姓名、聯絡方式等基本個人資料可能遭到存取，但尚未發現付款卡資料或帳號密碼受到影響；英國國家網路安全中心（NCSC）也已針對事件發布提醒。

官方App的通知，為什麼也可能出問題？我們平常看到手機推播時，很容易把它理解成：「ASOS App跳出的通知＝ASOS發的。」，但實際上的推播流程沒有這麼簡單。

以手機App常見的遠端推播來說，訊息通常不是某個員工直接從App裡「傳到你的手機」，而是從企業自己的系統或所使用的通知服務發出，再經由Apple、Google等推播服務送到使用者裝置。企業也可能另外使用第三方平台管理行銷、自動化訊息與客戶溝通。Apple的開發文件也顯示，遠端通知本身就是由企業端伺服器產生，再透過推播服務送往使用者裝置。

也就是說，我們眼前看到的只是一則「由這個App顯示出來的通知」，背後其實還有帳號、後台、API、第三方服務與權限等一整條系統鏈。只要其中某個環節遭到未授權存取，攻擊者就可能利用原本受到信任的管道，把不該出現的內容送到使用者面前。

過去我們很常用「確認來源」作為判斷詐騙的方法。 是不是官方帳號？ 是不是官方 App？ 寄件人是不是真的？ 網址看起來對不對？

這些方法依然重要，但ASOS事件提醒我們，來源只能是判斷的一部分，不能再被當成唯一的信任依據。

更實用的做法是把一則訊息拆成三層來看： 第一層是「從哪裡來」－ 是不是你原本就安裝的App？是不是官方帳號？這可以幫助我們排除大量低成本的仿冒訊息。 第二層是「它要你做什麼」－ 突然要求重新登入、修改密碼、付款、提供信用卡、輸入驗證碼，或用「帳號即將停權」、「資料已外洩」等理由催促立即操作，都應該提高警覺。 第三層則是「它要把你帶去哪裡」－ 這一點尤其重要。即使通知真的從官方App跳出來，只要它要求你點進一個陌生外部網站、加入 Telegram 或 LINE、下載檔案，甚至改用另一個管道輸入帳密或付款，就值得重新確認。

更值得注意的是，第一則異常推播消失後，風險不一定就跟著結束。當「某品牌遭遇資安事件」、「部分客戶資料可能受到影響」已經成為公開消息，這件真實發生的新聞，本身就可能變成下一波詐騙最好的劇本。因為這時候，如果你又收到一封「您的帳號可能受到影響，請立即重新驗證」、或「確認資料是否外洩」的Email，很容易覺得事情前後完全對得上，因而降低戒心。詐騙者甚至不需要捏造一個全新的故事，只要把假的登入頁面、客服管道或處理方式，接在一件真的資安事件後面，就可能讓訊息看起來比平常更可信。

英國NCSC也特別提醒，資料外洩事件公開後，可疑訊息可能隔一段時間才出現；犯罪者也可能利用正在受到關注的資料外洩事件，假冒受影響的企業發送釣魚訊息。

所以資安事件發生後，我們真正要防的，其實有兩層：第一層是事件本身，第二層則是有人利用這起事件，再騙你一次。

【匯智生活觀察室】 從生活出發，觀察科技與數位時代的大小事，分享實用資訊，讓科技更貼近日常。 由Cloudmax匯智資訊策劃，持續關注科技、資安與數位生活議題。 官方網站：www.cloudmax.com.tw

圖片來源：Cloudmax 匯智／AI生成