央广网北京6月23日消息（总台记者周益帆 于晨）据中央广播电视总台中国之声《新闻纵横》报道，首都网警近期紧急发布预警，一种名为AiTM的钓鱼攻击正在网络空间被不法分子利用。这种攻击的危险之处在于，它不再单纯骗取用户的密码，而是在用户和真实网站之间搭建起一个“中转站”。它能实时转发账号、密码乃至我们一直认为非常安全的手机验证码，最终窃取登录凭证。

与此同时，浙江桐乡警方近期破获了一起特大“游戏盗版案”。犯罪团伙正是利用了与此同源的“中间人攻击”技术，截获并篡改通信数据，伪造购买凭证，让游戏平台误以为用户已正版入库。当登录验证环节被不法分子盯上，普通用户究竟如何防范？

桐乡警方在三省四地开展集中收网行动（央广网发 警方供图）

在电商平台，用户只要花上几元到几十元钱，就能玩官方售价数百元的游戏（央广网发 警方供图）

浙江桐乡警方此前发现，一种名为“假入库”的游戏服务正在网上悄然兴起，用户只要花上几元至几十元，就能玩官方售价数百元的游戏。桐乡市公安局网络安全保卫大队网络空间安全中队政治指导员姚铖阳介绍：“有人来报案称在电商平台上买了一个东西，感觉电脑中木马了。我们发现其实是电商平台上在卖盗版游戏，有个专业的名词叫‘假入库’，比如买某款游戏要先付钱，‘假入库’就相当于做了技术破解，可以花非常低的价钱购买，比如一款游戏原价300元，（用这种方法）花20元就可以直接下载。”

犯罪团伙利用了DLL注入和“中间人攻击”技术，破解正版游戏（央广网发 警方供图）

犯罪团伙实现“假入库”，正是利用了DLL注入和“中间人攻击”技术。姚铖阳指出：“他们就是利用‘中间人攻击’，相当于把原本跟游戏平台交互的数据劫持到了自己的服务器上。比如，我现在跟你在打电话，嫌疑人可以把我和你的通话劫持到他的电话上，感觉是我在跟你通话，其实是我跟他通话以后，他把信息传递给了你。进行了‘中间人攻击’以后，平台以为消费者已经购买了游戏，而在游戏公司这一侧，其实你并没有购买也没有入库，只是欺骗了游戏平台，让平台觉得用户购买了游戏，可以下载来玩，一旦换了一台电脑，或者过一段时间，这款游戏就失效了。”

除了利用中间人攻击制造游戏“假入库”，警方还担心这一技术被用于搭建仿冒的志愿填报、查分或录取查询系统。例如，首都网警22日在其官方微博发布预警指出，一条看似正规的“志愿填报入口”链接，背后可能隐藏着“中间人攻击”（AiTM）陷阱。其手法是，在用户与真实网站之间搭建一个隐蔽的“中转站”，将考生输入的账号、密码乃至短信验证码实时转发给真实网站，从而在用户毫无察觉的情况下完成登录并窃取登录凭证，严重威胁考生的个人信息安全。

网络安全技术专家黑鸟介绍：“这种基本就是‘钓鱼’的方式，比如给学生们发一大批伪造短信，说‘填报志愿需要注意一些事项，为了安全起见，请点击该链接，然后阅览安全事项，通过这个链接申报志愿更加安全’。如果是‘DNS劫持’进行‘中间人攻击’的情况，有可能当学生访问填志愿的网站时，攻击者会把这个网站跳转到自己的假网站，让学生在上面填一些信息。”

另一位不愿透露姓名的网络安全技术专家表示，AiTM的核心在于偷走系统的“通行证”，这也使得我们默认为更安全的手机号加验证码登录方式形同虚设。

“现在很多App或网站，为了登录更方便，都支持用手机号和验证码登录。你登录成功之后，后面很长一段时间都不用再输密码、验证码，这是因为系统会在你的手机或浏览器里放一张‘临时通行证’。AiTM攻击最关键的地方，就是攻击者想办法骗你到一个假的登录入口里完成登录。这个假入口看起来很像真的，比如假冒银行、快递、邮箱、公司系统，甚至会让你正常输入手机号、验证码或密码。一旦攻击者拿到这张‘通行证’，在它还没失效之前，就有可能绕过密码和验证码，冒充你进入账号。所以AiTM并不是把验证码‘破解’了，而是骗你在假入口里完成了一次真实登录，然后偷走了登录成功后的‘通行证’。”这名专家介绍。

也就是说，这种攻击的危害远不止于窃取一次登录信息，更可能引发连锁的个人信息泄露和财产损失风险。专家指出，AiTM攻击偷走的“通行证”，相当于把账号的临时控制权直接交到了攻击者手中。攻击者不仅能冒用考生身份，还可能进一步利用获取的个人信息，实施精准诈骗，比如，假冒高校或教育部门，以“发放助学金”“核实录取信息”等名义，对考生和家长进行二次诈骗。

姚铖阳介绍说：“在电商平台上，我们统计出来的商家有一百二十多家，相当于对游戏平台上所有的游戏都进行了破解。开发一款游戏，可能需要几亿元的成本。通过这种方式，游戏公司本质上是没有收入的，所有收入都到了盗版商家这里。从危害性来说，用户下载到自己电脑上，它可以作为一款木马，可以在这个程序里面加载任何东西，可以读用户的一些电脑信息，甚至可以盗号或者盗取电脑上的一些隐私或者密码。”

面对这种能够在无形中截获信息的攻击手法，普通人该如何防范？黑鸟表示：要管好网络环境，拒绝贪图便宜，不下载不明链接。

黑鸟指出：“尤其不要连免费Wi-Fi或者公共Wi-Fi，可以使用手机热点连接笔记本电脑的方式填报志愿，这是最安全的。在填报志愿的过程中，先确定是不是真实、正确的填报志愿网址，要去看浏览器的窗口有没有弹出警告信息。比如提示这个网站的证书不安全，如果有提示，就不要填报，去换一个网络环境填报。”