浏览器内浏览器攻击：隐形的钓鱼威胁

常见手法

• •诈骗者在被攻破的合法网站中嵌入恶意 JavaScript 代码，或创建看似与热门服务相关的伪造登录页面，等待用户尝试 SSO 登录流程。
• •他们使用 HTML 和 CSS 精心制作谷歌、微软、苹果或脸书认证弹窗的像素级复制品，包括伪造的地址栏、SSL 锁图标，甚至模拟真实登录体验的加载动画。
• •攻击者通过绝对定位和高 z-index 值将这些伪造窗口覆盖在实际网页之上，使其看起来像真正的浏览器弹窗，而非嵌入页面元素。
• •他们实现复杂的检测脚本，监控用户交互，当用户点击“登录”按钮或尝试访问需认证的高级功能时，自动触发伪造登录窗口。
• •诈骗者通过按键记录和表单提交拦截实时捕获输入的凭证，立即将数据传输到攻击者控制的服务器，同时显示伪造的加载或错误信息。
• •凭证被盗后，攻击者迅速移除伪造窗口，可能将用户重定向到合法登录页完成认证（掩盖盗窃行为），或显示通用错误提示，建议稍后重试。

如何识别

• 登录弹窗无法被拖出浏览器视口边界，也无法独立于主页面内容移动，说明它是嵌入的 HTML 元素，而非真正的浏览器窗口。
• 右键点击弹窗的地址栏、窗口边框或最小化/最大化按钮时，弹出的是标准网页上下文菜单，而非浏览器特有选项或无菜单。
• 尝试高亮或复制弹窗地址栏中的 URL 时，地址栏内容不变，点击地址栏也无法编辑文本或修改 URL，这与真实浏览器窗口不同。
• 使用浏览器开发者工具（F12）查看，弹窗存在于页面 DOM 结构中，表现为 div 或 iframe 元素，而非独立的浏览器窗口进程。
• 弹窗出现瞬间无浏览器窗口动画，且在调整主浏览器窗口大小时始终保持居中，表明它绑定于页面坐标系统。
• 检查浏览器窗口管理器（Windows 上的 Alt+Tab，Mac 上的 Command+Tab）时，未显示弹窗的独立窗口实例，确认它不是合法的独立浏览器窗口。

如何保护自己

• 始终使用具备域名匹配功能的专用密码管理器，这类工具会拒绝在伪造嵌入窗口自动填充凭证，因为它们验证的是实际 URL 而非显示的图形界面。
• 为所有支持的账户启用双因素认证（2FA）或多因素认证（MFA），优先使用硬件密钥或认证器应用，而非短信验证码，即使凭证被盗也能限制损失。
• 手动在浏览器地址栏输入登录网址，避免点击不熟悉网站上的“使用某某登录”按钮，确保访问的是真实认证页面的浏览器窗口。
• 在任何弹窗输入凭证前，尝试将窗口拖出浏览器边界或点击地址栏，确认它是真实浏览器窗口而非 HTML 覆盖层。
• 安装能检测可疑 JavaScript 行为或实施内容安全策略（CSP）验证的浏览器扩展，当页面尝试创建伪造窗口覆盖时发出警报。
• 尽量避免在不熟悉的网站使用 SSO 登录流程，改为创建独立账户并使用不同密码，降低凭证泄露对其他服务的影响。

真实案例

常见问题

本地举报渠道 — 中国大陆

您所在地区针对此类诈骗的官方举报渠道。

权威资源

与此类诈骗相关的权威政府机构与官方反诈组织（含指引）。