KeyFrame

I Get These Scam Emails All The Time...

Beta Virtual Assistance·6月19日週五·11 min英文

三句話摘要

以真實垃圾郵件為例,教讀者辨識並避免常見的電子郵件詐騙手法。 收到任何製造焦慮或緊迫感的信件,第一步永遠是直接登入官方平台查核,而非點擊信中任何連結。 AI 讓詐騙信越來越難辨識。 過去可靠的辨識指標(錯字、破英文)已失效,AI 能生成外觀幾乎與真實品牌一致的詐騙信,因此不能再單靠「看起來專不專業」來判斷。

重點整理

重點
  • 1

    AI 讓詐騙信越來越難辨識。 過去可靠的辨識指標(錯字、破英文)已失效,AI 能生成外觀幾乎與真實品牌一致的詐騙信,因此不能再單靠「看起來專不專業」來判斷。

  • 2

    寄件者地址是最可靠的識破工具。 即使信件 logo、品牌顏色、內容格式完全仿冒,寄件者地址無法偽裝成官方域名,例如 `admin@inbox.hoxlightsjaguar.com` 絕非 Namecheap 官方。

  • 3

    詐騙信刻意觸發情緒反應來讓人失去判斷力。 逾期發票、域名即將到期、帳號將被停用——這些都是設計來引發恐慌與緊迫感,促使用戶在未仔細查核前就採取行動。

  • 4

    AI 代理程式可能正在自動化寄送詐騙內容。 講者起初認為有人手動填寫了那份複雜的 Google 表單詐騙信,但後來推測可能是 AI 代理自動完成,顯示詐騙規模與複雜度正在快速升級。

實用技巧與重點

乾貨
  • 詐騙信類型一:混合德文、英文、日文/中文字元的假 Google 表單,內嵌可疑連結
  • 詐騙信類型二:仿冒 Namecheap 品牌的假域名續約通知,識破關鍵:寄件地址為 `admin@inbox.hoxlightsjaguar.com`
  • 詐騙信類型三:假 Zoom 發票,金額 $19,987,偽裝成來自收件人本人(Jessica Freeman),並捏造往來回覆串
  • 識破手法:收到疑似官方通知 → 直接開新分頁登入官方平台 → 平台內無對應通知即為詐騙
  • 社群名稱:Crypto Without Chaos(加密貨幣無混亂俱樂部)
  • 前身課程:Blockchain Wallet Challenge(五天區塊鏈錢包挑戰)
  • 本月主題:識別與防範詐騙;下月預告主題:聰明投資、迷因幣風險、市值 vs 價格、流動性分析

結論

結論

收到任何製造焦慮或緊迫感的信件,第一步永遠是直接登入官方平台查核,而非點擊信中任何連結。

完整解析

詳細

本影片的講者 Jessica Freeman 長期經營加密貨幣教育內容,近期因忙於籌建新社群「Crypto Without Chaos」而暫停更新 YouTube。趁著社群第一個月主題定為「識別與防範詐騙」,她決定以自己信箱中實際收到的垃圾郵件為教材,拍攝這支示範影片。

她展示的第一封詐騙信是一份填寫完整的 Google 表單,信件內容混雜德文、英文與日文或中文字元,並附有可疑連結。講者表示,單是填完這份表單就需要相當工夫,起初以為是人工操作,但後來猜測背後很可能是某個 AI 代理程式自動完成。這封信的奇異之處在於,它的詐騙目的根本不清楚,甚至讓人摸不著頭緒,但充分說明現代詐騙手法已開始規模化自動化。

第二封是仿冒 Namecheap 的假域名續約通知,logo、品牌色、版面配置幾乎一模一樣,讓講者坦承第一眼也差點被騙。但她沒有點擊信中連結,而是直接開新視窗登入 Namecheap 帳號,確認無任何續約通知後,才回頭查看寄件地址,發現是完全不相干的域名。她特別強調,隨著 AI 工具普及,以往靠「錯字」或「破英文」識別詐騙信的方法已近乎失效,核查寄件者地址才是目前最可靠的方法。

第三封詐騙信最為大膽:一封聲稱已逾期的 Zoom 發票,金額高達 $19,987 美元,寄件人竟偽裝成講者本人,並捏造了一串假冒的往來回覆紀錄,製造「已確認要付款」的假象。講者認為,任何企業主都不可能忘記近兩萬美元的帳單,這種詐騙手法根本站不住腳,但她也承認,正是「緊張、焦慮、截止日期」這類情緒設計,讓部分人在沒有仔細思考前就貿然採取行動。她分享了與父母一起比較真假 PayPal 發票的經歷,說明即使是外觀高度相似的仿冒信件,只要仔細對比寄件地址就能識破。

關鍵時刻

Pipeline v2

帶時間戳的重點,會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。

事實查核

Pipeline v2

說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。

更多「Web2 安全」的內容

Apple Can’t Fix This Security Exploit…
編輯精選
7 min
Web2 安全英文6月20日

Apple Can’t Fix This Security Exploit…

TechLinked

  • Apple 舊款 iPhone 存在不可修補的硬體漏洞:由 Paradigm Shift 研究團隊發現,漏洞位於 USB 控制器層,可在 iOS 啟動前就取得設備控制權。由於需要實體接觸與有線連接,一般使用者日常風險較低,但手機被竊後就可能成為攻入者的入口。
  • META 積極推動聯邦立法以對抗州級訴訟:面對全美超過千件涉及平台縱容犯罪的民事案件,META 選擇透過遊說要求聯邦政府介入、統一管轄,以取代各州分散的訴訟壓力。這是防禦性法律策略,而非從根本解決平台安全問題。
  • Waymo 自駕安全問題持續累積:近 4,000 起事故紀錄中包含闖入施工封閉區、駛入水中等嚴重情境,已觸發多次 NHTSA 正式調查與召回。這顯示自駕技術在非結構化環境下仍有系統性弱點。
Eksploitasi LPE Terbaru 2026: Dirty Frag | CVE-2026-43284 & CVE-2026-43500 | Rooting Linux
10 min
Web2 安全英文6月20日

Eksploitasi LPE Terbaru 2026: Dirty Frag | CVE-2026-43284 & CVE-2026-43500 | Rooting Linux

Naughtysec

  • DirtyFrag 機制類似 DirtyPipe,但因無 Race Condition 而不會造成 Kernel 崩潰或觸發 Buffer Overflow,舊版類似漏洞(如 Buckeye 時期)因有競爭條件會導致伺服器變得如 DoS 狀態,DirtyFrag 解決了這個不穩定問題。
  • 目標防火牆封鎖了標準 Reverse Shell(PentestMonkey 的 bash/nc 類型),因此必須改用 Chisel 建立 TCP Tunnel,再透過 gsocket 穿透防火牆,而非直接連線。
  • gsocket 的 session 具備高度持久性,即使伺服器重啟後連線仍可維持,講者提到曾有 session 存活超過一年,使其成為理想的隱蔽隧道工具。
Hack The Box Administrator | Full Walkthrough
編輯精選
23 min
Web2 安全英文6月20日

Hack The Box Administrator | Full Walkthrough

Cole Mahoney Cybersecurity

  • BloodHound 的「Outbound Object Control」是核心突破口:每換一個使用者就立刻回到 BloodHound 查看該帳號對外的 AD 物件控制權,這條鏈式思維決定整個攻擊路線,是橫向移動的核心依據。
  • 強制改密碼(ForceChangePassword)是 GenericAll 最快的利用方式:對 Michael、Benjamin 等帳號都直接用 `net rpc password` 改密,比注入 ACE 或其他手法更直接,適合在已控帳號有 GenericAll 的場景快速推進。
  • Password Safe 資料庫是隱藏的憑證倉庫:Benjamin 因隸屬 Share Moderators 群組能存取 FTP,其中藏有 `backup.psafe3` 加密資料庫;用 `pwsafe2john` 提取 hash、John 破解 master password 後,即可取出 Emily 的明文密碼。