Cisco Talos警告，代號UAT-11985的釣魚行動自2026年中起偽冒台灣學術單位寄出假研討會邀請，導向可即時竊取Google帳密、MFA與Session的Adversary-in-the-Middle套件，再次顯示僅靠MFA無法防範代理式登入。

誘餌如何運作

郵件借用真實活動主題與場地資訊，連結卻指向攻擊者控制的假Google表單。Talos指多封信結構高度相似，顯示可能借助AI模板，但未斷言全文由大型語言模型生成。

寄件者偽冒台灣歐盟中心、政大國關中心、台灣研究基金會等名義；部分海報附QR碼，以quishing繞過只看URL的過濾。

技術細節

受害者點擊後載入高度仿真的Google登入頁，依瀏覽器語系顯示繁中、簡中或英文。與靜態假頁不同，框架與Google真實端點同步狀態，轉送一次性碼或推播後竊取可重放的Cookie。

Talos公布morelessty.com等指標與Snort、ClamAV規則，建議在DNS與代理層封鎖並搜尋異常google子域。

校園應對

研究機構資安人員要求以已知電話確認邀請，多所大學計畫為教職員Google帳號試行Passkey。事件處理強調：只改密碼未撤銷全域Session，竊取的Cookie仍有效。

展望

Talos對開發者語言有中低度中文區判斷，尚未公開指認國家級行為者。地緣緊張提高政策研究單位曝光度，秋季活動旺季將檢驗Passkey部署能否追上誘餌演進速度。