新型二维码钓鱼来袭：FIDO密钥也难保“万无一失”？

二维码钓鱼新手法，悄然蔓延引警觉

近期，一种别出心裁的网络钓鱼手法——利用二维码实施攻击，正悄然在网络世界蔓延，引发了网络安全领域的广泛警觉。据安全媒体SCWorld披露，攻击者巧妙伪造二维码，诱使受害者踏入恶意网站的陷阱，成功绕过了原本被视为“铜墙铁壁”的FIDO（Fast Identity Online）多因素认证（MFA）机制，让企业和个人用户面临前所未有的账户安全挑战。

从“点链接”到“扫二维码”，钓鱼手段再升级

传统的网络钓鱼，往往依赖伪装成银行、社交平台或企业服务的虚假邮件或短信，诱导用户点击链接，进而跳转到仿冒页面，窃取登录凭证。然而，随着FIDO标准的日益普及，物理安全密钥（如YubiKey）或支持FIDO的手机应用逐渐成为身份验证的新宠。这类认证方式，基于公钥加密技术，即便密码泄露，攻击者也难以冒充用户登录，因此被视为目前最安全的登录方式之一。

然而，攻击者并未止步不前。此次新型攻击的核心策略，便是绕开“点击链接”的传统路径，转而利用二维码作为跳板。攻击者向目标发送看似来自可信机构的邮件或消息，以“账户异常”“安全验证”“紧急登录”等为由，诱导用户扫描二维码。一旦用户扫描，便会自动跳转至精心伪造的登录页面，与真实服务界面几乎无异。用户在输入账号密码后，甚至可能被要求插入FIDO密钥进行验证，而这一切，都在攻击者的精心策划之中。

FIDO为何“失守”？专家揭秘攻防博弈

“关键在于，用户以为自己是在安全地‘扫码登录’，但实际上，这个二维码背后链接的，是一个完全由攻击者控制的钓鱼网站。”公共互联网反网络钓鱼工作组技术专家芦笛在接受采访时表示，“FIDO本身并未被破解，它依然安全。问题出在认证流程的前端——用户被误导进入了错误的网站，后续的FIDO验证只是在为攻击者‘背书’。”