看板 Steam
作者
標題 [閒聊] steam新的詐騙：假的彈出視窗
時間 Wed Sep 14 18:59:21 2022
作者
標題 [閒聊] steam新的詐騙：假的彈出視窗
時間 Wed Sep 14 18:59:21 2022
巴哈討論&中文新聞稿
https://forum.gamer.com.tw/C.php?bsn=60599&snA=38750&tnum=3
公布這種手法的英文網站
https://blog.group-ib.com/steam
![[圖]](https://i4.disp.cc/t/0/static.tildacdn.com_baf68edebfb6e5d33fa9748933fe6fb2.png)
https://i.imgur.com/4qMf7qk.jpg
![[圖]](https://i4.disp.cc/imgur/4qMf7qkh.jpg)
就是像這樣，很普通的彈出steam認證的分頁
有憑證、網址也100%正確
看起來一切正常
但實際上那個"分頁"是假的
steam畫面是釣魚網站「畫」出來的
預防方法很簡單：不要點進任何非官方連結
因為這種假彈窗的前提是使用者已經進入釣魚網站
除了steam已經有案例以外
也有人用相同手法複製出google/facebook的版本
github：https://github.com/mrd0x/BITB
GitHub - mrd0x/BITB: Browser In The Browser (BITB) Templates
![[圖]]()
Browser In The Browser (BITB) Templates. Contribute to mrd0x/BITB development by creating an account on GitHub. ...
----
這種在網頁中畫網頁的方式我頭一次見
使用者只要第一步走錯了
後續很難發現有任何不對勁
詐騙越來越高端了
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 220.132.139.38 (臺灣)
※ 文章代碼(AID): #1Z8RGFXo (Steam)
※ 文章網址: https://www.ptt.cc/bbs/Steam/M.1663153167.A.872.html
推 : 上當的人如果有steam guard 手機驗證還會被盜嗎1F 09/14 19:02
→ : 會，因為一樣會有假的guard輸入畫面等使用者輸入驗證碼2F 09/14 19:04
→ : 太狠了吧3F 09/14 19:05
推 : 真的是防不勝防 感謝提醒4F 09/14 19:06
→ : 這種詐騙之前在ptt上有討論，我沒記錯是偽裝discord5F 09/14 19:09
→ : 對，之前是偽裝dc6F 09/14 19:10
→ : 查了一下原來在這版的一年前7F 09/14 19:13
→ : 這個很久了 但偽裝Steam應該是新消息8F 09/14 19:13
Re: [問題] 急 steam帳號似乎被盜 - 看板 Steam - 批踢踢實業坊
ㄏㄏ 不就貪嘛 我晚上也有收到這個訊息 以我個人是看到上面那part就會直接封鎖不予理會了，因為一看就智障詐騙，還故意取 那種白癡ID想唬 不過我有朋友大膽以身試法去探門子，我就把他去看的流程回饋一下
ㄏㄏ 不就貪嘛 我晚上也有收到這個訊息 以我個人是看到上面那part就會直接封鎖不予理會了，因為一看就智障詐騙，還故意取 那種白癡ID想唬 不過我有朋友大膽以身試法去探門子，我就把他去看的流程回饋一下
推 : 這很久了....10F 09/14 19:30
→ : 一切登入只在官方網址登入，凡第三方網站跳出要你輸入
都不要填帳號密碼，基本上可以避免掉這種詐騙
因為有在官方先登入，這種跳出只會向你確認是否要登入
不會要你填帳號密碼
現在Steam Beta又有qrcode登入，更可以免除輸入風險11F 09/14 19:37
都不要填帳號密碼，基本上可以避免掉這種詐騙
因為有在官方先登入，這種跳出只會向你確認是否要登入
不會要你填帳號密碼
現在Steam Beta又有qrcode登入，更可以免除輸入風險11F 09/14 19:37
推 : 換和預設值差很多的外觀主題解決16F 09/14 20:25
推 : 越來越危險了耶17F 09/14 20:37
推 : 好可怕...18F 09/14 20:38
推 : 老招了 只是很有用，因為Google強制HTTPS後，看到有鎖頭反變成一種條件反射。結果被利用19F 09/14 20:51
推 : 這比較像是利用google登錄的習慣 因為你用了非官方網站仍跳出了steam的登錄畫面 你習慣於這樣就登錄來獲取服務自然會中標21F 09/14 21:22
推 : 重點在於第一個網站24F 09/14 21:24
→ : 太假25F 09/14 21:54
推 : 帳密到處登被盜剛好...26F 09/14 22:12
推 : 要不是我有自動填寫 不然光用看的真的很難分辨真假啊...27F 09/14 22:21
→ : 其實蠻明顯的..主要是你要從分頁列判別是否是真的分頁第2點是如果主要網站登入過就不會要求你再登入一次
例如你已經登入google 其他網站要求權限不會要你再登入28F 09/14 22:57
例如你已經登入google 其他網站要求權限不會要你再登入28F 09/14 22:57
→ : 為什麼想在網頁上登入steam31F 09/14 23:35
→ : 密碼管理器自動匹配網址提示填入帳號密碼
其實不好說，我自己的cookies會設定自動清理
QRcode 登入不會解決這個問題啊，他幫你把 QRCode 拉過來你還是幫他授權了32F 09/15 00:11
其實不好說，我自己的cookies會設定自動清理
QRcode 登入不會解決這個問題啊，他幫你把 QRCode 拉過來你還是幫他授權了32F 09/15 00:11
→ : 我會用網頁登steam只有要裝工作坊的時候，分頁比較方便36F 09/15 01:14
推 : Steam應該要自己偵測異常ip 登入的，已經與手機app連動的狀況下要做到示警不難37F 09/15 02:43
推 : 我記得這個之前就有 Steam板也曾討論過39F 09/15 03:49
推 : 很久就有的給你一張假的steam登入圖騙輸入43F 09/15 07:26
推 : 還好我從來都不會從網頁登入 只會從程式執行的時候登入44F 09/15 08:28
推 : 這招很猛欸46F 09/15 08:46
推 : 如果都用瀏覽器的自動輸入密碼能避免這個詐騙嗎？
瀏覽器自身應該不會在假的彈窗自己輸入密碼吧？47F 09/15 08:49
瀏覽器自身應該不會在假的彈窗自己輸入密碼吧？47F 09/15 08:49
推 : 第三方登入要密碼我都會另外回去 steam 看我有沒有登入，只在官方頁面登入也算是一種反制方式吧49F 09/15 11:06
→ : 自動輸入可以避免51F 09/15 12:04
推 : 我記得兩三年前就看過了52F 09/15 12:37
推 : 感謝分享 有像之前的社交工程詐騙欸，這看起來偽裝的滿好的，不過只要連結有問題，一般釣魚來說我是裝趨勢的PCCILLIN都可以過濾啦53F 09/15 14:41
--