文章总结： 黑客利用浏览器套浏览器技术窃取Facebook凭证。攻击者结合钓鱼邮件与短网址，在Netlify等可信平台托管页面，伪造登录弹窗绕过安全检查。该技术利用真实窗口创建虚假界面，极具欺骗性。建议用户仔细核对链接，警惕非预期的登录请求，以防范此类高级攻击。 综合评分： 72 文章分类： 社会工程学,威胁情报,安全意识

黑客利用”浏览器套浏览器”技术窃取Facebook用户登录凭证

FreeBuf

2026年1月14日 18:31 上海

Facebook用户正日益成为一类能绕过常规安全措施的复杂钓鱼技术的攻击目标。作为拥有超过30亿活跃用户的平台，Facebook对企图入侵账户、窃取个人凭证的攻击者极具吸引力。这类攻击的主要目的十分明确：窃取登录凭证以劫持账户、传播欺诈计划、窃取敏感数据，并在受害者社交网络中实施身份欺诈。

Part01

攻击手法升级

2025年下半年，针对Facebook的钓鱼攻击活动显著增加，攻击者采用了多种欺骗手段。其中一种技术因其复杂性和有效性尤为突出。Trellix分析师在监测到针对该平台的钓鱼活动增加后，识别并记录了这一新兴威胁。

研究人员发现，攻击者正在结合高级社会工程学策略与技术规避手段，以最大化攻击成功率。这一发现标志着针对Facebook的攻击方式发生了重要演变，表明威胁行为体正在投入更精细的方法来规避传统安全意识培训。

Part02

浏览器套浏览器(BitB)技术

“浏览器套浏览器”(Browser-in-the-Browser，BitB)技术是这些攻击活动中最显著的创新。该方法通过在受害者合法浏览器窗口内创建一个完全自定义的虚假窗口，使其几乎无法与真实的认证弹窗区分开来。该技术利用了用户对登录窗口的熟悉度，迎合他们在访问平台时看到此类提示的预期。

攻击流程通常始于伪装成律师事务所通信的钓鱼邮件，内含关于侵权视频的虚假法律通知和Facebook登录链接。这些超链接使用短网址重定向至伪造的Meta验证码页面，增加了欺骗层级。当用户与这些页面交互时，会遇到看似合法的Facebook登录弹窗。然而，检查底层代码即可发现攻击的恶意本质。

Part03

滥用可信基础设施

这种攻击方式的精妙之处在于攻击者如何滥用合法基础设施。威胁行为体将钓鱼页面托管在Netlify和Vercel等可信云平台上，利用这些平台的声誉绕过安全过滤器。短网址服务掩盖了真实目的地，提供了额外的匿名性。

这种技术复杂性与社会工程学的结合，标志着Facebook钓鱼策略的重大升级，要求用户在标准安全实践之外保持更高的警惕性。

参考来源：

Hackers Leverage Browser-in-the-browser Tactic to Trick Facebook Users and Steal Logins

Hackers Leverage Browser-in-the-browser Tactic to Trick Facebook Users and Steal Logins

#

#

#

推荐阅读

#

电台讨论

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：FreeBuf 《黑客利用”浏览器套浏览器”技术窃取Facebook用户登录凭证》