想要親臨 2026 年 FIFA 世界盃現場的球迷們請注意，在網上購買門票時務必提高警惕。
網絡安全研究人員近日揭露了一項精心設計的騙局，旨在竊取支付信息並繞過安全檢查。
該操作採用了與官方極其相似的假冒 FIFA 票務網站。這些網站甚至配備了賽事新聞、比賽日程、購物車和支付頁面。
根據網絡安全公司 CloudSEK 的報告，這次騙局已經超越了傳統的釣魚嘗試。
它允許犯罪分子實時監控受害者的操作，抓取支付卡詳情，並有可能攔截用於身份驗證的一次性密碼（OTP）。
假冒 FIFA 網站極具欺騙性
研究人員發現了至少 40 個冒充 2026 年世界盃票務頁面的網站。
其中一些網站提供了極其真實的門票列表，包括所謂的開幕式門票，並配有詳細的價格、座位信息以及 Visa、Mastercard、American Express、PayPal 和 Apple Pay 等支付選項。
這些網站還顯示了諸如「安全結帳」等令人安心的提示，並使用了與 FIFA 官方網站幾乎完全一致的品牌設計。
CloudSEK 表示，這些網站旨在利用人們搶票時的緊迫感，尤其是當球迷在社交媒體和網上搜索門票及旅行套餐時。
據稱可實時攔截驗證碼（OTP）
這次騙局最令人擔憂的是它據稱具備攔截 OTP 的能力。
研究人員指出，該平台並非簡單的收集卡片信息，而是作為一個實時的「中間人」釣魚系統運行。
這些欺詐網站會在用戶整個結帳過程中進行跟蹤，在抓取卡號、有效期和 CVV 碼的同時，監控受害者是否進入了 OTP 驗證頁面。
CloudSEK 的報告稱，該系統能夠轉發受害者輸入的 OTP。這使得詐騙者能夠完成交易，或獲取受簡訊雙重身份驗證保護的帳戶訪問權限。
對於普通用戶來說，這意味著即使收到了 OTP 請求，如果整個購買過程是在欺詐網站上進行的，交易也並不安全。
在 CloudSEK 的報告中，他們展示了據稱來自這些詐騙網站數據中心的實時刷卡記錄。
社交媒體用戶尤其容易受騙
報告發現，進入這些詐騙網站的流量大部分來自社交媒體平台。
Facebook 約占觀察到的訪問量的 60% 到 65%，而 Instagram 約占 15%。
研究人員警告稱，出現在社交媒體帖子、廣告或私信中的連結可能會將用戶引導至與合法 FIFA 頁面幾乎一模一樣的假票務網站。
據觀察，受害者分布在多個國家，包括美國、澳大利亞、加拿大、德國、韓國和香港。
報告指出其基礎設施與中文相關
CloudSEK 的研究人員表示，有幾項指標表明該操作與中文操作員有關。
其中包括完全以簡體中文顯示的管理系統、來自中國 IP 地址的重複訪問，以及詐騙基礎設施內部的命名習慣。
報告將這些詐騙者稱為「源自中國的威脅參與者」，並稱該威脅參與者的可能來源地為「中國 (PRC)」。
不過，報告也指出，歸因並非絕對，並警告稱使用代理或其他方法可能會增加識別幕後黑手的難度。
如何保護自己
隨著世界盃門票需求的持續高漲，網絡安全專家敦促大家格外小心。
球迷應警惕網址異常的網站，尤其是那些包含與官方域名不同的 「FIFA」 變體詞的網址。
在未驗證真實性之前，應避免點擊通過社交媒體帖子或私信分享的票務連結。
CloudSEK 研究員 Gagan Aggarwal 表示，這次活動表明網絡犯罪分子正日益利用全球重大賽事進行詐騙。
「威脅不再局限於虛假的門票列表或簡單的釣魚頁面，」他說道。
「我們現在看到的是將完整的結帳模擬、實時受害者跟蹤、刷卡竊取和 OTP 攔截能力結合在一個操作平台中。」
隨著世界盃熱潮的升溫，球迷在輸入銀行卡詳情之前，最好仔細核對購票渠道。
研究人員建議僅通過 FIFA 官方網站購買門票，並對通過 Facebook 或 Instagram 分享的 FIFA 門票連結保持「極度警惕」。
