越来越多的网站和服务强制实施多因素身份验证 (MFA)，这使得网络犯罪分子更难访问其帐户。

但随着安全性的发展，网络犯罪分子也在不断发展，他们总是在寻找新的方法来进行欺骗。于是，一种称之为中间人身份验证的网络钓鱼手段正在出现。虽然这些以中间人 (MitM) 攻击命名的技术已经存在了一段时间，但如今它们已越来越受欢迎。

用户被诱骗到伪装成他们通常使用的网站（例如银行、电子邮件或社交媒体帐户）的钓鱼网站。一旦用户在虚假网站上输入登录信息，网络犯罪分子就会在用户不知情的情况下将这些信息重定向到实际网站。

然后提示用户进行 MFA 步骤，他们通常通过输入代码或接受推送通知来完成此操作，然后将此信息传递给犯罪分子，允许他们登录网站。

一旦犯罪分子进入账户，他们就可以开始更改账户的电子邮件地址、电话号码和密码等设置，这样用户就无法再登录，或者他们可以简单地清空银行账户。

这可能有助于您理解为什么许多平台在您尝试更改这些重要设置之一时会再次要求您输入 PIN 或其他身份验证。受害者通过社交媒体或电子邮件中的链接被引诱到此类钓鱼网站，在这些网站上很难识别真正的链接。

·保持警惕

了解诈骗者的作案手法是避免上当的第一步。不要假设网络搜索结果即是合法的，如果某件事看起来可疑，那么它很可能就是不合法的。

·使用安全软件

许多安全程序会阻止已知的钓鱼网站，尽管域名通常存在时间较短且会快速轮换，此时，如果使用有相关安全解决方案则可以帮助保护用户。

·使用密码管理器

密码管理器不会自动填充虚假网站的密码，即使它看起来像是真实的。

·考虑使用密钥

启用多因素身份验证仍然非常重要，它可以保护您免受多种类型的攻击，因此请继续使用它。

但是，中间人身份验证攻击仅适用于某些类型的 MFA，而密钥不会允许网络犯罪分子以这种方式登录用户帐户。目前，已有许多服务开始使用密钥。

参考及来源：

https://www.malwarebytes.com/blog/news/2024/05/scammers-can-easily-phish-your-multi-factor-authentication-codes-heres-how-to-avoid-it