當 AI 成為詐騙新劇本：拆解 2026 年 ChatGPT、Claude、DeepSeek 品牌被武器化的釣魚浪潮

• 規模與目標： 首波攻擊瞄準南非，發送了 4,500 封釣魚郵件。而後續的平行行動，則使用相同的基礎設施，在一天內對瑞士、奧地利與南非的目標發送了高達 10 萬封郵件，主要針對高等教育與專業服務機構 。
• 手法解析： 這個攻擊使用了多階段轉址技術。當受害者點擊「更新付款」連結後，會被引導通過合法的客戶關係管理（CRM）平台、Amazon 追蹤網域以及一個縮網址服務，最終才在一個遭入侵的電子商務網站上，於多個連續頁面中逐步騙取個人資料與完整的信用卡資訊 。

2. 假冒 Claude 的中間人攻擊（AiTM）憑證竊取（2026 年 4 月 20～22 日）

這是一場技術更為高端的憑證竊取行動，駭客冒充 Anthropic 公司，目的在於繞過多重要素驗證（MFA）。

• 規模與目標： 攻擊鎖定了超過 2,000 個組織，其中 62% 的受害者位於美國，18% 在英國，9% 在印度。金融服務業佔了目標的 8% 。
• 手法解析： 受害者會收到一封聲稱其帳號違反了使用政策的電子郵件，內含一個名為「Fill and Sign Claude Appeal Form.pdf」（SHA-256: 791efb...d40e）的 PDF 附件 。打開 PDF 後，使用者會被引導通過 Cloudflare 驗證、一個偽造的 Claude 品牌入口頁面，最終到一個假冒的 Microsoft 登入頁面，其設計目的在於攔截工作階段 Token（Session Token），這正是經典的中間人攻擊（Adversary-in-the-Middle, AiTM）手法，能有效繞過 MFA 的保護 。

3. DeepSeek V4 偽造 GitHub 儲存庫與資訊竊取軟體（2026 年 4 月 24 日）

這起行動展現了駭客利用 AI 熱潮鎖定技術族群的驚人速度 。

• 速度與規模： 在 DeepSeek 預覽其 V4 模型後的短短 45 分鐘內，攻擊者就建立了一個名為「DeepSeek-V4」的偽造 GitHub 組織，並搭配了看似真實的盗用品牌標誌與準確的基準測試數據 。這個惡意儲存庫在四天內累積了 91 顆星，並在 Bing 搜尋引擎上，針對「DeepSeek v4 weights github」等關鍵字排名第一 。
• 惡意酬載： 儲存庫中託管的壓縮檔內含一個載入器（Loader），會安裝 Vidar 資訊竊取軟體（Infostealer），這是一種專門竊取使用者憑證、瀏覽器 Cookie 與加密貨幣錢包資料的工具 。Microsoft 發現，相同的載入器哈希值被重複用於偽裝其他熱門 AI 工具，如 GPT-5.5、Claude Code 與 Manus AI 等的檔案中，這顯示出一種「可抽換誘餌」的攻擊策略 。

4. Storm-3075 惡意廣告結合非法程式碼簽章（2026 年 3 月至 5 月）

此行動被歸因於一個名為 Storm-3075 的初始存取經紀人（Initial Access Broker），他們利用惡意廣告大規模散布帶有數位簽章的惡意軟體 。

• 規模與目標： 光是在 2026 年 3 月 13 日，單一攻擊行動就透過免費電影串流網站上的惡意彈出式廣告，鎖定了超過 66,000 台裝置，推廣名稱聳動的假產品如「Awesome AI Windows Plugin」或「Flux Pro AI」 。
• 手法解析： 這些惡意軟體帶有透過「Fox Tempest」這個「惡意軟體簽章即服務」（malware-signing-as-a-service）組織非法取得的有效數位簽章。這使得惡意執行檔在作業系統看來是合法的，進而繞過標準的信任檢查機制 。2026 年 5 月 19 日，Microsoft 在美國紐約南區聯邦地區法院對 Fox Tempest 提起訴訟，查封了其網站，並關閉了數百台運行該服務的虛擬機器 。

更廣泛的 AI 主題詐騙生態系統

這四起行動並非單一事件，而是一個更廣泛且能快速適應的 AI 主題詐騙生態系的一部分，仰賴一套精密且可重複使用的攻擊手法：

• 多階段轉址： 攻擊者常會引導受害者通過合法服務，如 CRM、縮網址和雲端平台，來躲避自動化偵測，最終才將受害者送到惡意酬載的頁面 。
• 搜尋引擎中毒與偽造儲存庫： DeepSeek 的行動凸顯了供應鏈攻擊的危險演變。偽造的 GitHub 儲存庫和頁面經過搜尋引擎最佳化，能超越合法來源的排名，專門鎖定尋找模型權重與程式碼的開發者與研究人員 。
• 惡意軟體簽章即服務： 對 Fox Tempest 採取的法律行動，揭開了一個專業化的犯罪基礎設施，它向多個攻擊者提供非法簽發的程式碼簽章憑證，讓未簽章的惡意軟體獲得作業系統層級的信任 。
• 可抽換的誘餌： 同一個載入器二進位檔被重複包裝，並冠上不同 AI 模型的名稱，如 GPT-5.5、Claude Code、Kimi 和 Manus AI，這顯示攻擊者能隨時根據市場上最受關注的工具，瞬間調整其攻擊行動 。

為什麼這個轉變至關重要

Microsoft 評估認為，以 AI 為主題的誘餌「反映了社交工程攻擊的一大轉變，很可能成為威脅行為者（從網路犯罪集團到國家級力量）的長期戰術」。這並非取代了傳統的偽造發票或包裹通知等釣魚誘餌，而是開闢了一個全新的攻擊面，建立在 AI 平台所累積的巨大公眾信任之上，而許多組織的安全意識培訓尚未完全因應此風險 。

特別是 DeepSeek 的攻擊行動，其鎖定開發者群體的現象尤其令人擔憂，因為這指向一個位於眾多企業應用程式與內部工具上游的供應鏈風險，而這些應用程式正是基於這些模型所打造的 。要防範這類攻擊，不能只靠技術工具，更需要提高每個人對 AI 品牌被惡意濫用的警覺心。