Lao Mao中招WhatsApp关联设备钓鱼

Lao Mao发帖称刚中一次钓鱼。手机收到发件显示名为WhatsApp的短信，同一号码上次发信还在2023年，他判断当年官方验证码用过该号，弃用后被劫持。短信称号码涉嫌滥发，要在30分钟内上网验证，否则封号。

他前一晚刚把WhatsApp换成香港号，官方会给近期对话对象发更换通知，因此把“滥发”理解成系统误伤，点开了短信里的短链。页面引导进入设置中的已关联设备，文案隐去“新设备”字样，并改成用电话号码关联、输入验证码。输完后列表多出一台授权设备，他思考约30秒后取消该授权，并通知近期联系人。

他不确定这30秒里被取走多少信息，认为取消后对方难以继续用其身份发消息，但聊天里传过的文件可能已部分泄露。若未及时取消，对方能以其名义联系所有信任他的人。他把经过写成阴沟翻船，提醒同类手法会反复出现。

公开安全研究把这类手法称为GhostPairing或关联设备钓鱼：不偷密码，而是诱使本人完成WhatsApp合法的设备关联。攻击者拿到会话后可读近期聊天、发消息、下媒体，并向下一个联系人复制同一套话术。主手机不会被踢下线，唯一可见信号往往是关联设备列表里多出陌生终端。

WhatsApp后来在部分客户端加入关联前警告，标出可疑地点和该设备将具备的权限。信息增量是当事人把“旧官方短信通道被复用 + 换号通知造成的心理压力 + 短链关联码”连成一条完整中招链，并在半分钟内完成解绑。

市场机制上，这是身份盗用驱动的社交工程。买盘不在公开行情，而在黑产对可登录会话的需求；卖盘是用户的通讯录信任。资金流向验证码接码、钓鱼域和后续诈骗话术。受益方是拿到关联会话的攻击者；承压方是联系人网络和尚未检查关联设备列表的用户。

来源：公开信息

ABAB AI 解读

这次中招打在换号窗口。官方刚向联系人群发“号码变更”，受害者自己也觉得系统可能误判滥发，于是把短链当成客服入口。攻击者不需要新的系统漏洞，只需要一条仍显示WhatsApp名称的旧短信通道，再把合法的“用号码关联设备”流程嵌进验证页。30秒里多出的设备，就是完整会话。

资本路径在黑产侧很清楚：先占被弃用的发信号码，再批量发封号倒计时，最后把关联码转化成可转发的身份。目的不是一次盗号显示，而是进入信任链，用熟人名义向下一个目标要钱或再要验证码。换号、短链、隐去“新”字，都是降低摩擦的投放素材。

类似位置上，这与Signal关联设备钓鱼、投票链接套WhatsApp Web是同一类产品滥用，不是传统短信木马。行业阶段是即时通讯把多设备便利做成默认能力后，攻击面从密码转到用户亲手确认的配对码。谁先让用户在恐慌里完成官方流程，谁就先获得加密通道里的明文会话。

结构变化属于技术替代的反向利用。端到端加密保护的是信道，不审查你是否把第二台设备授权给陌生人。机制是：便利功能把“验证码”从登录密钥改成配对同意；一旦同意发生，加密反而保护攻击者读到的内容，直到机主在列表里点取消。

ABAB News · 认知定律