Island 研究揭穿以 BitB 假瀏覽器視窗操盤的人工釣魚平台；目標是代理商與媒體採買的廣告帳號。企業連 AI 工具前，先把驗證與權限關好。
「連一下 Google 帳號，AI 就幫你優化廣告。」這句話若出現在正式產品裡，是效率；若出現在一份看起來很新、很潮、還刚好赶上新闻热度的邀請信裡，就要先把手指從「Connect」上移開。
2026 年 10 月 6 日，The Hacker News 報導資安公司 Island 的研究：一個人工操作的釣魚平台，仿冒 Google Gemini、Anthropic Claude、OpenAI ChatGPT、Perplexity、Meta Muse、Manus 等品牌的「AI 廣告／投放產品」，宣稱能做活動優化、花費稽核、商業帳號串接。真正目標只有一個——用 browser-in-the-browser（BitB） 假登入視窗，偷走帳密與多因素驗證（MFA）碼。
對台灣做品牌網站、電商與廣告投放的工作室與客戶來說，這不是「資安八卦」，而是廣告預算與客戶帳號可能被搬走的實務風險。
攻擊長什麼樣子？
Island 研究員 Oleg Zaytsev 與 Ofek Ronen 指出：每個仿冒產品都圍繞同一個動作——Connect。點下去後，會在真實瀏覽器裡「畫」出另一個瀏覽器視窗；假網址列顯示 accounts.google.com 或某個 Okta 租戶這類可信來源，但真正的瀏覽器位址列仍停在釣魚網域。
後端則更陰：平台會保存每一次密碼嘗試、對裝置做指紋，並讓操作者決定受害者接下來看到哪一種 MFA 挑戰。研究寫道：「介面背後，平台保存每次密碼嘗試、指紋化裝置，並讓操作者選擇受害者接下來看到哪一種 MFA 挑戰。」
其中一個站點是 museads.ai，出現在 2026 年 9 月 16 日——大約是 Meta 推出個人工作流 AI 代理 Muse 後一週多。它自稱「Your AI ads manager for paid media workflows」，用 Prompt Box 搭配 Connect 按鈕，觸發 BitB，竊取 Google、Meta、TikTok、Okta 等工作流程的登入資訊。裝置指紋會經 Socket.IO 打到 /api/send/ip，之後操作者指令與受害者資料依登入流程交換。
為什麼說是「人工操作」？這很重要
這不是單純的自動表單搜集。攻擊者拿到帳密後，會即時去登入真實帳號；頁面透過名為 operator-command 與 telegram-command 的 Socket.IO 事件接收指令。Zaytsev 告訴 The Hacker News：兩者都會把指令文字交給同一個 parser，並非兩套不同動作。
操作者可以即時導引受害者：再要一次密碼（/password）、顯示簡訊或驗證器挑戰（/2fa、/authApp）、Google 核准／QR／數字比對（/googlePrompt、/googleQrVerify、/verifyTap），或各種 Okta 畫面。也可以拒絕驗證碼（/wrong2fa）、讓人乾等，或結束／封鎖流程（/done、/ban）。
換句話說：MFA 沒有自動保護你，因為攻擊者跟你同時在線，可以把你剛輸入的碼立刻用掉。
品牌皮一件換一件，專門騙「會買廣告的人」
研究說「每個品牌都有自己的 pitch」：ChatGPT 承諾週一的 Google Ads 簡報；Gemini 承諾 MCC（管理員帳戶）與連結客戶支援；Claude 有自己的廣告入口；Perplexity 主打活動規劃與花費稽核；Manus 則是私有 Meta 整合。流量多半來自仿冒這些可信品牌的假邀請信。
Island 還指出，這套 AI 廣告頁只是更大釣魚平台的一支；另外兩支包括 Google Ads 主題的退款／付款確認，以及 Tesla、Louis Vuitton、Nike、Adecco 等招募相關站點。識別出的網站共用 Next.js + Socket.IO 技術棧與相同端點；攻擊者甚至曾因設定錯誤的公開 GitHub 儲存庫暴露較早版本原始碼。
目標族群很清楚：代理商員工、媒體採買、管理員帳戶管理者。目的很可能是把廣告帳號變現——自己投放，或在地下市場賣掉有乾淨花費歷史的帳號。報導引用 Mimecast 於 2026 年 7 月的報告：VietCredCare、DuckTail、NodeStealer、PXA Stealer 等家族已讓廣告帳號竊取成為生態系裡的「大宗商品犯罪」，耗盡企業預算並轉售信譽良好的帳號。
Island 提醒：對受害者來說，拔掉信用卡往往幾小時內做得到；把帳號救回來才難。攻擊者通常會加入自己的管理員、降級合法擁有者，復原可能要數週到數月，期間帳號還在繼續投放。若是管理員帳戶，傷害會擴散到代理商的客戶。
同一份研究裡的另一條線：假 Cloudflare 驗證與 ClickFix
報導更新後也提到：威脅行為者濫用 Google 贊助結果，把人導向自訂 GPT 或共享 AI 聊天內容，再轉到假 Cloudflare 驗證頁，用 ClickFix 風格誘餌投放 NetSupport RAT。Island 強調：這不需要 ChatGPT 或 Google 的漏洞——它濫用信任平台、攻擊者自製內容、付費搜尋與社會工程。觀察期約三個月（至 2026 年 8 月），更大的投放集群約有 850 個付費廣告落地頁、26 個仿 ChatGPT 目的地、71 個 Google Ads 活動 ID。
對企業的啟示很直白：「看起來像官方」不夠，流程與驗證方式才是防線。
給企業與工作室客戶的防護清單
Island 建議組織啟用抗釣魚驗證、審查廣告控制變更，並在串接帳號前仔細檢視 AI 整合。我們把它翻譯成可執行的檢查表：
- 廣告與雲端帳號改用抗釣魚 MFA（通行金鑰／硬體金鑰優先），不要只靠簡訊或「按一下核准」。
- 連第三方「AI 廣告助手」前，走正式採購與網域檢查：公司信箱、官方文件、合約實體；陌生 Connect 一律當敵意。
- 看瀏覽器最上方的真網址列，不要信任頁面「裡面再畫一個視窗」的網址列——那正是 BitB 的戲法。
- 管理員帳戶最小權限：代理商 MCC／BM 層級帳號分人、分工、定期稽核；異動管理員要有告警。
- 監控廣告控制平面：新增管理員、付款方式變更、大量投放異常，要能在小時級被發現。
- 教育媒體採買與行銷同事：假邀請信會「跟著新聞走」；新 AI 產品上線後一週，是仿冒高峰期。
- 工作室交付物加一頁資安說明：幫客戶上線廣告或串接 OAuth 時，寫明「我們不會用郵件叫你點 Connect 授權」。
給行銷與設計同事的「三十秒辨識法」
你不需要成為資安專家，也能降低中招率。收到「AI 廣告工具」邀請時，先問三句話：這封信的網域是不是我們熟知的官方網域？對方是否要求我在郵件連結裡直接 Connect 商業帳號？頁面裡是否又「長出」另一個瀏覽器視窗顯示 Google／Okta 網址？只要第二或第三題是「是」，就停手，改走公司正式管道或打給原廠／代理商確認。
設計與前端若正在做登入／OAuth 相關介面，也請避免過度模仿系統瀏覽器視窗的視覺——那正是 BitB 依賴的信任感。官方該長什麼樣，就讓系統瀏覽器自己長；產品 UI 專心做好授權範圍說明與權限最小化。
你可能會問
Q：我已經開了 MFA，是不是就安全了？
對這種即時人工中繼攻擊，簡訊／推播核准型 MFA 仍可能被同步騙走。抗釣魚的通行金鑰或硬體金鑰有效得多。
Q：我們公司不大，會被盯上嗎？
這波鎖定的是「有廣告預算與乾淨花費歷史」的帳號，中小品牌與代理商客戶都在範圍內。
Q：員工已經點過 Connect 怎麼辦？
視為帳號可能已遭入侵：終止工作階段、輪替密碼與權杖、檢查並移除陌生管理員、審查近期投放與付款變更，必要時向平台申請復原，並通知受影響客戶。
Q：這跟網站開發有什麼關係？
很多品牌的第一個破口是「行銷工具授權」而不是應用程式漏洞。網站與後台若提供 OAuth／嵌入登入，也要避免被仿冒成釣魚載體，並在文件裡教使用者如何辨識官方流程。
結語：AI 產品可以酷，登入視窗不能不疑
這起案件最刺眼的地方，是攻擊者學會了產品行銷：每個品牌一個故事、跟著發表會節奏上線、用「Connect」兩個字降低防備。技術上靠 BitB 與人工操盤 MFA；商業上盯的是廣告帳號這種可變現資產。
若你的團隊正在評估 AI 投放工具、或剛幫客戶接上 Google／Meta 廣告 API，歡迎找我們做一次權限與登入流程健檢。我們的立場很務實：工具可以新，驗證必須舊派——先確認你連的是真的，再談自動化。