開啟 3 天免費試用
註冊即可免費體驗全部高級功能。
*只限新用戶；每位用戶只可獲得一次試用。
甚麼是瀏覽器嵌套式釣魚（Browser-in-the-Browser）？
Marcus Reid
2026年8月28日· 更新於 2026年8月29日· 9 分鐘讀完
瀏覽器嵌套式釣魚（Browser-in-the-Browser，簡稱 BitB）是在普通網頁內畫出假瀏覽器或假登入視窗的技術。仿冒視窗可包括標題列、網址列、鎖形圖示、熟悉的身份提供者品牌，以及看似屬於真實 OAuth 或 SSO 彈出視窗的按鈕。但它仍然只是網頁中呈現的內容，既不能控制外層瀏覽器網址列，也不會與所顯示的名稱建立可信連線。
這種攻擊利用一個本來有用的習慣：很多人預期會彈出獨立的「使用……登入」視窗，於是只檢查這個小視窗，而不是開啟它的頁面。現代 HTML 和 CSS 能令仿冒效果非常逼真。Microsoft 把 BitB 描述為在惡意頁面內模擬合法瀏覽器視窗的技術，並可與其他釣魚流程配合。［1］
關鍵要點
- 網頁內畫出的任何登入視窗，在你用瀏覽器控制的介面元素核實真實來源前，都應視為不可信。
- 真正的獨立彈出視窗可獨立移動、出現在瀏覽器的視窗切換器中，其網址由瀏覽器而非下方網頁控制。
- 密碼管理工具、passkey 和抗釣魚 MFA 能減低風險，但都不能令未經核實的頁面變得可信。
- 應對視乎實際發生了甚麼：只看到仿冒視窗，與輸入憑證、批准 MFA 或下載或執行檔案並不相同。
瀏覽器嵌套式釣魚怎樣運作？
攻擊者先把訪客帶到自己控制的頁面，常見途徑是訊息、廣告、假文件、搜尋結果或被盜帳戶。頁面提供一個看似合理的操作，例如查看共用檔案、加入會議、確認發票或進入工作入口網站。當訪客揀選熟悉的登入服務時，JavaScript 便在頁面上顯示仿冒視窗。
仿冒視窗可在頁面內移動，並配合作業系統的主題。它的網址和鎖形圖示只是圖畫，因此可顯示與官方完全一樣的拼寫，卻根本沒有連接該服務。
憑證提交後，頁面可能顯示錯誤、把受害者轉到真正的服務、要求批准 MFA，或把資料轉交另一個釣魚系統。MITRE 把魚叉式釣魚連結歸類為誘使目標瀏覽攻擊者基建的連結；BitB 視窗可以是到達後看到的欺騙介面。［2］視覺伎倆和傳遞途徑是攻擊的兩個獨立部分。
怎樣分辨假視窗和真實登入彈出視窗？
不要依賴顏色、標誌、拼寫、鎖形圖示或視窗內顯示的域名，而要測試哪些部分屬於瀏覽器、哪些屬於網頁。最重要的參照是外層瀏覽器網址列，它顯示的是繪畫整個內容區的頁面來源。
試把所謂的彈出視窗拖出頁面邊緣。假元素無法離開所在分頁，不過精心設計的頁面可能令這個測試不太明顯。用作業系統切換視窗：真正獨立的瀏覽器視窗通常會作為另一個視窗出現，網頁元素則不會。縮放或縮小外層視窗，觀察這個「彈出視窗」是否仍困在裏面。
平時會為真正服務自動填入的密碼管理工具，可能因實際來源不同而拒絕填入。遇到這情況就停下，不要為繞過警告而貼上密碼。
| 檢查點 | BitB 仿冒視窗 | 真實 OAuth 或 SSO 彈出視窗 |
|---|---|---|
| 小視窗內顯示的網址 | 由網頁繪畫，可寫任何內容 | 由瀏覽器控制，顯示彈出視窗的真實來源 |
| 與外層分頁的關係 | 困在頁面內容區內 | 有自己瀏覽情境的獨立瀏覽器視窗 |
| 視窗切換 | 通常不會作為獨立視窗出現 | 通常會作為獨立瀏覽器視窗出現 |
| 密碼管理工具配對 | 配對攻擊者頁面的真實來源，而非畫出來的域名 | 能配對身份提供者的真實來源 |
| 安全核實 | 關閉它，從可信書籤或 App 開啟服務 | 仍要核實真實來源和所要求的權限 |
各瀏覽器的介面不同，所以最可靠的檢查是放棄對方提供的途徑，獨立開啟已知服務。正當的任務也應能在其官方 App 或帳戶入口網站看到。
BitB 與 clickjacking、AiTM 有何不同？
這些攻擊可能同時出現，但依賴的機制不同。BitB 在攻擊者控制的頁面畫出逼真的瀏覽器形狀介面。Clickjacking 則隱藏或覆蓋一個真實的可互動元素，令點擊觸發的動作與用戶以為的不同。BitB 登入表單可以完全是假的，毋須任何隱藏的真實按鈕。
中間人攻擊（AiTM）釣魚系統會代理真實的登入交換，並可能截取憑證、Cookie 或工作階段材料。它的頁面可能看似供應商，也可能使用仿冒域名，但本質特徵是中繼認證流量，而非畫出來的視窗框。工作階段劫持是其後對有效工作階段的濫用，可經許多與 BitB 無關的途徑發生。
| 技術 | 核心欺騙或能力 | 主要核實甚麼 |
|---|---|---|
| 瀏覽器嵌套式釣魚 | 在頁面中呈現假瀏覽器框和登入表單 | 外層網址列和真實來源 |
| 真實 OAuth/SSO | 真正的供應商視窗要求認證或授權同意 | 供應商來源、應用程式身份和所要求的權限 |
| Clickjacking | 被隱藏或偽裝的真實控制項接收了點擊 | 意外的覆蓋層、頁面嵌套和所要求的動作 |
| AiTM／工作階段釣魚 | 攻擊者中繼登入並可能截取工作階段材料 | 獨立開啟帳戶，查看登入通知和有效工作階段 |
提交給假表單的密碼必須更改。被中繼的工作階段可能需要撤銷，不想要的 OAuth 同意則要移除應用程式授權。由你實際輸入或批准了甚麼開始處理。
輸入憑證前，怎樣檢查瀏覽器網址列？
只要頁面在意外連結之後自行彈出登入視窗，就先暫停。讀取外層網址列中的可註冊域，而不是子域名裏像品牌名稱的字。關閉頁面，經書籤、自行輸入的網址或官方 App 進入該機構。工作上的要求，請經已知途徑詢問發送者，或用你已有的聯絡方式聯絡服務台。
不要使用可疑頁面上的支援聯絡方式，也不要為並非你獨立發起的登入批准 MFA。
除域名外也要檢查任務本身。真正的身份提供者也可能被用來為陌生應用程式要求授權同意。正確的供應商來源只能證明認證在哪裏進行，不能證明每個要求授權的應用程式或權限都合適。批准前，請看清應用程式名稱、發佈者資料、所用帳戶和所要求的存取範圍。
密碼管理器、Passkey 和 MFA 能阻止 BitB 釣魚嗎？
密碼管理工具有用，是因為它把已儲存的憑證與來源連繫起來。如果它沒有提供預期的登入資料，真實來源可能並不相符。這是停下來的有力理由，但密碼管理工具無法評估每種流程，用戶手動複製密碼也會令這層保護失效。
Passkey（通行密鑰）設計上與依賴方綁定，能在錯誤網站上抵禦憑證重放。以 FIDO 等為本的抗釣魚認證，比驗證碼或簡單推送批准提供更強保護。CISA 建議採用抗釣魚 MFA，因為它能阻止常見的截取或重放認證機密的企圖。［3］不過，可用性、帳戶復原、登記流程和裝置被入侵仍然重要。用戶也可能被誘騙在真正的服務上授權另一個動作。
以驗證碼為本的 MFA 仍可被即時釣魚，推送 MFA 也可能被誤導性提示濫用。即使有第二因素，也要核實動作和來源。
與假登入視窗互動後怎樣處理？
按實際發生的最高暴露級別處理。保存原本的網址、訊息、大約時間和下載的檔案名稱，但不要只為截圖而重新瀏覽頁面。
| 暴露級別 | 即時行動 | 後續檢查 |
|---|---|---|
| 只看到頁面 | 關閉分頁，不授予任何權限 | 舉報連結；檢查瀏覽器有否自動下載內容 |
| 輸入了憑證 | 經可信入口更改密碼並撤銷有效工作階段 | 所有其他重用該密碼的服務都要改密碼；檢查復原資料、轉寄規則和近期登入 |
| 批准了 MFA 或授權同意 | 拒絕後續提示；撤銷工作階段和不需要的應用程式授權 | 聯絡服務管理員並檢查帳戶活動 |
| 下載或執行了檔案 | 停止用該裝置登入敏感帳戶；懷疑正被入侵時中斷網絡 | 使用可信保安檢查或專業支援；從乾淨裝置保護帳戶 |
如涉及工作帳戶，即使已更改密碼也要盡快報告。紀錄檔能幫助防守人員找出登入、權杖、收件匣規則、已連接應用程式和其他受影響用戶。如提交了金融資料，請經可信號碼聯絡金融機構。如安裝了軟件或瀏覽器擴充功能，請把裝置風險與帳戶風險分開處理。
機構怎樣降低瀏覽器嵌套式攻擊風險？
為敏感帳戶採用抗釣魚認證，限制有風險的舊式登入方式，並讓正當的登入流程可以預期。用戶應知道預期的身份提供者、域名和應用程式授權頁面是怎樣的。高風險授權和新應用程式應接受額外審查。
控制措施可封鎖已知的惡意目的地，監察則能發現異常登入、工作階段、授權同意和收件匣規則。舉報機制應讓人毋須先說出技術名稱就能標記可疑頁面。培訓應在不依賴單一作業系統的前提下，分辨瀏覽器控制的介面與網頁內容。網絡安全指南、釣魚網站識別和釣魚攻擊防護提供更廣泛的帳戶和復原背景。
總結
瀏覽器嵌套式釣魚靠在不可信網頁中畫出看似可信的登入視窗得手。視窗內的文字和鎖形圖示都不能證明身份。請核實外層瀏覽器網址列和真實來源，或退出流程、獨立開啟服務。密碼管理工具、passkey 和抗釣魚 MFA 能加添有價值的屏障，但事後仍須按憑證、授權和下載的暴露程度處理，並留意工作階段是否外洩。
常見問題
假 BitB 視窗能顯示正確域名嗎？
能。假視窗內的域名只是普通網頁內容，攻擊者可顯示與官方完全一致的拼寫和鎖形圖示。只有瀏覽器控制的介面才能報告視窗的真實來源。
HTTPS 能證明登入彈出視窗真實嗎？
不能。HTTPS 保護的是與你到達的域名之間的連線。攻擊者可在欺騙性域名使用 HTTPS，而畫出來的網址列根本不是瀏覽器的保安指示。
可拖動就代表彈出視窗真實嗎？
未必。JavaScript 可令網頁元素在頁面內被拖動。更有力的線索是：它能否移出外層頁面、是否作為獨立視窗出現，以及來源資料是否由瀏覽器控制。
密碼管理器一定能識別 BitB 嗎？
它常因來源不符而拒絕填入，從而提供幫助，但它不是萬能偵測器。在獨立開啟正確服務前，切勿手動貼上憑證來繞過不符提示。
Passkey 能阻止所有釣魚嗎？
Passkey 與預定的依賴方綁定，因此對憑證釣魚有很強的抵禦力。但它不能阻止所有社交工程、授權誘騙、帳戶復原、惡意軟件或裝置已被入侵的情況。
BitB 與假瀏覽器更新相同嗎？
不同。BitB 在頁面內模仿瀏覽器或登入視窗；假瀏覽器更新通常催促用戶下載或執行軟件。同一攻擊活動可同時使用兩種手法，但所要求的操作和應對方法不同。
輸入密碼但 MFA 擋住登入，還要改密碼嗎？
仍然要改，並撤銷工作階段、檢查帳戶活動。密碼已經暴露，日後可能被再用、拿去嘗試其他服務，或與針對你復原流程的其他攻擊結合。
應該自己調查釣魚頁面嗎？
不應該。保存網址和原本訊息，再經可信途徑舉報。重新開啟頁面可能觸發新的重新導向、下載或追蹤，對一般用戶的處理也很少有必要。
本文提供一般保安資訊，並非針對個別事件的事故應變或法律意見。
來源
- Microsoft Security Blog — https://www.microsoft.com/en-us/security/blog/2026/04/06/ai-enabled-device-code-phishing-campaign-april-2026/
- MITRE ATT&CK — https://attack.mitre.org/techniques/T1598/003/
- CISA — https://www.cisa.gov/sites/default/files/2023-01/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf
Sources checked 2026 年 8 月 28 日。
