Calendly 钓鱼链伪装会议邀约，危险权限藏在一长串列表末尾

blixt · x · 2026-10-28

开发者 blixt 提醒警惕一起高质量钓鱼攻击：对方私信发出看似正常的 Calendly 会议链接，点击后跳转到一个可信度极高的伪造页面，页面只显示姓名和会议类型两个无害字段，而索取 X 账号等危险权限的授权列表被藏在下方，必须滚动才能看到「可查看你关注了谁」等敏感条目。

作者指出这是一条从攻击者、Calendly 到 X 平台的多环节失误链：Calendly 允许第三方滥用其品牌包装页面，X 的 OAuth 授权页把危险权限折叠在底部。他已拒绝授权，并怀疑对方账号被盗。