安全研究员晒真实钓鱼:假会议邀请诱导 X OAuth 授权套号

wunderwuzzi23 · x · 2026-11-01

安全研究员 wunderwuzzi 警示：他刚收到一封看起来可信的会议邀请，点进去直接跳到 X(推特)的 OAuth 授权页面。配图显示一个名为「Guest Manage」的第三方应用(api-cal.com)请求敏感权限，包括读取时间线与受保护推文、代替发帖/点赞/转发、管理关注与屏蔽、更新账号设置等。页面虽有「此应用与 X 无关」的警示，但诱导用户勾选「我信任此应用」即可接管账号操作能力。他提醒大家小心这类钓鱼手法。