近日，行业论坛 Veryfb 披露了一种针对广告账户的新型钓鱼攻击。攻击者伪造 ChatGPT、Gemini、Claude、Perplexity 等热门 AI 网站，诱导用户点击“连接账户”“授权登录”或“同步广告数据”等按钮。随后，利用 Browser-in-the-Browser（BitB）技术伪造与官方高度一致的登录弹窗，窃取账号密码及 MFA 验证码。
此类攻击极具隐蔽性，因其精准瞄准了广告团队的日常工作流。对于优化师和代理商而言，“连接账户”“同步数据”是高频操作，容易让人放松警惕。BitB 技术能模拟浏览器弹窗、地址栏及锁标样式，使得伪造页面难以通过常规视觉检查辨别，极大增加了误导风险。
图片来源：Veryfb
广告团队需防范的不仅是登录风险
随着 AI 工具在文案、素材及数据分析中的普及，广告团队频繁进行“授权登录”和“数据同步”，导致账号权限及客户信息暴露风险增加。仅提醒同事不点击陌生链接已不足以应对当前威胁。
真正的风险放大环节往往发生在钓鱼成功之后：异常花费的发现滞后、账户权限的扩散范围以及止损速度。因此，广告账户安全应视为完整链路：前端降低被钓鱼概率，中间控制权限范围，后端快速发现并处理异常。团队规模越大、协作越复杂，这三层防御越需协同完善。
XMP 如何将防盗刷能力融入工作流
作为 Meta 在 Adtech 领域的首个中国合作伙伴，XMP 在多账户投放、团队协作及风险控制方面构建了完整的产品能力体系。
减少密码暴露面
XMP 支持拥有管理员权限的用户直接登录媒体平台完成授权，符合日常使用习惯且更安全。多人协作场景下，可通过生成授权链接邀请代理商或管理员完成授权，避免明文传递密码。
收紧权限，明确账户边界
针对多账户团队，XMP 提供账户级隔离、分组管理及精细化权限管理。通过拆解不同角色的可见与可操作范围，将潜在风险限制在局部，防止波及全部客户和账户。
早期识别异常，快速止损
针对跨时区、夜间及节假日无人值守场景，XMP 不仅提供事后提醒，更支持基于盗刷典型特征预设规则。一旦命中风险，系统可自动暂停广告，最大限度减少预算流失。
具体而言，系统可监控非工作时间内异常创建或启动的广告，识别与既定推广目标（如应用安装、转化量、销量）明显不符的异常投放并自动触发处理。
同时，系统限制非指定来源创建的产品广告投放，并拦截白名单之外的广告网址。这确保团队在无人值守时段也能有效控制异常投放带来的损失。
事件释放的行业信号
此次“假 AI 网站 + BitB”攻击表明，攻击者正顺着广告团队的真实工作方式设计钓鱼链路。随着 AI 工具和自动化协作深入日常工作，账户安全必须同步嵌入工作流。
对广告团队而言，账户安全已不再局限于后台登录，而是与预算安全、投放连续性、数据权限及团队协作紧密关联。在多账户、多角色、多链路的复杂管理中，任何环节漏洞都可能被快速放大。
在此背景下，XMP 的价值不仅在于提升投放效率，更涵盖账户授权、权限管理、异常识别和止损处理等关键风控环节。这使得团队在享受 AI 提效红利的同时，能将账户风险控制得更加稳固。
免费试用XMP
了解更多出海买量、归因分析、电商投流等策略
