收到一份看起来很正式的行业峰会邀请，发件方写着知名AI公司的名字，先别急着点开。安全研究发现，攻击者使用伪造的OpenAI、SpaceX和Anthropic活动邀请窃取Microsoft与Google账户。
这类攻击的套路并不新鲜，新鲜的是借用的外壳，AI公司的活动邀请天然带有稀缺感和专业性，收件人往往是开发者、创业者和企业采购这类对新技术敏感的人群，恰好也是账户里存着代码仓库和商业数据的高价值目标。伪造页面会要求用Microsoft或Google账户登录报名，一旦输入凭据，账户的邮箱权限和关联服务全部暴露。
对出海从业者来说风险更高一层，海外账户被盗后，广告账户、店铺后台、云服务的连带损失可能远超邮箱本身。
防护动作其实很基础，一是核对邀请邮件的发件域名，AI公司官方活动通常用自己的域名而不是第三方邮件平台，二是登录类链接一律手动输入官方网址访问，三是对团队开启硬件密钥或通行密钥验证。AI热钱多的地方骗局就多，越热的行业越要默认陌生邀请有问题。
再看这轮攻击选择的时机，科技公司发布会和促销节点前后是伪造邀请的高发期，攻击者会蹭真实活动的热度做仿冒页面，搜索引擎和社交平台上的假冒链接也会同步出现。建议团队把这类案例放进内部安全培训，用真实页面截图做识别演练，比发一遍安全通知有用得多，一次钓鱼演练的成本，远低于一次账户失窃之后的补救支出。