- 被盗 .edu 账户被用于散布虚假工作机会及礼品卡诈骗
- 受害者存入伪造的 1,000 美元支票，随后按要求购买礼品卡寄给诈骗者
- Proofpoint 通过 IP 日志调查，将该诈骗网络与尼日利亚联系起来
网络安全公司 Proofpoint 发现，来自尼日利亚的网络犯罪团伙正利用预付费诈骗（AFF）手段，专门针对西方大学生群体实施欺诈。其核心目的是诱导学生使用自有资金购买礼品卡并发送给骗子。
骗局运作机制
该诈骗策略利用了不同校园群体的弱点：准新生和年轻学生对电子邮件通信缺乏经验，且对潜在的工作或金钱机会抱有较高期待；校友虽拥有活跃的邮箱账户，但往往疏于管理，使得威胁行为者有机会劫持其联系人列表；而教职员工则频繁接收来自学生、家长及社区成员的信息。专家分析指出，这些钓鱼邮件混杂在真实的个人及大学内部通信中，极具迷惑性。
一旦攻击者获取了 .edu 域名的访问权限，他们便利用该顶级域名在学术界和公众眼中的权威性，为诈骗活动提供信誉背书。
整个骗局分为多个阶段。首先，攻击者发送警告邮件，声称受害者的邮箱将因“退休”、“毕业”或“转职”等虚构理由被禁用，诱骗受害者点击链接以“验证”地址，并在过程中窃取密码。
成功入侵账户后，犯罪分子利用该账号向联系人列表中的其他学生及拥有 .edu 邮箱的用户发送第二波钓鱼邮件，内容多为虚假职位招聘。那些误以为获得工作的学生会收到一张伪造的 1,000 美元支票复印件，并被要求将其存入银行。根据指令，学生需保留一半金额作为“工资”，用另一半购买礼品卡并将卡密发送给骗子。
由于支票系伪造，当银行最终识别出骗局并撤回存款时，受害者已无法追回送出的礼品卡，从而遭受约 500 美元的直接经济损失。研究人员在伪装成求职者参与其中一项“工作”时揭露了这一操作模式，并发现若受害者拒绝配合指令，诈骗者会表现出激进态度，甚至建议更换其他支付服务以继续行骗。
溯源与定位
尽管很难将此类骗局归咎于单一的特定犯罪集团，但研究人员通过技术手段锁定了线索。他们设法让诈骗者使用了 Grabify——一种通常用于网络营销的 IP 记录和短链接服务。这些链接被用来收集点击者的设备信息及 IP 地址。
虽然隐藏 IP 地址并非难事，但 Proofpoint 对该特定诈骗行动的来源地持有高度确信。尽管威胁行为者可能试图伪造基础设施，但基于对数百次交互的调查，Proofpoint 总结认为，这些 AFF 欺诈者通常直接使用其真实的移动网络基础设施进行犯罪活动。即便骗子使用了 VPN，由于其依赖多平台沟通方式以及追求货币化的动机，往往难以完全实现匿名化。
