O3.14.3Spoofed permission and login prompts设计研究
权限请求与登录界面的伪装是常见的钓鱼手法
别名: 仿冒弹窗钓鱼 · 凭证收割 · credential harvesting · in-app phishing
概念解释
界面伪装在社工攻击里的标准载荷有三类：仿登录框（直接收密码）、仿系统权限请求（让恶意索取看起来像例行检查）、仿 OAuth 授权页（用一次点击换取账号能力）。用户以为在与系统对话，实际在向攻击者的表单输入。这条讲的是伪装能力的钓鱼部署，与像素级伪造的能力机制是同一攻击面的两个用法。
机制
有效性来自参照对象的权威：系统弹窗在用户心里代表「官方的、中立的检查点」，伪装借用这个权威让用户解除戒备。时机上，假弹窗配合真实事件出现——用户刚点「登录」、刚装完应用——与预期剧本一致，几乎没有违和感。识别线索比网页钓鱼更少：本地弹窗没有地址栏可看，移动系统的对话框还可以不带应用标识，用户惯用的「看 URL」技能在这里无从使用。
怎么研究
反钓鱼与权限弹窗研究在此交汇：对真实钓鱼样本做内容分析，统计仿原生界面的占比与演化；实验比较仿原生弹窗与普通网页表单的凭证泄露率；眼动研究记录无地址栏界面上用户寻找线索的轨迹。因变量常用泄露率、输入前的迟疑时长与事后怀疑率。方法论注意点：实验室投放的钓鱼是「无差别」的，真实攻击常带上下文定制（知道你在用某个服务），实验室检出率不可直接外推。
边界
平台对策在收紧但各有死角：Android 弹窗默认带不可移除的应用署名；密码管理器按域匹配，假框收不到自动填充——但对手输密码无效；iOS 把登录引导到系统级表面，自绘登录框的收益被压低。企业环境可用 MDM 禁止未知应用叠加绘制，消费场景做不到。仿冒对象本身也在扩展（仿短信验证码通知、仿系统更新提示），对策按载荷逐类跟进，没有一劳永逸的封堵。
怎么落地
- 平台侧：权限与敏感确认弹窗固定带不可移除的来源署名；登录优先接系统级登录表面，自绘登录框仅在不可用时降级。
- 应用侧：登录流程走系统 autofill，让「假框收不到密码」的机制替用户把关；文档里告知用户核验署名的一步。
- 验证：钓鱼演练同时投递「仿原生弹窗」与「普通钓鱼页」两个版本并比较泄露率——差值就是伪装手法的增量危害，也是最有说服力的培训素材。