待验证50% 置信事实精确时间
中间人钓鱼（Adversary-in-the-Middle）工具可实时代理真实登录页面，在用户完成MFA验证的同时窃取会话Cookie，从而绕过传统MFA，与会话劫持形成交叉威胁。
1
来源数
50%
置信度
中期 (~90 天)
时效性
2026/11/2
首次发现
有效期至：2027/1/31
来源
涉及实体
相关事实
待验证抗钓鱼MFA（如FIDO2/WebAuthn硬件密钥或平台通行密钥）能抵御实时钓鱼和中间人攻击，因为认证绑定到具体网站的源，钓鱼域名无法获得有效签名挑战响应。74% 相似待验证针对实时钓鱼代理（如Evilginx）的攻击可以截获会话令牌，因此MFA并非万能。73% 相似待验证若签名校验被绕过、私钥泄露，或更新服务器与下载通道被劫持，攻击者就能向用户机器推送任意代码。70% 相似待验证基于硬件密钥（FIDO2/Passkey）的认证方式将验证绑定至特定设备与来源域，是目前对抗会话劫持最有效的MFA形式69% 相似已验证凭证填充攻击（Credential Stuffing）指攻击者将一处泄露的用户名密码组合自动化尝试登录其他网站以接管账户68% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1127389API
curl https://kongchang.com/api/v1/knowledge/claims/1127389MCP
get_claim(id=1127389)