……原來是這樣。謝謝你，我會把報告交給 165 和 BeatBird。周芷寧
CASE FILE 02 · SOLVED
藍鵲是何佳穎
浪花行銷的企劃。她把工作上拿到的兩份 BeatBird 試辦資料對在一起，賣給了詐騙集團。
自評
- 沒看提示、一次就指認正確：洋蔥首席調查員
- 看了 3 條以內的提示、誤判 1 次以內：資深隱私志工
- 其他：見習調查員
如果在假網站的表單送出了資料，再降一級。
事件經過
11 月 25 日，何佳穎從分享系統下載了 F-02（有姓名、信箱、手機的行銷名單），27 日又透過雲杉數據開給浪花的分享連結，下載了 F-03（有睡眠資料的使用分析）。兩份檔案用的是同一套 user_hash，對起來就得到一份「誰、怎麼聯絡、最近睡多少」的名單。
12 月 1 日起，詐騙集團註冊了寄件網域 kq3fz.idv.tw 與三個假冒 BeatBird 的網域，12 月 5 日開始寄信。芷寧在 12 月 7 日收到，照著搜尋、點了廣告、掃了「驗證身分」的 QR code，漣漪帳號就被接到對方的電腦上。
詐騙怎麼運作
- 沒有連結的信：信裡不放連結，躲得過郵件過濾，也讓人覺得「不像詐騙」。它只叫你自己去搜尋客服。
- 買來的廣告：搜尋結果最上面三個「官方客服」都是廣告：品牌放在子網域（beatbird.app.member-care.com）、品牌旁邊加字（beatbird-help.app）、把 e 換成西里爾字母 е（bеatbird.app）。三個網域都在詐騙信寄出前幾天才註冊。
- 真實的個資：姓名、手機、手環型號、睡眠時數，用真資料讓人相信「這是 BeatBird 寄的」。
- QR code：「驗證會員身分」解出來是 ripple://link-device，是漣漪的連結新裝置。掃了它，對方的電腦就成了芷寧帳號的一部分，可以讀她的新訊息、用她的名義跟朋友借錢。
- 寄件人：SPF、DKIM 都通過，但通過的是 kq3fz.idv.tw 自己。驗證只能證明「信真的從這個網域寄出」，不能證明這個網域是 BeatBird。
逐條排除
| 嫌疑人 | F-02（姓名） | F-03（睡眠） | 陷阱收到詐騙信 |
|---|---|---|---|
| 羅美君 | D-01 | ✕ | C-01 只收到正常的體驗信 |
| 何佳穎 | D-05 | D-08 | C-05 ✓ |
| 江柏宇 | D-04 | D-07 | C-04 沒有收到 |
| 戴宇翔 | ✕ | D-03 | — |
| 劉怡君 | ✕ | D-06 | — |
| 謝明哲 | ✕ | ✕（F-01） | — |
詐騙信同時用到姓名（F-02）與 avg_sleep_30d（只在 F-03），兩份都下載過的只有何佳穎與江柏宇。陷阱信箱 C-05 收到了詐騙信，而 C-05 只埋在 D-05 那一份，也就是何佳穎下載的 F-02。
陷阱
- 江柏宇：深夜從住家下載 F-03，論壇上還有人說他在問信貸，看起來最可疑。可是他那份 F-02 的陷阱 C-04 從來沒收過詐騙信。
- 好物團購網外洩：芷寧的主信箱確實在 2024 年外洩過，裡面也有姓名和手機。但詐騙信寄到的是只給過 BeatBird 的別名，團購網那份名單裡沒有這個別名。
- 假網站的表單：查假網站只看、不填、不送出。填假資料一樣會讓對方知道有人上鉤。
下次收到這種信
- 「已開通」「按月扣款」的通知：自己打開 App 或撥原本就知道的電話確認，不要照信上說的搜尋客服。
- 看網址先看註冊網域，品牌名放在子網域、旁邊加字、混用其他字母，都是另一個網域。
- 不要用通訊軟體掃別人給的 QR code「驗證身分」。定期打開「已連結的裝置」，移除不認得的裝置，開啟兩步驟驗證。
- 每個服務用不同的 email 別名，外洩時才追得到是從哪裡流出去的。
- 錢已經匯出去：立刻撥 165。
延伸閱讀：一般人平常該做到什麼 · 郵件別名怎麼用，以及它把信任交給誰 · anoni.net 小工具
玩完的感想、想看的案件主題，歡迎寫在建議與回饋（送出需要 JavaScript）。