……原来是这样。谢谢你，我会把报告交给 165 和 BeatBird。周芷宁
CASE FILE 02 · SOLVED
蓝鹊是何佳颖
浪花行销的企划。她把工作上拿到的两份 BeatBird 试办数据对在一起，卖给了诈骗集团。
自评
- 没看提示、一次就指认正确：洋葱首席调查员
- 看了 3 条以内的提示、误判 1 次以内：资深隐私志愿者
- 其他：见习调查员
如果在假网站的表单送出了数据，再降一级。
事件经过
11 月 25 日，何佳颖从分享系统下载了 F-02（有姓名、邮箱、手机的行销名单），27 日又通过云杉数据开给浪花的分享链接，下载了 F-03（有睡眠数据的使用分析）。两份文件用的是同一套 user_hash，对起来就得到一份「谁、怎么联系、最近睡多少」的名单。
12 月 1 日起，诈骗集团注册了发件域名 kq3fz.idv.tw 与三个假冒 BeatBird 的域名，12 月 5 日开始寄信。芷宁在 12 月 7 日收到，照着搜索、点了广告、扫了「验证身份」的 QR code，涟漪账号就被接到对方的电脑上。
诈骗怎么运行
- 没有链接的信：信里不放链接，躲得过邮件过滤，也让人觉得「不像诈骗」。它只叫你自己去搜索客服。
- 买来的广告：搜索结果最上面三个「官方客服」都是广告：品牌放在子域名（beatbird.app.member-care.com）、品牌旁边加字（beatbird-help.app）、把 e 换成西里尔字母 е（bеatbird.app）。三个域名都在诈骗信发出前几天才注册。
- 真实的个资：姓名、手机、手环型号、睡眠时数，用真数据让人相信「这是 BeatBird 寄的」。
- QR code：「验证会员身份」解出来是 ripple://link-device，是涟漪的关联新设备。扫了它，对方的电脑就成了芷宁账号的一部分，可以读她的新消息、用她的名义跟朋友借钱。
- 发件人：SPF、DKIM 都通过，但通过的是 kq3fz.idv.tw 自己。验证只能证明「信真的从这个域名发出」，不能证明这个域名是 BeatBird。
逐条排除
| 嫌疑人 | F-02（姓名） | F-03（睡眠） | 陷阱收到诈骗信 |
|---|---|---|---|
| 罗美君 | D-01 | ✕ | C-01 只收到正常的体验信 |
| 何佳颖 | D-05 | D-08 | C-05 ✓ |
| 江柏宇 | D-04 | D-07 | C-04 没有收到 |
| 戴宇翔 | ✕ | D-03 | — |
| 刘怡君 | ✕ | D-06 | — |
| 谢明哲 | ✕ | ✕（F-01） | — |
诈骗信同时用到姓名（F-02）与 avg_sleep_30d（只在 F-03），两份都下载过的只有何佳颖与江柏宇。陷阱邮箱 C-05 收到了诈骗信，而 C-05 只埋在 D-05 那一份，也就是何佳颖下载的 F-02。
陷阱
- 江柏宇：深夜从住家下载 F-03，论坛上还有人说他在问信贷，看起来最可疑。可是他那份 F-02 的陷阱 C-04 从来没收过诈骗信。
- 好物团购网泄露：芷宁的主邮箱确实在 2024 年泄露过，里面也有姓名和手机。但诈骗信寄到的是只给过 BeatBird 的别名，团购网那份名单里没有这个别名。
- 假网站的表单：查假网站只看、不填、不送出。填假数据一样会让对方知道有人上钩。
下次收到这种信
- 「已开通」「按月扣款」的通知：自己打开 App 或拨原本就知道的电话确认，不要照信上说的搜索客服。
- 看网址先看注册域名，品牌名放在子域名、旁边加字、混用其他字母，都是另一个域名。
- 不要用通信软件扫别人给的 QR code「验证身份」。定期打开「已关联的设备」，移除不认得的设备，打开两步骤验证。
- 每个服务用不同的 email 别名，泄露时才追得到是从哪里流出去的。
- 钱已经导出去：立刻拨 165。
延伸阅读：一般人平常该做到什么 · 邮件别名怎么用，以及它把信任交给谁 · anoni.net 小工具
玩完的感想、想看的案件主题，欢迎写在建议与反馈（提交需要 JavaScript）。