中II 网络战与关键基础设施2026年10月29日, 星期四
木马控制印度银行客户约1.8万部手机
Group-IB于10月28日披露，其命名为CyberDakait的活动集群利用7个安卓木马家族控制了至少17960部设备，并读取了7611443条短信。该活动冒充11家印度银行和2个政府项目。
据Group-IB介绍，该集群自2025年7月起针对印度金融行业。攻击者自称银行代表，劝说受害者取消一项未经申请就已启用的“信用卡保护计划”。受害者随后被引到假冒的银行网站，在那里留下卡号、CVV、网银密码和身份信息。部分恶意应用文件托管在GitHub上；Group-IB报告的16个账户已被关闭。
据GBHackers 10月29日的摘要，在被控制的设备中，2364部是通过安装通知发现的，15596部来自暴露在外的Firebase数据库。这些木马会截获一次性密码（OTP，即银行为确认交易通过短信发送的验证码），转接来电，并远程控制手机。一个附加组件还会在设备锁屏时挖掘门罗币。指挥流量经由Telegram机器人和Firebase传输。
Group-IB报告的受害者总损失仅略高于30500美元；诈骗者声称的费用在5至150美元之间。报告没有点出被冒充银行的名称，也没有提及印度储备银行（RBI）或各银行的回应。Group-IB将CyberDakait定义为一个分析意义上的集群，而非单一运营者；幕后人员的身份无法核实。
Talay 研判
结论
问题不在损失金额，而在于渗透的深度。760万条短信表明，印度的银行安全仍依赖短信发送的一次性密码，而这一渠道可以被大规模读取。已报告的30500美元损失，可能只是实际损害的一小部分。最可能的走向是，监管压力加速银行转向短信以外的验证方式。
可能影响
- 印度银行安全负面1至6个月
17960部设备证明短信密码可以被截获，这将迫使银行转向应用内和绑定设备的验证。
- 网络可保性负面1至6个月
从客户设备发起的欺诈，可能令银行保单中的社会工程除外条款受到质疑；具体数额影响无法核实。
- 代码托管平台不确定数周内
GitHub的可信域名被用来分发恶意文件；16个账户被关闭，也说明这一渠道很容易重建。
可能情形（按概率排序）
- 1换个名字继续60%
被关闭的GitHub账户由新账户取代，同样的木马家族冒充新的银行继续传播。
观察指标: Group-IB或其他公司就同一批家族发布新的威胁指标
- 2监管收紧30%
印度计算机应急响应小组CERT-In或RBI发布有关短信以外验证方式的新指引。
观察指标: CERT-In就安卓银行木马发布的新警告
- 3锁定作案者10%
执法部门顺着Telegram和Firebase的线索锁定运营者，并宣布拘留。
观察指标: 印度警方宣布与CyberDakait有关的拘留
概率是基于来源的校准判断，并非测量结果，会随新信息更新。不构成投资建议。
市场反应
受影响的指标
- 被控制设备▼ 17960部以上
- 被读取短信▼ 760万条