如今，Discord已成为游戏玩家首选的通信平台。无论是文字、语音、视频通话、屏幕共享还是专用服务器功能，它都能完美支持。但根据Check Point研究公司（通过TechRadar报道）本月发布的报告，其普及性也带来了副作用：Discord服务器邀请链接正成为网络犯罪分子实施钓鱼攻击的新途径。
需特别说明的是，Check Point指出“Discord已迅速采取行动禁用了本次发现活动中使用的恶意机器人程序”，这“有效切断了当前的感染链”。但报告同时警告：“攻击者可能创建新机器人或采用其他传播手段实施同类攻击的广泛风险依然存在”。
该漏洞源于Discord邀请机制的设计缺陷——即用户点击加入游戏社区或好友服务器的链接。黑客可劫持过期或已删除的邀请链接，将其重定向至自建服务器。新成员加入时会被要求验证身份，该流程与常规服务器初次加入程序高度相似，不易引发警惕。
当用户授权验证机器人时，危机才真正显现：简而言之，授权会启动“身份验证流程”，最终导向精心伪装的钓鱼网站。若按指示操作，用户设备将陷入危险。完整报告详细解析了攻击原理，其本质是“多阶段载荷传递”——这个术语出现在电脑故障描述中绝非好事。
虽然游戏玩家因占据Discord用户主体而成为主要目标，但威胁不仅限于此。同一报告揭露，由相同“威胁行为者”（即网络人渣）发起的另类攻击，与邀请链接劫持具有“核心共性”，但采用不同“初始感染载体”——《模拟人生4》盗版DLC。Check Point指出：“攻击使用相同加载框架，搭载Skuld窃取器和AsyncRAT载荷”。
“选用AsyncRAT及定制版Skuld窃取器表明攻击具有经济动机。Skuld专门窃取浏览器和Discord等凭证，本次攻击更侧重劫持加密钱包（尤其是Exodus和Atomic），通过注入恶意JavaScript代码，将被盗钱包助记词和密码经专用Discord网络钩子传送。”
更棘手的是恶意软件的顽固性：“预设计划任务会持续触发二级加载器，确保AsyncRAT持久运行。即使受害者清除恶意软件，AsyncRAT仍会重新下载执行，使攻击者能持续远程控制已入侵系统。”
作为非安全专家的笔者必须强调：多年计算机使用经验培养的警惕性在此类事件中尤为重要。首要原则是勿轻信任何“点击此处”提示——存疑时务必多方查证。当遇到此类验证界面时：
请坚决拒绝操作！切勿运行来源不明的程序。所谓“明确来源”需经严格确认，若稍有疑虑就该立即终止。任何网站若要求你打开命令提示符，无论其身份如何，请即刻关闭页面并离开电脑至少15分钟。这条简单法则能避免无穷后患。
