每个人都可以，
拥有SSL证书

Clandestine团队这波披露挺有意思。

攻击者注册了一堆拼写变体域名，像把whatsapp写成whatsap、whastapp，或者加个login、verify之类的词。然后从Let's Encrypt、Google Trust Services、Amazon这些正经CA手里拿到了合法证书。证书签发日期集中在2026年8月10日前后，明显是批量准备的新一轮钓鱼活动。

很多人看到地址栏有挂锁图标就放心输密码。这个习惯正在被精确利用。

HTTPS那把小锁只解决一件事：浏览器到你访问的服务器之间流量是加密的，中间人看不到内容。它不证明这个服务器属于哪个品牌。证书里写的域名是whatsapp-verify-login.com，浏览器验证的是你输入的域名和证书域名一致，然后显示挂锁。至于这个域名是不是WhatsApp官方在用的，浏览器不负责判断。

好比你在酒店前台看到一个人穿着保安制服，你默认他是酒店保安，其实他只是买了套相似的衣服。

制服证明不了他的雇佣关系，挂锁证明不了域名的归属。

攻击者要拿到合法证书并不难。DV证书，也就是域名验证证书，CA只验证申请人是否控制这个域名。控制域名的方式无非是在网站上放个特定文件、加条DNS记录、或者回一封邮件。攻击者注册了typosquatting域名，自己当然能完成这些验证。Let's Encrypt这类免费CA把整个流程自动化了，签发速度以秒计。

这不是CA的漏洞，是DV证书设计如此。

真正的风险点在于用户把加密信号当成了身份信号。收到一条WhatsApp消息说账号异常需要验证，点进去看到挂锁，域名栏被手机浏览器折叠了，很多人就直接填了手机号和验证码。那个验证码一旦给出去，对方就能接管账号。更麻烦的是这种链接通过聊天工具传播，熟人账号被盗后再转发，信任链条被一层层污染。

企业侧要防这个，成本不低。得盯着新签发的证书里有没有和自己品牌相似的域名。Certificate Transparency日志是公开的，但原始数据量大，自己解析很费劲。

然后还要想办法提醒客户，总不能挨个发私信。

顺手提一个行业里已经在用的做法。

lcjmSSL这类平台把ACME协议包装成了简单接口，支持多域名、泛域名、IP证书的自动申请和部署。它本身是个证书管理工具，但用在防守侧有个直接价值：企业可以拿它快速签发和轮换自家域名的证书，同时借助自动化能力去监控跟自己品牌相关的证书签发记录。发现可疑域名签了新证书，就能在钓鱼页面大规模上线前拿到情报。

对开发者来说，这种平台的好处是API干净。不用手动去CA后台点来点去，几行脚本就能把证书签下来，挂到Nginx或者网关后面。证书过期前自动续期，避免业务突然断掉。

跟Let's Encrypt、Google Trust Services、ZeroSSL这些支持ACME的CA对接，证书本身是受浏览器信任的。

回到这次事件。攻击者的基础设施已经搭好，证书也拿齐了，域名解析估计也配完了。他们等的就是合适的时间窗口，用一批看似官方的链接去收割账号。

用户能做的其实不多，手动输官方地址是最稳的，看到聊天里来的链接别急着点，输入凭证前把地址栏展开看一眼完整域名。那把锁头真的只代表加密，不代表对方是谁。

企业那边，多关注一下自己品牌关键词的新证书签发，有条件就建个自动化的监控脚本。lcjmSSL的接口顺手就能做这件事，不需要额外搭一套证书透明度解析系统。等钓鱼页面真正开始传播，再反应就慢了。