FBI提醒iPhone/Android用户注意新兴隐性威胁，是利用PDF文件窃取数据并感染设备。Zimperium报告，PDF通常经短信发送，看似合法，使用户更容易上当。攻击者利用多数移动设备保护不足及用户警觉性低，才能将PDF当成攻击工具。

Zimperium识别出两种手法，一针对EZDriveMA（马萨诸塞州电子收费系统）用户，另一个假冒PayPal，发送加密货币假发票当诱饵，结合网络钓鱼和语音社交工程的双重攻击。

攻击者短时间内创建约2,145个网络钓鱼域名，以做出含相关词汇的欺骗性连接。无限供应的域名代表每域名不需长时间线上，当标记后会被封锁，但其他域名会迅速补上。

手机用户脆弱性远高于计算机，因小屏幕会使警告信号不明显，用户很容易点击短信超连接。Zimperium强调，攻击者结合社交工程和移动设备漏洞，用SMS/MMS渠道，利用短信通信的固有信任来传递恶意内容。

PDF危险在于，超连接嵌入文件，有时甚至是QR码，检测更困难。VIPRE最新电子信件威胁报告，PDF现在占所有恶意附件四分之三，攻击者偏爱它们，因普遍认为是合法的商业文件。无论以信件或短信附件发送的不明PDF，看到后都应立即删除。

（首图来源：Freepik）