重點整理
- 常用範例網址 third-party.com 遭駭客註冊，散佈惡意木馬。
- ClickFix 攻擊會誘騙用戶複製惡意指令，傳統靜態掃描抓不到。
- 企業應改用 IANA 官方保留的 example.com 等網址來撰寫文件。
你在看公司的技術文件，或是測試新上線的 AI 工具時，有沒有注意到裡面提供的「範例網址」？最近資安圈發現一個大漏洞：許多開發者愛用的範例網址，竟然被駭客註冊，變成散佈木馬的陷阱！這不僅影響工程師，若公司內部文件引用了這些網址，或是員工在測試時不小心點入，都可能讓公司電腦中招。
當「範例網址」變成真實陷阱
在寫程式或文件時，我們常需要一個假網址來當範例，這叫做「佔位符」（Placeholder，用來代替真實網址的假網址）。大家最熟悉的是 example.com，但很多開發者喜歡用 third-party.com。問題是，example.com 是國際網路標準組織（IANA）官方保留的，誰都不能註冊；但 third-party.com 沒有被保留，結果就被駭客買走了。
現在，這個網址會針對 Windows 用戶發動「ClickFix」攻擊。這是一種社交工程手法，網頁會跳出假的驗證提示，並偷偷把惡意指令複製到你的剪貼簿，誘騙你在系統執行視窗貼上並執行，從而安裝木馬。如果是 Mac 用戶，它則會顯示「不支援 Mac」的假訊息來掩人耳目。
上千個專案踩雷，傳統掃描抓不到
資安公司 Manifold Security 發現，GitHub 上有超過 1,700 個公開專案（包含許多 AI 工具的文件，如 AI agent skills 和 MCP-server docs）都引用了這個網址作為範例端點。這意味著，當企業在導入或測試這些 AI 工具時，如果直接複製文件上的網址，就可能無意間連線到駭客的伺服器。
更可怕的是，駭客還註冊了另外 13 個類似的佔位符網域，像是 yoursite.com、your-domain.com 等，用來散佈假防毒軟體或假新聞詐騙。資安專家強調，一般的「靜態掃描」（只檢查程式碼檔案內容，不實際連線的檢查方式）根本抓不到這些問題。因為這些網站會根據你的作業系統和瀏覽器，在「連線的當下」才動態送出惡意內容。你以為檔案很安全，但實際連線時卻已經中招了。
企業該如何自保？改用官方保留網址
要避免踩雷，最簡單的方法就是「改用官方保留網址」。請公司的開發團隊或寫文件的同仁，以後在撰寫文件、測試案例或 AI 工具設定時，一律使用 example.com、example.org 或 example.net。千萬不要自己隨便編一個「看起來很真」的網址（例如 mycompany.com 或 your-api.com），因為這些沒有被官方保留的網址，隨時可能被別人註冊並用來做壞事。
崴米的建議
面對層出不窮的資安威脅，企業除了寫好程式，更需要建立完善的防護與監控機制。以下是我們給您的具體建議：
- 盤點內部文件與測試環境：請 IT 或開發團隊檢查公司內部的技術文件、API 串接範例，把非官方的範例網址替換成
example.com，從源頭阻斷風險。 - 建立網站與主機的日常監控：除了程式碼安全，網站上線後的日常巡檢同樣重要。建議交給專業的團隊進行網站代管維護與主機監看，定期檢查主機狀態與異常連線，讓網站上線後有人顧，第一時間發現並阻擋潛在威脅。
- 謹慎評估第三方工具與外掛：若公司有使用 AI 工具或第三方服務，請確保它們引用的外部連結都是安全且可控的，避免無意間成為駭客的跳板。
參考來源：Placeholder third-party[.]com Referenced Across 1,700+ Repositories Now Serves Malicious Content
