闲鱼扫码诈骗：阿里系产品信任链被利用，通义千问CDN成钓鱼壳

http://t.cn/AXa0adTs

一名用户在闲鱼购买Switch 2时，扫描卖家提供的商品分享二维码，经淘宝短链、支付宝路由，最终在支付宝内置浏览器中打开一个托管在通义千问CDN上的高仿闲鱼页面。由于全程域名均属阿里系，支付宝未弹出外部链接提醒，用户支付2300元后发现被骗。

该手法利用阿里内部域名白名单和“自己人免检”信任机制，将钓鱼页面隐藏在千问CDN下，绕过安全拦截。湖南警方已部分破获此案，诈骗服务器关停，据报受害者近千人，但钓鱼页面仍可通过千问CDN缓存访问。