---

一、头脑风暴：三桩扣人心弦的安全事件

案例 1：ConsentFix——“一键复制，换来全局账户”。
2025 年底，安全厂商 Push Security 披露了名为 ConsentFix 的新型 OAuth 令牌劫持手法。攻击者利用受害者在浏览器内输入的业务邮箱，诱导其复制一段看似普通的 URL：该 URL 包含 Azure CLI 的 OAuth 授权码，一旦粘贴并提交，攻击者即可在 Azure AD 中取得受害者完整的登录权限，甚至在受害者已经保持登录状态的情况下，根本不需要再次验证密码或 MFA。

案例 2：Hybrid 2FA 钓鱼套件——“双因素，单点失守”。
同年 12 月，安全记者 Shweta Sharma 报道了一个名为 Hybrid 2FA 的钓鱼工具包。该工具将传统的验证码与一次性密码（OTP）结合，在受害者输入验证码后，后台悄悄注入伪造的 2FA 请求页面，骗取真实的 OTP。结果是，即便企业已经部署二因素认证，攻击者依旧能在不被察觉的情况下完成登录。

案例 3：伪装 Cloudflare CAPTCHA 的 ClickFix 变种——“假验证码，真陷阱”。
几个月前，安全媒体披露了新的 ClickFix 变体：攻击者在被劫持的合法站点上植入一个类似 Cloudflare 的验证码页面，要求用户输入业务邮箱以“验证人类”。随后，页面弹出一个伪装的 Microsoft 登录框，诱导用户复制登录 URL。正如 Gartner 分析师 Avivah Litan 所言，攻击者利用 “第一方应用的隐式信任”，绕过了大多数端点防护。

这三起案例的共同点是：“人”是链路中最薄弱的一环。不管技术多么先进，只要用户的安全意识出现裂痕，攻击者总能找到突破口。下面，我们将逐案拆解，找出防御的根本路径。

---

二、案例深度剖析与教训提炼

1. ConsentFix：OAuth 令牌的“双刃剑”

• 攻击路径：
  ① 受害者通过搜索引擎访问被植入恶意代码的正规站点 →
  ② 页面弹出 Cloudflare 样式的验证码，要求输入企业邮箱 →
  ③ 系统跳转至 Microsoft 登录页面，URL 中携带 code= 参数（OAuth 授权码） →
  ④ 受害者被要求复制此 URL 粘贴至弹窗以“验证” →
  ⑤ 攻击者截获该 URL，使用 Azure CLI 执行 az login --use-device-code 完成登录。

• 核心漏洞：

  1. OAuth 授权码泄漏：授权码本质上是一次性的访问凭证，若被捕获即可直接换取访问令牌。
  2. 缺乏交互式确认：浏览器端未对复制粘贴的 URL 进行安全校验，导致恶意 URL 直接被使用。
  3. 第一方应用缺乏防护：Azure CLI 属于 Microsoft 官方工具，传统的第三方 SaaS 防护策略难以生效。

• 防御建议：

  • 最小权限原则：对 Azure AD 中的 OAuth Scope 进行细粒度审计，禁用不必要的 legacy scopes（如 User.Read.All）。
  • 动态令牌绑定：使用 PKCE（Proof Key for Code Exchange） 流程，使授权码只能在同一会话内使用。
  • 浏览器安全插件：部署基于行为分析的扩展，实时拦截异常的 URL 复制/粘贴操作。
  • 安全培训：让员工了解 “复制粘贴” 绝非安全验证手段，任何涉及 令牌、钥匙 等敏感信息的操作必须在官方平台完成。

2. Hybrid 2FA 钓鱼套件：双因素的单点失守

• 攻击路径：
  ① 攻击者发送钓鱼邮件，链接指向伪造的登录页面。
  ② 页面先要求用户输入用户名/密码（传统 Phishing），随后弹出伪造的 2FA 界面。
  ③ 受害者输入真实的一次性密码，页面在后台使用 “中间人” 将 OTP 同时发送给攻击者。
  ④ 攻击者利用已获 OTP 完成登录。

• 核心漏洞：

  1. OTP 传输未加密：部分实施 OTP 的系统仍使用明文或弱加密的传输渠道。
  2. 人机交互缺失检测：系统未检测到同一 OTP 被 两次 使用的异常。
  3. 安全意识薄弱：员工未能辨别真实 2FA 界面与伪造页面的细微差别（如 URL、证书信息）。

• 防御建议：

  • 采用基于硬件的认证（如 FIDO2 Passkey），彻底消除 OTP 这类可复制的因素。
  • OTP 一次性校验：在后台记录 OTP 使用次数，一旦检测到重复使用即触发警报。
  • 统一登录门户：所有内部系统均通过公司统一的 SSO 入口访问，外部链接不直接暴露登录入口。
  • 情景式培训：通过模拟钓鱼演练，让员工在真实环境中体会 “验证码被盗” 的危害。

3. ClickFix 伪装 CAPTCHA：人类验证的陷阱

• 攻击路径：
  ① 受害者访问受污染的正规站点 →
  ② 页面弹出 “请输入业务邮箱验证人类”。
  ③ 完成后，系统弹出仿真 Microsoft 登录框，要求复制 URL。
  ④ 攻击者截获 URL，利用 Azure CLI 登录。

• 核心漏洞：

  1. 验证码设计缺乏唯一性：攻击者复制 Cloudflare 的 UI 样式，导致用户难以辨认真伪。
  2. 缺少跨域验证：浏览器对跨域表单提交未进行严密审计。
  3. 对“第一方”信任过度：用户默认信任站点内嵌的验证码、登录框，忽视了 “来源校验”。



• 防御建议：

  • 验证码统一化：公司内部所有对外网站统一使用 自研或经过第三方安全审计的验证码，并在页面上明确标注版本号。
  • 强制 Referrer 检查：后台对所有登录请求进行 Referrer 校验，非官方域名的请求直接拒绝。
  • 安全感知浏览：推广使用 安全浏览插件，自动识别伪装的 Cloudflare UI。
  • 培训点名：让员工记住 “任何要求复制粘贴 URL 的验证手段都是陷阱”，形成“不粘贴”的行为习惯。

---

三、机器人化·具身智能化·智能体化——新技术的双刃剑

1. 机器人化的隐患

随着 协作机器人（cobot） 与 生产线自动化 的广泛部署，机器人系统也开始接入企业内部网络。若机器人操作系统（ROS）未做好安全加固，攻击者可以利用 未授权的 ROS 节点 进行横向移动，甚至将 恶意指令注入 产线控制流程，导致 “物理世界的攻击”（例如：停机、设备损毁）。

古语有云：“防微杜渐。” 对机器人系统的安全审计，必须从 固件版本、网络拓扑、权限分配 细致入手。

2. 具身智能化的威胁

具身智能（Embodied AI）让机器拥有感知、决策与行动的完整闭环。智能摄像头、声学传感器等设备通过 云端模型 实时分析数据。一旦 模型供给链 被污染（如 对抗样本注入），设备可能误判正常行为为异常，触发 自动化响应（如锁门、断电），造成业务中断。

《庄子·逍遥游》 讲：“吾之于天地也无所不足。” 若智能体的“天地”是被篡改的模型，后果不堪设想。

3. 智能体化的挑战

在 多智能体系统（MAS）中，各智能体通过 消息总线 进行协同。例如，企业内部的 AI 助手、自动化脚本、聊天机器人 均可能共享身份凭证。若攻击者劫持其中一个智能体的身份，便能 横跨多个业务域，实现 “身份链式泄露”。

“链路安全” 不应仅关注单点，更要审视 跨智能体的信任链。这与传统的 “零信任” 思想相呼应，即 “不信任任何默认的内部流量”。

---

四、信息安全意识培训——从“防御”到“自救”

1. 培训的核心目标

1. 认知提升：让每位员工都能在 30 秒内识别 伪装验证码、异常 URL、不合理的复制粘贴请求。
2. 技能强化：掌握 多因素认证的正确使用、安全浏览插件的配置、报告可疑事件的标准流程。
3. 行为固化：通过 情景演练、微课推送，形成 “看到验证码先核对来源、看到复制粘贴先三思” 的习惯。

2. 培训形式与内容安排

时间	主题	形式	关键要点
第一期（周一）	攻击案例复盘	线下研讨 + 案例视频	ConsentFix、Hybrid 2FA、ClickFix 的全链路剖析
第二期（周三）	机器人与智能体安全	在线直播 + 实操演练	ROS 安全基线、AI 模型供给链检测、零信任微隔离
第三期（周五）	防护工具实战	小组实验	浏览器安全插件、密码管理器、 MFA 设备配置
复训（次月）	全员演练	红蓝对抗演练	钓鱼邮件模拟、恶意脚本检测、应急响应流程

“授人以鱼不如授人以渔。” 我们的目标不是让员工记住 一套规则，而是让他们具备 自我审视 与 快速响应 的能力。

3. 培训的激励与考核

• 积分系统：完成每节微课即可获得积分，累计到一定分数可换取 公司内部礼品（如无线耳机、智能手表）。
• 红队挑战赛：每季度组织 “黑客大闯关”，最高分的团队将获得 “安全先锋” 证书并在全员会议上表彰。
• 安全星评选：每月评选 “安全星”，对在日常工作中主动发现并上报风险的个人进行 额外奖励（奖金+培训机会）。

“千里之行，始于足下。” 只要每位同事在日常点滴中坚持安全原则，企业的整体防御能力将呈指数级提升。

---

五、结语：从“防火墙”到“防火星”

在传统的网络防御模型里，我们往往把 防火墙 当作最后的防线。但在机器人化、具身智能化、智能体化交织的当下，攻击面已从边缘渗透到每一台机器人、每一个 AI 助手，甚至每一次键盘的敲击。只有把 “安全” 融入到每一次思考、每一次操作、每一次学习中，才能真正做到 “未雨绸缪，防微杜渐”。

让我们在即将开启的 信息安全意识培训 中，携手共建 “安全星球”——让每位职工都是 信息安全的守护者，让每一段代码、每一台机器人、每一个智能体都在 可信的轨道 上运行。从今天起，别让黑客偷走你的 OAuth 令牌，也别让它偷走你的安全信任。

让我们一起行动，点燃安全的星火！

昆明亭长朗然科技有限公司提供全面的安全文化建设方案，从企业层面到个人员工，帮助他们形成一种持续关注信息安全的习惯。我们的服务旨在培养组织内部一致而有效的安全意识。有此类需求的客户，请与我们联系。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

“防微杜渐，未雨绸缪。”
在信息化、数字化、智能化浪潮汹涌的今天，“安全”不再是 IT 部门的专属话题，而是每一位职工的必修课。下面让我们先打开思维的闸门，来一次头脑风暴——从真实的四大安全事件中抽丝剥茧，看到“看不见的危机”，再携手迈向即将开启的 信息安全意识培训，把潜在风险转化为个人竞争力。

---

一、头脑风暴：四个典型且深刻的安全事件案例

编号	案例名称	关键技术/环节	影响范围	为何值得深思
1	Salesforce + Gainsight 供应链攻击（2025‑11）	第三方 OAuth Token、AppExchange 连接器	超过 200 家 Salesforce 客户	供应链中的“隐形门”，一次 OAuth 泄露即可撬动上万企业数据。
2	Salesloft Drift OAuth 泄露（2025‑08）	OAuth 凭证被盗、批量导出 CRM 数据	多家美国 SaaS 企业	再次印证“凭证就是钥匙”，一次失误让黑客翻箱倒柜。
3	华硕 DSL 系列路由器身份验证绕过漏洞（2025‑11）	本地管理界面缺陷、默认凭证、固件升级不足	全球数十万家庭与企业网络	设备端的“后门”，让攻击者从网络边缘直接进入内部。
4	Google 否认使用 Gmail 内容训练 AI 模型（2025‑11）	数据使用合规、隐私保护争议	全球数十亿 Gmail 用户	当 “AI 与隐私” 成为舆论焦点，合规与透明成为企业生死线。

下面，让我们逐案剖析，找出其中的共性与警示。

---

二、案例深度剖析

案例 1：Salesforce + Gainsight 供应链攻击

背景概述
2025 年 11 月 20 日，Salesforce 官方发布安全通报，称其平台上由第三方合作伙伴 Gainsight 提供的四款应用（Gainsight CS、Community、Northpass、Skilljar）出现异常活动。攻击者利用 OAuth 授权凭证，未经授权访问了多家 Salesforce 客户的业务数据。Google Threat Intelligence Group（GTIG）首席分析师 Austin Larsen 推断，受影响的客户数量可能超过 200 家。

技术要点

1. OAuth 令牌泄露：攻击者获取了 Gainsight 与 Salesforce 之间的 OAuth Access Token，凭此 Token 可以直接调用 Salesforce API，读取、写入甚至删除数据。
2. 供应链关联：Gainsight 作为 SaaS 供应商，客户自行在 AppExchange 安装其连接器。安装后，Gainsight 获得了客户 Salesforce 实例的“全权代理”。这意味着，一旦 Gainsight 账户被攻破，所有使用该连接器的客户等同于被“一键打开”。
3. 最小权限原则缺失：Gainsight 应用在授权时往往请求 “全局访问”（full‑access）权限，未对功能进行细粒度限制。

影响分析

• 数据泄露：包括客户联系人、商机、合同等核心业务信息。对企业而言，泄露后可能导致商业机密外流、竞争力下降。
• 合规风险：欧盟 GDPR、台湾个人资料保护法（PDPA）等对个人数据的跨境传输有严格要求，泄露可能导致巨额罚款。
• 业务中断：受影响的企业在发现异常后往往需要暂停与 Salesforce 的同步，导致业务流程停滞。

教训与启示

• 供应链安全不可忽视：在采购或集成第三方 SaaS 时，必须审查其安全认证、OAuth 范围、源码审计等。
• 最小授权原则：所有 API 授权应遵循最小化权限原则，只授予业务必需的权限。
• 动态监管：使用安全信息与事件管理（SIEM）或云安全平台（CSPM）实时监控第三方连接器的活动异常。

---

案例 2：Salesloft Drift OAuth 泄露

背景概述
三个月前的 2025 年 8 月，另一家 SaaS 平台 Drift（后被 Salesloft 收购）被曝 OAuth 凭证被盗，黑客利用泄露的凭证登录客户的 Salesforce 环境，批量导出用户信息、邮件沟通记录等。

技术要点

1. 凭证存储不当：Drift 开发者在内部系统中将 OAuth Refresh Token 以明文形式存放于日志文件，导致外部渗透者通过内部漏洞获取。
2. 自动化脚本：攻击者编写脚本，利用 Refresh Token 自动刷新 Access Token，持续保持对目标 Salesforce 实例的访问权。
3. 缺乏异常检测：目标企业未对大量导出数据行为设置阈值，导致泄露行为在数天内未被发现。

影响分析

• 大规模数据外泄：一次成功的 OAuth 泄露，即可一次性获取数千至数万条联系人记录。
• 声誉受损：受影响企业在公开渠道被指责“未做好数据防护”，客户信任度下降。
• 法律后果：若泄露的个人信息涉及敏感数据（如身份证号、金融信息），可能触发监管部门的调查。

教训与启示

• 凭证管理必须加密：所有 OAuth Refresh Token 必须采用硬件安全模块（HSM）或密钥管理服务（KMS）加密存储。
• 日志审计：日志中不应出现敏感凭证信息，且要对异常访问行为设置实时告警。
• 导出阈值：在 CRM 系统中对批量导出操作设定上限，并引入多因素确认（MFA）流程。

---

案例 3：华硕 DSL 系列路由器身份验证绕过漏洞

背景概述
2025 年 11 月，安全厂商披露华硕 DSL 系列路由器内部管理界面存在 CVE‑2025‑XXXXX，攻击者可通过特制请求绕过身份验证，直接获取路由器后台控制权。该漏洞影响全球数十万家庭及中小企业网络。

技术要点

1. 会话管理缺陷：路由器在处理 AJAX 请求时未对 Authorization 头进行有效校验，导致未登录状态也能访问管理 API。
2. 默认凭证未改：许多用户在首次部署后未修改默认用户名/密码（admin/admin），攻击者可轻易尝试登录。
3. 固件升级渠道受限：部分老旧型号不再提供官方固件更新，用户只能继续使用存在漏洞的固件。

影响分析

• 网络层渗透：攻击者获取路由器控制权后，可更改 DNS、设置端口转发，甚至植入后门进行持久化。
• 横向攻击：企业内部网络中，受侵路由器可成为攻击者的跳板，进一步入侵内部服务器、工作站。
• 服务中断：恶意配置可能导致网络瘫痪，业务系统无法正常对外提供服务。

教训与启示

• 设备安全也是信息安全：所有联网设备（IoT、路由器、摄像头）都应纳入资产管理清单，并定期检查固件版本。
• 强制更改默认凭证：在设备首次上线时即要求更改默认用户名/密码。
• 漏洞响应机制：建立供应商漏洞通报渠道，及时获取安全补丁并部署。

---

案例 4：Google 否认使用 Gmail 内容训练 AI 模型

背景概述
2025 年 11 月，Google 在全球媒体面前否认其在训练大型语言模型（LLM）时使用了 Gmail 邮件内容，引发公众对 “AI 与隐私” 的广泛讨论。虽然官方声明称已对训练数据进行脱敏处理，但舆论仍聚焦于企业对用户数据的使用透明度。

技术要点

1. 数据去标识化争议：即使对邮件正文进行脱敏，元数据（发件人、收件人、时间戳）仍可能泄露敏感关系网络。
2. 模型倒推风险：攻击者可以通过对已训练模型的查询，逆向推断出原始训练数据的片段（“模型泄露”）。
3. 合规监管缺口：不同地区对 AI 训练数据的监管标准不统一，导致跨境企业在合规上面临灰色地带。

影响分析

• 用户信任危机：一旦用户觉得自己的私密信息被用于未经授权的 AI 训练，可能对平台产生抵触情绪。
• 监管压力：欧盟正在酝酿《AI 监管条例》草案，对未经同意使用个人数据进行 AI 训练的行为将予以高额罚款。
• 业务竞争格局：信息安全与合规已成为 AI 公司的“护城河”，缺乏透明度的企业难以在企业级市场立足。

教训与启示

• 透明原则：企业在使用用户数据进行模型训练前，必须提供明确的知情同意（Informed Consent）机制。
• 数据最小化：仅使用对模型性能有实质提升的必要数据，避免大规模采集。
• 合规自查：建立跨部门的合规审查流程，确保 AI 项目符合当地法律法规。

---

三、信息安全的时代背景：数字化、智能化、互联化的“三位一体”

1. 数字化——业务跑道的高速列车

在过去十年里，企业的业务流程、客户互动、供应链管理几乎全部搬到了云端。CRM、ERP、HRM 等系统不再是本地部署的堡垒，而是 SaaS 平台的服务实例。“云即是网，网即是攻”——任何一个云服务的安全漏洞，都会在纵横交错的业务链路中放大。

2. 智能化——AI 为业务注入“自学习”基因

大模型（LLM）和生成式 AI 正在重塑客服、营销、研发等职能。AI 既是新武器，也是一把“双刃剑”：模型本身可能泄露训练数据，AI 生成的内容亦可能被用于钓鱼、社交工程。对员工而言，辨别 AI 生成信息的能力成为新必修课。

3. 互联化——万物互联的“攻击面”无限扩张

边缘计算、IoT、5G、工业控制系统（ICS）等让 每一台设备、每一个传感器 都可能成为攻击入口。“物联安全” 已经不再是 IT 部门的边缘，而是运营中的核心。

---

四、从案例中抽象出的四大安全根因

根因	具体表现	防护思路
凭证泄露	OAuth Token、API Key、服务账号密码被窃	使用密码保险库、凭证轮换、MFA、最小权限
供应链失控	第三方 SaaS、插件、组件未审计	供应链风险评估、合约安全条款、持续监控
设备漏洞	路由器、摄像头、打印机固件缺陷	资产清单、固件升级策略、网络隔离
数据滥用/透明度缺失	AI 训练、日志收集未获同意	数据最小化、隐私告知、合规审计

---

五、让信息安全从“口号”走向“行动”：培训计划概览

1. 培训目标

• 认知层：让每位员工了解 凭证、供应链、设备、数据 四大风险的本质与危害。
• 技能层：掌握 密码安全、钓鱼防御、云平台访问审批、设备固件管理 等实操技巧。
• 行为层：形成 “安全第一、合规先行” 的工作习惯，使安全成为日常流程的自然嵌入。

2. 培训对象与分层

角色	重点课程	预计时长
高层管理	信息安全治理、合规责任、商业连续性	2 小时（线上研讨）
技术研发	云安全架构、OAuth 细粒度授权、代码安全审计	4 小时（实验室 + 案例研讨）
运维/IT 支撑	资产管理、补丁管理、日志监控、应急响应	3 小时（实操演练）
全体职工	钓鱼邮件识别、密码强度检查、移动设备安全	1.5 小时（微课 + 测验）

3. 培训形式

• 线上微课 + 实时直播：灵活兼容远程与现场工作模式。
• 情景仿真：基于上述四大案例，构建 “渗透演练” 场景，让学员在受控环境中亲自操作防御。
• 互动测评：每章节结束后设立即时测验，合格率>90% 方可进入下一环节。
• 后续跟踪：培训完成后，系统自动生成个人安全评分，季度复盘报告并提供针对性提升建议。

4. 激励机制

• 学习积分：完成每门课程即获积分，可兑换公司内部福利（礼品卡、培训券）。
• 安全之星：每月评选“最佳防御案例”分享者，颁发证书并在全公司公告栏亮相。
• 晋升加分：信息安全意识评级将作为绩效考评的重要因子之一。

---

六、实战指南：职工日常防御的十项“黄金法则”

“防御不是一次性的操作，而是一条持续的路线。”

1. 凭证管理：所有 SaaS 应用的 API Key、OAuth Token 必须存放在公司批准的密码保险库（如 1Password、LastPass Enterprise），且每 90 天轮换一次。
2. 最小权限：在申请任何第三方连接器时，只勾选业务必需的权限（如仅“读取联系人”，不授予“写入”）。
3. 多因素认证：对所有云平台、关键内部系统启用 MFA，尤其是管理员账号。
4. 钓鱼防御：每天抽取一封疑似钓鱼邮件进行演练，学会检查发件人地址、链接真实域名、异常附件。
5. 设备固件：每月检查公司 LAN、WAN 设备固件版本，未得到官方安全补丁的设备立即隔离并上报。
6. 数据脱敏：在导出或共享内部数据时，使用脱敏工具去除个人敏感信息（如身份证号、金融账号）。
7. 日志审计：开启 Syslog、CloudTrail、Snowflake 等日志，设置异常导出阈值告警（如单日导出超过 5 GB）。
8. 合规知情：每次使用个人数据进行模型训练或外部共享前，必须取得明确的书面同意。
9. 应急演练：每季度组织一次内部“红队 vs 蓝队”演练，检验从发现、隔离、恢复到事后报告的全链路响应。
10. 安全文化：在内部沟通平台设立“安全答疑”频道，鼓励员工随时提问、分享安全经验，让安全成为公共话题。

---

七、结语：让每一次点击都有价值

信息安全不只是 “防止泄密”，更是 “保护业务竞争力、守护客户信任” 的根本。回顾四大案例，我们看到 “凭证失守”“供应链失控”“设备漏洞”“数据透明缺失” 四大警钟已经敲响。只有把这些警钟变成每日的 “安全习惯”，才能真正构筑起 “技术防线 + 人员防线” 的双层护盾。

让我们共同期待并参与即将开启的“信息安全意识培训”。 在这里，你将：

• 掌握 “如何安全使用 OAuth、如何审计第三方连接器、如何快速响应设备渗透” 等关键技能；
• 通过 情景仿真 亲身体验攻击者的思路，提前预判风险；
• 与同事一起 分享防御经验，让安全成为团队合作的共同语言。

安全不是某个人的任务，而是每个人的使命。 当每位职工都能在自己的岗位上做到“防微杜渐”，整个组织的安全韧性就会随之提升，企业的数字化转型也将在坚固的基石上稳步前行。

让我们从今天起，立下 “不让凭证随意流转、不让设备成为后门、不让数据泄露无痕、不让AI 失去透明” 的决心，携手走向 “安全、合规、创新共舞”的新纪元！

“未雨绸缪，方能安然。”——让信息安全从“脑洞”落地为行动，从“案例”转化为能力，从“培训”走向“日常”。

信息安全意识培训，期待与你共学共进！

昆明亭长朗然科技有限公司的服务范围涵盖数据保护、风险评估及安全策略实施等领域。通过高效的工具和流程，我们帮助客户识别潜在威胁并加以有效管理。欢迎您的关注，并与我们探讨合作机会。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898