全球网络钓鱼动态简报（2025年7月）

英国税务账户遭黑客攻击

数千人受影响，损失约4700万欧元

英国税务海关总署(HMRC)证实，约13,000个自我评估税务账户遭到黑客攻击，部分用户的个人和财务信息可能已被泄露。HMRC表示，攻击者使用从其他网站数据泄露中获取的用户名和密码组合进行“凭证填充”攻击。网络安全专家指出，这起事件凸显了密码重用的危险性，以及实施多因素认证的必要性。HMRC已暂时关闭受影响账户，并正在联系所有受影响用户。

这种网络钓鱼让美国反钓专家“非常愤怒”

一位美国反钓专家警告公众注意一种特别令人担忧的钓鱼诈骗。这种诈骗冒充美国邮政服务(USPS)，发送声称包裹无法投递的短信，并提供看似合法的链接让收件人“重新安排投递”。一旦点击，受害者会被引导至精心复制的USPS网站，要求提供个人和支付信息。该专家指出，这种诈骗特别危险，因为它利用了人们对错过重要包裹的焦虑，并且诈骗网站几乎与官方网站无法区分。

IT支持在语音钓鱼活动中被冒充

安全研究人员发现一场大规模语音钓鱼(vishing)活动正在冒充企业IT支持人员。攻击者通过电话联系目标，声称检测到其计算机存在安全问题或异常活动，需要远程访问进行修复。一旦获得访问权限，攻击者会安装恶意软件或窃取敏感信息。研究显示，这些攻击者通常掌握受害者的基本信息，如姓名和部门，使诈骗更具说服力。安全专家建议企业加强员工培训，并建立明确的IT支持联系和验证协议。

谷歌建议用户采用密钥(Passkeys)以应对新型钓鱼攻击

谷歌正在敦促用户采用密钥(Passkeys)技术，以应对一波新的复杂钓鱼攻击。这些攻击能够绕过传统的双因素认证(2FA)，包括一次性密码和推送通知。谷歌安全团队表示，密钥技术通过将认证与特定网站绑定，从根本上防止了凭证窃取。数据显示，采用密钥的账户遭受成功钓鱼攻击的可能性降低了99%以上。谷歌已开始在其服务中推广密钥作为默认登录方式，并鼓励其他平台效仿。

钓鱼活动利用虚假Booking.com电子邮件

安全研究人员发现一场大规模钓鱼活动正在利用伪造的Booking.com电子邮件针对全球旅行者。这些钓鱼邮件通常伪装成预订确认、取消通知或安全警报，包含精心设计的恶意链接。当用户点击这些链接时，会被引导至逼真的假冒Booking.com登录页面，旨在窃取账户凭证和支付信息。研究人员指出，这些攻击在旅游旺季特别活跃，利用了旅行者对预订状态变更的关注和紧急感。

武器化的SVG：针对金融机构的全球钓鱼活动内幕

IBM X-Force研究团队揭露了一场利用可缩放矢量图形(SVG)文件的复杂钓鱼活动，主要针对全球金融机构。攻击者在看似无害的SVG图像中嵌入恶意JavaScript代码，当受害者打开附件时触发攻击。这种技术特别危险，因为许多电子邮件安全解决方案无法有效检测SVG文件中的恶意代码。研究发现，该活动已针对15个国家的金融机构，成功率远高于传统钓鱼攻击。IBM建议组织实施特定的SVG文件过滤策略和高级沙箱分析。

新型钓鱼活动通过假冒CAPTCHA劫持剪贴板传递恶意软件

安全研究人员发现一种新型钓鱼技术，攻击者通过假冒的CAPTCHA验证码劫持用户剪贴板。当用户尝试“复制”显示的验证码时，实际上会将恶意PowerShell脚本复制到剪贴板。如果用户随后在命令行中粘贴，将触发恶意软件下载。这种攻击特别隐蔽，因为它依赖于用户的常见行为模式，而非传统的点击链接或打开附件。研究人员建议用户在粘贴任何内容到命令行或终端之前仔细检查，特别是从网页复制的内容。

SK电信黑客事件后AI在打击语音钓鱼的应用

韩国电信巨头SK电信在遭遇重大语音钓鱼攻击后，正在部署先进的AI系统来打击此类威胁。该公司开发的AI解决方案能够实时分析通话模式、声音特征和对话内容，识别可能的诈骗尝试。这一举措是对最近一起大规模攻击的回应，该攻击导致数千名客户受到冒充SK电信客服的诈骗电话。公司表示，新系统已成功拦截了95%的测试语音钓鱼尝试，远高于传统方法的60%检测率。

Token推出BioKey：企业级防钓鱼多因素认证的下一代生物识别安全密钥

网络安全公司Token推出了BioKey，一种创新的生物识别安全密钥，专为防御钓鱼攻击设计。这款设备结合了FIDO2标准和先进的指纹识别技术，为企业提供强大的多因素认证(MFA)解决方案。与传统安全密钥不同，BioKey无需PIN码，用户只需触摸即可完成身份验证，大大简化了用户体验。Token声称，这种方法不仅提高了安全性，还减少了认证摩擦，解决了企业在采用强MFA时面临的主要障碍。BioKey已通过FIDO联盟认证，并与所有主要云服务和身份提供商兼容。

微软365“Direct Send”功能被滥用用于钓鱼攻击

安全专家警告，微软365平台的“Direct Send”邮件发送功能正被网络犯罪分子滥用，用于大规模钓鱼攻击。攻击者利用该功能绕过部分安全网关和垃圾邮件过滤，将钓鱼邮件伪装成来自合法企业或内部系统，提升了诈骗的可信度。邮件内容通常诱导收件人点击恶意链接或输入敏感信息，如登录凭证、财务数据等。微软已发布安全通告，建议企业管理员限制Direct Send功能权限，加强邮件安全策略，并部署多层次的威胁检测和员工安全培训。此次事件提醒各组织，云办公环境下的邮件安全管理亟需升级，防止内部功能被黑客利用。

新型PayPal诈骗利用真实邮件迷惑用户

近日，美国多地用户报告遭遇新型PayPal钓鱼骗局。诈骗分子通过真实的PayPal邮件系统发送“付款请求”或“账户异常”通知，诱导用户点击链接并输入账号密码。与以往不同，此类邮件来源真实，内容高度仿真，甚至带有官方Logo和格式，极具迷惑性。部分用户因轻信邮件提示，导致账户被盗用或资金受损。PayPal官方提醒，用户遇到涉及账户安全或资金操作的邮件时，应直接登录官网核查，避免通过邮件中的链接操作。此次事件警示用户，面对“官方邮件”也需保持高度警惕。

谷歌揭露Salesforce钓鱼诈骗背后的黑客

谷歌威胁分析小组(TAG)成功识别并曝光了一起针对Salesforce用户的大规模钓鱼活动背后的黑客组织。该组织使用精心设计的假冒Salesforce登录页面，通过电子邮件和社交媒体定向攻击企业用户。谷歌分析显示，这些攻击者主要来自东欧，拥有复杂的基础设施和自动化工具，能够绕过传统的安全措施。据估计，该活动已影响数千名用户，窃取的凭证被用于商业电子邮件入侵(BEC)和数据窃取。谷歌已与Salesforce合作，实施额外保护措施并通知受影响用户。

供稿：北京中科易安科技有限公司（公共互联网反网络钓鱼成员单位）

编辑：芦笛（公共互联网反网络钓鱼工作组）