TOAD：当网络钓鱼要你打电话

邮件里没有链接，也没有危险附件。只有一张账单：“您的订阅已续费：¥2,999.00。不是您本人操作？请致电我们的客服。”没有哪个过滤器会起疑，而这正是它的高明之处。这种手法叫作 TOAD，即 Telephone-Oriented Attack Delivery：通过电话实施的攻击。也有人称之为 callback phishing，回拨式钓鱼。

什么是 TOAD 攻击？

传统网络钓鱼想让我们点击。TOAD 想让我们打电话。邮件只是诱饵；真正的陷阱是随后那通电话，对面是一个训练有素的假客服。

这种手法在 2021 年因一场名为“BazarCall”的活动而出名：假的订阅账单诱使收件人拨打呼叫中心，对方让他们在以为“取消订阅”的同时安装了恶意软件。此后，各种变体层出不穷。

典型剧本：一张我们从没要过的账单

这类邮件看起来像订单确认或账单：杀毒软件订阅、软件、电脑维修服务、网购。它有三个要素：

• 一个让人坐不住的金额，高到足以让人担心；
• 一条退路：“不是您本人？请在 24 小时内取消”；
• 唯一的联系方式：一个电话号码。

电话那头，假客服和蔼可亲、让人安心。为了“取消”或“退款”，他会要求安装一个远程协助软件，然后打开网上银行。接下来的套路很经典：“退款”因为失误多退了很多，需要通过转账“还回去”；或者在操作过程中悄悄装上了间谍软件。

为什么没有链接会让检测变难

邮件过滤器会访问链接、分析网页、检查附件。在 TOAD 邮件里，没有任何东西可以访问。文字平平无奇，语气像商业信函，而对机器人来说，电话号码只是一串数字。为了增加难度，骗子还常把账单放进图片或 PDF，用空格或不常见的字符来写号码，每一波都换号码。

有时，邮件甚至是由真正的在线开票服务发出的：骗子注册一个账户，开一张假账单，把自己的号码塞进“备注”栏。邮件从该服务自己的服务器发出，能通过所有身份验证检查，指南即使检查显示“通过”，邮件也可能在说谎对此有详细解释。

电话号码：核心所在

在 TOAD 中，号码扮演的角色相当于传统钓鱼中的链接。通往陷阱的是它，所以要检查的也是它。几个线索：

• 往往是一个普通的固定电话号码，或在网上获取的号码，可以在世界任何地方响铃；
• 它在被提及公司的官方网站上找不到；
• 它经常更换：一场活动就可能用上几十个号码。

如何核实号码和被冒充的公司

黄金法则：永远不要用消息里给出的号码来核实这条消息。这就好比让嫌疑人自己证明自己的不在场证明。

1. 从源头核实。自己输入该公司官网的地址，或打开它的 App，看看自己的账户里是否真的有这笔订阅或订单。
2. 在网上搜索这个号码。往往已经有人举报过。注意：搜不到结果并不能证明什么，号码可能是全新的。
3. 与该公司的官方联系方式比对，而这些联系方式要自己去找。
4. 牢记一个简单原则：没有哪个真正的客服会为了取消订阅让你安装远程控制软件，也不会为了给你退款让你先转账。

要核实邮件的其他部分（真实发件人、发件服务器），指南网络钓鱼：诈骗者如何让邮件成功送达告诉你该看哪里。

没有欺诈网站时，可以举报什么？

没有网站，不等于没有可举报的东西。仍有三个有用的目标：

• 发出这封邮件的服务器。TOAD 邮件终究是一封邮件，由属于某人的机器发出。把它的完整源代码粘贴到 Baitback：工具会找出发件服务器、其托管商和举报地址，并准备好可直接发送的举报邮件。如果邮件来自被滥用的真实开票服务，就向该服务举报这个欺诈账户：它可以将其关闭。
• 电话号码。例如在法国，33700 服务受理垃圾短信和骚扰电话的举报，官方举报平台（PHAROS）也受理诈骗。每个国家都有相应的机构，也可以向电信运营商举报。
• 被冒充的公司。大多数大品牌都有专门接收以其名义实施欺诈的举报地址。它们可以提醒客户，并采取法律行动。

常规举报的局限

坦白说：TOAD 比假网站更难阻止。一个域名可以在几小时内被注册商暂停；而一个在网上获取的电话号码，有时还在国外，几分钟就能换掉，而且也没有像服务器那样简单的“abuse 地址名录”。发件服务器依然是最容易切断的一环，所以始终值得举报。而每一个被举报的号码，哪怕只是一次，都会充实数据库，帮助运营商和来电拦截应用显示“疑似诈骗”。

如果已经打过电话

如果通话已经发生：挂断电话，断开电脑网络，卸载远程控制软件，拨打银行的官方号码，并在另一台设备上修改密码。在法国，Cybermalveillance.gouv.fr 平台会一步步协助受害者；大多数国家都有类似的援助渠道，也应及时报警。