解剖2026年3起真实网络攻击

网络犯罪分子已经不再花几个小时去猜测复杂的密码。构建一个可信的情境，让受害者自己打开大门，要容易得多。仅在2026年9月，三起有充分记录的案例就展示了这类骗局如今被打磨得多么精细。以下是它们的逐步剖析，以及每一起攻击终究留下的痕迹。

案例一：安装间谍的求职邀约

剧本几乎老套：一条LinkedIn消息或邮件提供一个量身定制、薪酬优厚的职位。要“进入下一步”，只需打开随附的职位说明，或做一个小小的技术测试。这类活动已被多家安全公司记录，并与有组织团伙有关联（其中包括一次被称为Contagious Interview的行动，根据今年夏天公布的分析，受影响设备超过3万台），尤其针对开发者和科技从业者。

文件一旦被打开会发生什么：

• 可信的场景：消息来自被盗账号，或域名与真实公司几乎一模一样，从而绕过常规过滤器。
• 攻不破的容器：职位说明以密码保护的ZIP压缩包或.ISO镜像文件形式发送。没有密码，邮件的杀毒软件无法检查里面的内容，只能放行。
• 看不见的触发器：压缩包内有一个文件，名字类似职位说明.pdf。它其实不是PDF，而是一个隐藏了不可见命令的Windows快捷方式（.LNK）。
• 无需密码的钥匙窃取：快捷方式一旦被打开，一个不起眼的程序就会复制浏览器中已保存的会话Cookie。攻击者随后可以登录Slack、Gmail或社交媒体，完全不需要受害者的密码，也不需要双重验证（MFA）代码。

留下的痕迹：锁住的压缩包骗过的是杀毒软件，而不是服务器。这条消息依然经过了可识别的发件人和发送服务器，正如指南《网络钓鱼：诈骗者如何让邮件送达》所描述的那样。被盗的Cookie给予的是临时访问权限，而非永久访问权限：一旦骗局被发现，远程终止会话并更改密码依然有效。

案例二：假冒的“Claude Max”赠送活动，窗口中的窗口

2026年9月中旬，一个页面开始流传，声称Claude的开发商Anthropic为庆祝用户突破1亿，正在赠送1万份免费的Claude Max订阅。页面不要求任何银行卡信息，只需要用Google账号登录。就在本指南撰写前几天，包括Malwarebytes在内的多名安全研究人员已经记录了这一骗局。

制作十分精细的运作机制：

• 虚假的安全感：网站照搬了真实的标志和配色，附上虚假的五星评价，页脚链接几乎全部指向真正的Anthropic页面。不要求银行卡信息，反而让受害者放松警惕。
• 预先设定的虚假紧迫感：一个计数器显示剩余名额不断减少。这其实只是浏览器里运行的一个简单脚本：每次刷新页面都会回到同一个数字，并没有统计任何真实数据。
• 被绘制出来而非真正打开的窗口（“浏览器中的浏览器”）：点击“使用Google登录”并不会打开真正的系统窗口。页面本身就在屏幕上画出一个假窗口，还配有显示accounts.google.com的假地址栏和一个安全锁图标。
• 拦截：在这个窗口里输入的凭据会直接发往攻击者的服务器，攻击者由此获得Google账户，往往还连带获得Gmail、文档，以及任何通过Google登录关联的服务，包括其他AI账户。

检查可疑登录窗口最简单的办法：试着用鼠标把它拖到浏览器外面。真正的系统窗口能顺利拖出；仅由页面绘制的窗口则会卡在里面出不去。

无论是窃取会话Cookie（案例一），还是在假窗口背后拦截密码（案例二），瞄准的都是同一个目标：绕过登录环节，而不是破解它。指南《AiTM：当网络钓鱼窃取的不只是密码，还有你的会话》详细介绍了另一种非常相近的变种手法，能够实时绕过双重验证。

案例三：Revolut，数据泄露如何变成量身定制的诈骗

2026年9月12日，在线银行Revolut确认已将部分客户数据披露给未经授权的第三方。系统本身并未被入侵：攻击者只是从一个属于真实政府机构域名的邮箱地址（似乎已被攻陷或伪造）发送了一份虚假的官方信息请求。Revolut团队相信自己是在回应一份合法请求，于是交出了包含姓名、出生日期、地址、电话号码，有时还有身份证件副本的客户档案。

几天后，受影响的客户收到了措辞极其精准的短信，提示他们账户上出现了可疑操作：

• 设好圈套的短信（短信钓鱼）：手握真实被盗数据的攻击者发送个性化消息。有些短信甚至直接出现在受害者手机上与Revolut真实短信相同的对话串里，使其更加可信。
• 假冒的客服（电话钓鱼）：有时随后会有一通冒充反欺诈部门的电话。由于对方已经知道受害者的姓名和最近的交易记录，信任感很快建立起来。接着对方可能会以“取消一笔欺诈转账”为借口，要求确认一条推送通知，或读出通过短信收到的验证码。
• 反转：实际上，确认这个验证码或通知，恰恰是当场授权将受害者自己的资金转到攻击者控制的账户。

Revolut已说明，此次泄露并未直接波及其系统和客户资金，公司也从不会通过短信或电话索要登录验证码。而这恰恰是电话钓鱼活动想在紧张时刻让受害者忘记的一点。

关于此事已公开记录的三个来源：TechCrunch报道的Revolut泄露事件确认、Malwarebytes对钓鱼短信的分析，以及Infosecurity Magazine对短信钓鱼浪潮的跟踪报道。

留下的痕迹：通过滥用行政信任窃取的数据，终究还是被窃取的数据：它可以在数月内不断被用来炮制针对性消息。请求来自真实域名，从不能保证发送者是诚实的——就像通过SPF和DKIM验证的邮件，依然可能出自诈骗者之手（参见《网络钓鱼：诈骗者如何让邮件送达》）。

这三起案件的共同点

三种截然不同的手法，却指向同一个目标：借用一个受害者无法一眼看穿的信任信号。

这三起攻击在技术上都没有“攻破”任何东西：每一起都是劫持了一个我们早已习惯视为安心信号的元素（放行的杀毒软件、看似官方的窗口、机构域名），从而获得了强密码本身已无法单独保护的东西。

如何识破这些陷阱并在实践中应对

面对外观几乎被完全伪造的攻击，仅凭肉眼判断已经不够：

• 查看真实来源，而非表面显示：屏幕上显示的发件人名称或域名很容易被伪装。把完整邮件粘贴到Baitback中，除了SPF、DKIM和DMARC检查外，还能找出真正的发送服务器、其托管商以及滥用举报地址。
• 对点击后出现的登录窗口做拖拽测试（见图2）：如果它拒绝被拖出浏览器，那就不是真正的系统窗口。
• 先换一个渠道核实，再对意外来电或短信采取行动，即使对方自称“银行”或“人力资源部”：自己拨打官方号码回电，而不是通过收到的消息回应。
• 无论对方声称多么紧急，都不要读出验证码，也不要确认推送通知：单单这一个动作，就足以授权整笔操作。
• 即便事后，也要进行举报：这无法挽回已经发生的损失，但有助于切断仍在被用来攻击其他受害者的基础设施。指南《如何有效举报网络钓鱼，分步说明》详细介绍了具体做法。