举报网络钓鱼攻击：从举报到关闭

找到钓鱼网站的托管商或注册商（参见谁真正能够采取行动和如何找到其 abuse@ 地址）只是走完了一半的路。还需要写出一份能被人在几分钟内处理的举报，了解发送后会发生什么，并持续跟进直到网站真正消失。本指南涵盖这三点：正确举报、了解预期、坚持到关闭为止。

一份可操作举报的构成

滥用举报由一个人处理，往往同一天还要处理数十份其他举报。举报中一开始包含的可验证要素越多，就越快被排到前面处理。以下七项信息几乎总会出现：

• 准确的 URL，即钓鱼页面的地址，而不仅仅是域名：同一个地址可能承载数十个不同的页面。
• 涉及的域名，用于联系注册商。
• 服务器的IP 地址，用于联系托管商（参见如何一路追踪到 abuse@ 地址）。
• 如果媒介是电子邮件，则需要完整的邮件头：真正的痕迹在这里，而不在显示的发件人上。
• 发现的日期和时间，使用 UTC 或注明时区，以避免从另一个国家收到举报的人产生任何歧义。
• 页面的截图，如果页面在有人核实之前就消失了，这将很有用。
• 攻击的事实性描述：模仿的是什么，向受害者索取了什么（凭证、银行卡……），不含推测或指控。

最常见的陷阱是过于笼统的报告："这个网站是钓鱼网站，请采取行动"。没有确切的 URL 和时间戳，收到消息的人首先必须去查找举报人本应已经掌握的信息，这会拖延一切，或者如果被认为过于不精确而无法核实，举报可能会被搁置。

这正是 Baitback 所准备的：从一封邮件或一个链接出发，工具自动收集这七项要素，并撰写好可直接发送、寄给正确收件人的消息。

发送 abuse@ 举报后会发生什么？

一份构建良好的举报很少会石沉大海。在大多数托管商那里，它遵循一条相当相似的路径，尽管结果并不总是相同。

托管商几乎从不仅凭一份举报就关闭服务器：它会先核实证据，然后确定哪个客户与此相关（托管商是把机器租给第三方，几乎从来不是网站的作者）。下架或暂停的要求首先会发给这个客户，并附带回复期限。如果客户不回应或不配合，托管商可以根据自己的使用条款自行关闭。

误报确实存在：被错误分类的合法网站、测试页面、被误认为威胁的安全工具。这就是为什么核实要在任何行动之前进行，也是为什么带有可靠证据（图 1）的举报比单纯的怀疑处理得更快。

有些举报比其他的耗时更长：一个实际上只是转销商的托管商必须将请求转发给真正的运营商；周五晚上开启的工单要等到下一个工作日；位于遥远时区的托管商会有相应的延迟才能回复。这些都不意味着举报丢失了：几天后重新查看该 URL，如果超过公布的期限后工单仍未得到回复，就礼貌地再次跟进。

从举报到关闭：长期追踪一个基础设施

单独一次举报有时只是其中一步。网络钓鱼基础设施可以通过转移来在首次关闭后存活下来：新的 IP 地址、新的域名、新的托管商。因此工作并不会在发送举报的那一刻结束。

方法在每个阶段都保持一致：确定域名，确定服务器的 IP 地址，确定管理它的运营商（参见注册商、托管商和 CDN 之间谁控制什么以及IP → WHOIS/RDAP → ASN → abuse@ 这条链条），然后向每一方举报与其相关的内容。

如果网站仍然处于活跃状态该怎么办？

几天没有变化并不意味着举报失败：应该跟进已存在的工单并注明其编号，而不是重新开一个新的。如果沉默持续超出合理期限，官方平台（例如法国的 PHAROS）或国家级 CERT 仍是一个补充途径。

如果域名更换了 IP 地址该怎么办？

一个突然指向新 IP 的域名很可能更换了托管商，无论是有意为之（为躲避举报）还是无意的。整条识别链条需要针对这个新 IP 重新走一遍：新的 WHOIS、新的运营商、新的 abuse@ 地址。而域名本身往往仍是更稳定的目标：即使服务器已经更换，向注册商举报依然有其价值。

如果出现新域名该怎么办？

活跃的活动经常在新域名下重复使用同一个页面模板，有时甚至是同一个托管商。识别出"家族特征"（相同的排版、相同的服务器、相同的 URL 结构）可以提前预判后续走向，而不是每次遇到新变体都从零开始。

Baitback 负责处理这每一个步骤：它准备一份完整且可操作的举报，寄给正确的一方，让用户唯一要做的只是点击发送。

延伸阅读：注册商、托管商、CDN：谁真正能够采取行动，寻找托管商的 abuse@ 地址，或从消息到基础设施分析一次网络钓鱼。