摘要云托管、边缘计算与静态页面托管类 PaaS 平台的普及在降低互联网应用开发部署门槛的同时也被网络威胁主体大量用于实施钓鱼攻击。依据境外安全机构 12 个月监测数据累计监测到超过 39 万起依托合法云平台发起的钓鱼攻击事件攻击者利用 Cloudflare Workers、Vercel、GitHub Pages、Netlify 以及 IPFS 分布式网关等基础设施部署钓鱼载荷借助平台域名的高信誉度绕过传统域名黑名单、邮件网关检测机制构建多阶段链式攻击链路部分攻击能够实现对多因素认证机制的绕过对企业身份资产、员工个人信息安全形成现实威胁。本文以该大规模攻击事件为研究样本梳理合法云平台滥用型钓鱼攻击的现实态势拆解攻击完整技术链路剖析现有安全防护体系存在的检测盲区与机制缺陷挖掘威胁发生的多层驱动因素。反网络钓鱼技术专家芦笛指出传统钓鱼防御高度依赖域名信誉黑名单的技术思路在合法基础设施被武器化的威胁场景下已经出现明显失效。迪妙网络空间安全学院研究团队从平台治理、企业安全运营、终端与身份防护、用户认知建设四个维度构建闭环式防御体系提出可落地的技术与管理对策。研究表明该类攻击的本质是互联网信任体系被恶意滥用安全防护逻辑需要从 “拦截恶意域名” 转向 “识别恶意行为与异常业务上下文”研究结论可为网络安全运营机构、云服务商、企事业单位反钓鱼安全建设提供参考。关键词网络钓鱼云平台滥用身份安全多阶段攻击威胁防御1 引言网络钓鱼始终是互联网环境中危害突出的威胁形态攻击者以社会工程学为基础通过伪造页面、诱导交互的方式窃取账号凭证、个人敏感信息乃至企业业务数据。过往较长周期内钓鱼攻击的主流实施路径为攻击者注册独立恶意域名搭建仿冒登录页面依托邮件、即时通讯渠道分发恶意链接安全防护体系通过域名黑名单、恶意 URL 库、邮件发件人信誉校验等手段能够实现对大部分此类攻击的有效拦截。随着云原生、低代码、边缘托管服务快速普及大量面向普通互联网用户开放的 PaaS 平台提供免费网页托管、边缘函数部署能力普通用户无需自有服务器、无需申请独立域名即可快速对外发布网页应用。该类服务面向全球开放注册注册门槛低部署操作简单平台自带受浏览器信任的 SSL 证书与高信誉二级子域名。该类设计原本服务于开发者快速迭代业务但是也被网络犯罪群体充分利用形成新型钓鱼攻击范式攻击者不再需要维护大量独立恶意域名直接将钓鱼页面、跳转逻辑部署在合法云服务商的域名体系之下利用平台本身积累的域名信誉规避安全设备检测显著提升攻击的存活周期与攻击成功率。本次研究依托海外安全机构披露的 12 个月监测数据集该统计周期内累计发现超过 390000 条部署于各类合法云平台与分布式网络之上的钓鱼链接攻击载体分布覆盖 Cloudflare Pages、Vercel、GitHub Pages、Netlify、IPFS 网关等十余类主流服务攻击者已经形成标准化的攻击流程部分攻击链条可以规避多因素认证防护攻击目标以企业办公账号、云服务账号为主波及全球不同行业的组织机构。从现有学术与产业研究现状来看国内外针对网络钓鱼的研究成果较为丰富多数研究聚焦传统恶意域名钓鱼、邮件伪造钓鱼、AI 生成钓鱼内容等方向针对云平台安全的研究更多集中于云租户配置漏洞、云服务器入侵、云数据泄露等场景。对于合法公共 PaaS 平台被直接用作钓鱼攻击载体这一威胁现有研究对攻击全链路拆解不够充分对于传统安全机制失效的底层逻辑分析不足完整闭环的防御框架还有进一步完善的空间。据DiMiao.CN分析合法云基础设施武器化的钓鱼攻击还处在持续演化阶段威胁体量会伴随无代码、边缘托管服务的普及持续增长企业与安全行业尚未完全适配该类新型威胁。本文的研究目标第一还原 39 万起云平台钓鱼攻击事件所呈现的威胁态势梳理攻击者偏好使用的云服务类型第二拆解典型多阶段攻击完整技术链路厘清攻击实现绕过检测、规避多因素认证的内在机理第三从技术机制、产业环境、安全建设现状多角度分析该类威胁得以规模化爆发的成因第四剖析当前防护体系存在的短板第五构建多层次闭环防御框架输出可落地的对策建议。本文不追求提出全新复杂算法重点面向产业安全实践研究结论服务于安全运营人员、云平台运营方以及企事业单位网络安全建设。2 合法云平台钓鱼攻击的现实态势与载体特征2.1 攻击规模与载体分布根据监测统计在为期 12 个月的观测周期内安全厂商累计识别并处置超过 390000 个托管于合法云平台以及 IPFS 分布式网络的钓鱼链接不同平台的被滥用程度呈现明显分化特征。Cloudflare Pages 对应的 pages.dev 子域名占全部钓鱼链接的 24.9%是攻击者最常使用的载体Vercel 提供的 vercel.app 子域名占比 13.8%GitHub Pages 的 github.io 占比 13.7%Netlify 的 netlify.app 占比 10.0%IPFS 相关网关 dweb.link、shturl. 合计占比达到 13.1%Cloudflare Workers 的 workers.dev 占比 2.5%Wix Studio、Webflow、微软 Azure 部分托管域名也存在一定数量的钓鱼载荷其余各类平台合计占比 17.9%。从上述分布可以看出攻击者优先选择注册门槛低、部署便捷、免费配额充足、域名信誉分值高的公共托管平台。上述平台全部支持普通用户免费注册账号无需企业资质审核注册完成之后用户上传静态网页或者配置边缘函数即可快速对外发布页面几分钟之内就可以生成一条公开可访问的 HTTPS 链接。IPFS 分布式网络则提供去中心化存储能力恶意页面不依赖单一服务器节点传统关停服务器的处置手段效果受限进一步提升威胁处置难度。需要区分一个关键认知被滥用的云平台本身不存在重大安全漏洞。攻击者并没有破解云服务商后台也没有利用平台代码缺陷获取权限而是正常使用平台对外公开的合法功能将钓鱼网页、跳转逻辑作为普通应用部署在平台之上。平台提供的功能本身完全合规但是功能被恶意主体挪用于网络犯罪活动这是该类威胁区别于传统云漏洞攻击的核心特征。2.2 攻击目标与危害表现该类钓鱼攻击的首要目标是窃取企业身份凭证以微软 365、谷歌 Workspace 等主流办公协作账号为主要狩猎对象其次也针对各类云服务后台账号、员工个人邮箱账号。攻击者获取账号密码之后会进一步尝试接管企业邮箱、云盘文档窃取内部业务资料利用被攻陷账号开展后续的内部钓鱼、邮件扩散甚至实施勒索前置的信息搜集活动。部分经过精心设计的多阶段攻击链路能够绕过多因素认证防护。多因素认证原本是企业身份安全的重要屏障当攻击页面可以实时转发用户提交的 MFA 验证码至攻击者侧攻击者就能够利用该验证码完成身份登录直接消解 MFA 防护效果这也是该类攻击带来的最为严重的安全后果之一。对于普通用户而言云平台子域名带有知名服务商标识用户主观上会降低警惕心理。当受害者看到链接包含 Cloudflare、GitHub、Vercel 这类广为人知的服务商域名标识更容易误认为链接来源可信社会工程学的诱导成功率随之提升。从安全设备视角传统 URL 信誉库将这些顶级平台二级域名标记为白名单高信誉域名安全网关、终端浏览器防护不会对域名本身做拦截只有当后台沙箱完成页面内容分析之后才有可能识别风险而攻击者可以通过反爬虫、沙箱环境检测规避安全厂商自动化沙箱扫描拉长恶意页面存活时间大量钓鱼链接能够在数小时乃至数天内正常对外提供访问服务。2.3 攻击者的成本收益特征迪妙网络空间安全学院研究团队梳理该类攻击的成本模型发现攻击者实施该钓鱼模式的综合成本极低。账号注册环节攻击者可以通过批量注册、虚拟身份账号完成平台账号获取页面部署环节平台免费资源配额足够支撑钓鱼页面运行不需要攻击者购置服务器、申请独立域名、申请 SSL 证书分发环节沿用成熟钓鱼邮件、社工消息分发链路。同时攻击收益较高依托合法域名绕过传统安全检测攻击触达率显著提升同一个平台账号可以快速批量生成大量钓鱼子域名一旦某一个子域名被平台封禁攻击者可以迅速新建项目生成全新子域名攻击恢复速度快。低成本、高触达、快速重建的特点推动该模式被黑产钓鱼即服务PhaaS产业链广泛接纳威胁能够实现规模化复制扩散。3 典型多阶段云平台钓鱼攻击技术链路解析本节基于安全机构披露的真实攻击样本完整还原一套以 Cloudflare Workers 为载体的典型攻击流程厘清每一个阶段攻击者的行为、页面逻辑、数据流转路径理解攻击实现欺骗用户、规避检测、尝试绕过 MFA 的内在机理。整套攻击分为邮件投递、虚假人机验证页面、云平台中间跳转页面、伪造登录页面、凭证回传五个阶段各个阶段相互解耦形成链式攻击链路。3.1 第一阶段钓鱼载体投递攻击者以同事、业务合作方、系统管理员等身份伪装向目标企业员工发送钓鱼邮件。邮件正文构建业务相关的合理借口例如共享工作文档待查看、账户权限需要核验、收到业务待处理通知等诱导收件人点击邮件内嵌入的网页链接。该链接并非直接指向仿冒微软登录页面而是指向第一重虚假人机验证网页。3.2 第二阶段伪造 CAPTCHA 人机验证页面受害者点击邮件链接之后跳转至第一处网页页面页面展示仿冒的人机身份校验界面页面提示用户输入企业邮箱地址宣称输入邮箱地址用于完成反机器人验证。该页面并不执行真正的机器人识别逻辑核心目的是采集受害者的企业邮箱账号。当受害者填写邮箱地址点击确认按钮页面前端脚本获取邮箱字符串将邮箱信息写入 URL 哈希片段随后自动触发重定向操作跳转至托管在 Cloudflare Workers 合法子域名下的第二阶段页面。URL 哈希片段的技术特性值得关注哈希后的内容不会发送给 Web 服务器仅在浏览器本地保存读取。攻击者利用该特性把受害者邮箱存放于 URL 哈希字段云平台 Worker 服务端日志不会记录该邮箱信息减少攻击者留下的日志痕迹提升溯源难度。3.3 第三阶段云平台托管的中间处理页面用户浏览器访问 workers.dev 子域名下的页面该域名属于 Cloudflare 官方合法二级域名具备浏览器可信证书域名信誉评级很高。页面读取浏览器 URL 哈希当中携带的受害者邮箱将该邮箱预填充到后续伪造登录页面表单当中。页面同时加载真实的人机验证组件进一步迷惑受害者让受害者认为整个流程属于正规系统安全校验流程。该中间页面同时具备反沙箱检测逻辑脚本读取浏览器 UA、环境特征判断访问来源是否属于安全厂商爬虫沙箱。如果识别为自动化分析环境页面返回正常无害的业务页面只有识别到真实人类用户浏览器环境才继续向下执行攻击跳转逻辑。这一机制直接造成大量安全厂商静态 URL 扫描失效防护设备访问链接看不到真实钓鱼载荷而普通受害者访问则会触发完整攻击链条造成检测上的巨大障碍。3.4 第四阶段仿冒企业身份登录页面经过中间页面处理之后受害者被重定向到高度仿真的办公系统登录页面页面已经预填好上一阶段捕获到的企业邮箱地址用户只需要输入账户密码。当企业开启多因素认证页面继续展示 MFA 验证码输入框诱导受害者填写动态验证码。整个页面 UI、配色、图标与真实企业登录界面高度趋同普通用户很难分辨真伪。3.5 第五阶段凭证数据回传受害者提交密码、MFA 验证码之后页面脚本把账号密码、验证码全部回传给攻击者控制的数据接收端点。获取到全套凭证之后攻击者即可在自己的设备上使用该账号密码以及用户提交的一次性验证码尝试登录企业业务系统实现绕过 MFA 防护的攻击效果。整套攻击链路当中多个关键节点部署在主流云服务商域名之下从邮件链接到中间跳转环节大量使用合法域名传统基于域名黑名单的防护手段很难在早期环节阻断攻击。反网络钓鱼技术专家芦笛强调该攻击模式的核心创新不在于发明全新的漏洞利用手段而是把信任转移作为攻击武器将公众对云服务商的信任挪用至恶意钓鱼场景。4 合法云平台钓鱼攻击规模化爆发的成因分析该类威胁能够在 12 个月之内积累 39 万次攻击体量并非单一技术因素造成是云服务产品机制、黑产产业链演进、传统安全防护体系局限、企业安全管理短板多重因素叠加的结果。本章节分别从平台产品设计、黑产产业侧、安全防护机制缺陷、企业用户认知四个层面展开分析。4.1 公共云托管平台的产品机制天然存在被滥用空间面向大众开放的 PaaS 静态托管、边缘函数平台产品定位是降低开发者使用门槛因此注册流程极简免费资源充足页面发布操作高度简化。平台的审核机制主要针对暴力、色情、违法违禁等显性违法内容对于钓鱼这类 “灰色滥用行为” 识别能力有限。钓鱼页面 UI 上可以模仿正常业务页面没有显而易见的违规关键词自动化内容识别很难精准区分 “正常企业登录页面” 和 “钓鱼仿冒页面”。同时平台采用账号项目的隔离模式即便某一个项目下的钓鱼页面被平台下架攻击者只需要新建项目短时间内就能够生成全新子域名继续开展攻击。封禁单个项目的处置效率远远跟不上攻击者新建项目生成新链接的速度。部分平台出于用户体验考量不会对普通用户部署网页增加过多前置校验进一步放大被滥用的可能性。迪妙网络空间安全学院研究团队指出云服务商需要在产品易用性与被滥用风险之间寻找平衡完全取消免费托管功能并不现实但需要完善针对高风险行为的动态识别管控能力。IPFS 分布式存储体系带来额外的处置困境内容存放在分布式节点不存在单一服务器主体安全机构发现恶意页面之后很难通过关停服务器的传统方式消除威胁只能依靠网关侧进行过滤拦截增加威胁处置的复杂度。4.2 黑产 PhaaS 产业链成熟降低攻击实施门槛网络钓鱼即服务PhaaS产业链已经发展成熟攻击者不需要掌握前端开发、云平台操作的专业技术。黑产服务商已经预先制作完成全套钓鱼页面模板、多阶段跳转脚本封装好针对各类云托管平台的部署工具。黑产买家只需要支付少量费用就可以自动完成在 Cloudflare Pages、Vercel 等平台的项目创建、页面部署一键输出钓鱼链接。攻击工具化之后攻击的技术门槛被彻底抹平威胁主体不再需要具备高水平技术能力只需要掌握基础社工邮件分发能力就可以开展攻击。这直接推动该类攻击从少量高级威胁团伙的专属手段下沉到大量普通黑产团伙造成攻击事件数量快速膨胀。同时黑产团伙会不断迭代反沙箱、反检测脚本持续对抗安全厂商的检测机制。4.3 传统安全防护体系存在固有检测盲区传统反钓鱼防护技术体系建立在一个核心假设之上恶意攻击会使用恶意域名可信域名基本不会承载恶意内容。域名黑名单、URL 信誉库、邮件网关链接过滤全部围绕这一假设展开。而云平台滥用钓鱼攻击直接打破该假设恶意载荷运行在高信誉合法域名之下域名本身不会被标记为黑名单造成静态域名信誉检测直接失效。邮件安全网关可以识别邮件本身的恶意特征但是无法预判点击链接之后多层跳转之后的页面内容。很多钓鱼邮件本身文本没有明显违规特征初始链接域名属于白名单邮件网关不会拦截邮件当用户点击链接之后经过浏览器本地多轮跳转才到达钓鱼载荷此时风险发生在客户端浏览器侧邮件网关已经无法干预。沙箱动态检测同样面临障碍攻击者加入沙箱环境识别逻辑当检测到访问来自安全厂商爬虫沙箱返回无害页面只有真实人类用户浏览器才展示钓鱼内容。安全厂商拿到的页面样本是正常页面无法提取钓鱼特征难以生成拦截规则。除此之外很多企业的网页访问代理、终端安全产品对于头部云服务商域名往往降低检测强度默认视为可信站点不对页面内部表单行为、页面跳转链路做深度解析进一步留下防护缺口。4.4 企业侧安全管理与用户认知存在短板在企业安全管理层面很多组织将安全建设重心放在边界防火墙、服务器入侵防御对于身份钓鱼威胁重视程度不足。部分企业虽然已经部署多因素认证但是对于 MFA 绕过类攻击的风险认知不足认为开启 MFA 就可以完全抵御凭证窃取钓鱼忽略多阶段钓鱼攻击可以骗取 MFA 动态验证码的风险。员工安全意识培训普遍存在局限性多数培训重点教育员工不要点击来自陌生发件人的恶意域名链接但是很少向员工普及 “知名云服务商域名也可能托管钓鱼页面” 这类新型风险。普通员工形成固化认知只要链接域名是知名大平台就代表链接安全这恰好契合攻击者的欺骗逻辑。据DiMiao.CN分析大量企业的钓鱼演练场景仍然大量使用传统恶意域名很少纳入云平台子域名钓鱼的模拟场景员工缺少对应风险的识别训练。5 当前防御体系存在的关键问题结合攻击机理与现实处置经验可以总结当前防御体系暴露出的几类关键问题这些问题是后续构建防御框架需要解决的核心对象。第一防护逻辑过度依赖静态信誉标签。依靠域名、IP 黑白名单的静态判断模式面对合法平台承载恶意内容的场景完全失效。安全判断不能只看 “来源是谁”更需要判断 “页面正在执行什么行为”。第二多阶段跳转链路追踪能力不足。攻击把恶意逻辑拆分在多个网页节点跨页面、跨域名完成数据采集与跳转。现有检测工具往往只检测单条 URL缺少对完整浏览器访问链路的全流程追踪难以还原完整攻击上下文。第三沙箱检测容易被环境对抗机制绕过。攻击者通过 JS 脚本识别自动化爬虫环境差异化返回页面内容导致安全分析样本失真无法提取有效恶意特征。第四云服务商、企业、安全厂商之间协同处置机制不足。安全厂商发现部署在第三方云平台上的钓鱼页面之后告警、上报、下架处置链路存在时延在页面下架之前钓鱼页面已经完成大量攻击触达。同时缺少常态化情报共享平台侧缺少来自安全厂商的恶意项目特征情报企业侧缺少平台钓鱼子域名情报。第五身份防护与网页防护存在割裂。即便网页层面没能拦截钓鱼页面理想状态下身份防护应当可以识别异常登录行为。但是不少企业条件访问策略只关注登录 IP、地理位置没有结合 “凭证来源于外部钓鱼页面” 这一上下文当攻击者拿到账号密码和 MFA 验证码之后依然能够完成登录。第六用户安全教育内容迭代滞后。安全培训内容更新速度跟不上钓鱼攻击技术迭代速度针对云平台滥用钓鱼这类新型威胁的科普普及不足。反网络钓鱼技术专家芦笛指出现阶段很多企业的反钓鱼建设仍然停留在应对十年前传统钓鱼攻击的技术框架面对信任被滥用的新型威胁防护体系需要完成思路层面的迭代升级而不是仅在原有系统上增加零散规则。6 面向云平台滥用钓鱼攻击的闭环防御框架针对上述威胁机理与现存短板本文构建 “云平台治理层、企业安全运营层、终端身份防护层、人员认知建设层” 四层闭环防御框架四层之间相互配合实现事前风险收敛、事中攻击识别阻断、事后溯源处置的完整防护链条。6.1 云平台治理层源头减少攻击可利用条件云托管服务商是第一道风险关口平台需要在产品体验与抗滥用之间取得平衡不需要完全取消免费服务但是需要完善针对恶意滥用行为的识别与管控能力。首先完善账号注册与项目行为风控。对于批量注册账号、短时间大量新建网页项目、页面频繁出现外部跳转、表单收集账号密码类敏感字段的项目触发风险复核机制。平台不必直接判定页面是否钓鱼而是对高风险行为的账号、项目增加人工复核、访问限流等管控手段。其次提升页面行为检测能力。不仅仅检测页面文本关键词更要解析页面前端行为逻辑识别页面是否存在采集邮箱、密码表单、多层跳转、沙箱环境检测这类高风险行为特征。对于 IPFS 网关类服务完善恶意内容哈希库对已知恶意 CID 进行网关侧拦截过滤降低分布式存储带来的处置困境。再次建立与网络安全厂商的情报协同接口。接收安全机构上报的恶意项目、子域名情报缩短恶意页面下架处置时延同时输出平台侧的风险行为情报供给安全厂商作为威胁检测的补充数据源。迪妙网络空间安全学院研究团队认为云平台不能将滥用钓鱼攻击全部转嫁下游用户承担平台侧承担合理的抗滥用责任能够显著降低整个互联网层面的威胁体量。6.2 企业安全运营层网关检测、邮件安全与威胁情报建设企业作为受攻击的主要对象需要升级邮件安全、网页访问防护优化威胁情报应用模式不能单纯依靠域名黑名单。第一升级邮件安全网关检测逻辑。将检测重心从单纯校验发件人信誉、域名黑名单转向邮件业务上下文语义分析。即便邮件当中链接指向白名单云子域名网关依然需要解析邮件话术识别紧急催促、要求输入账号信息这类高风险诱导话术对邮件内所有链接做完整跳转链展开不仅仅解析第一层 URL跟进多层重定向之后的最终落地页面行为。对于邮件内链接指向外部托管平台同时正文要求用户提交企业账号信息的邮件提升告警等级触发人工复核。第二完善企业网页代理、Web 网关的检测规则。对头部云托管平台的访问流量不做无条件信任放行对页面内部行为做深度解析。重点监控页面是否存在预填充企业邮箱、诱导输入账号密码、大量前端 JS 环境探测、多段 URL 哈希传递用户账号信息这类攻击特征。建立行为特征库而不是仅仅依靠恶意 URL 黑名单。第三拓展威胁情报来源。除传统恶意域名情报之外引入云托管平台钓鱼子域名情报建立针对 pages.dev、vercel.app、github.io 等二级域名下恶意子域名的动态情报库实时更新用于网关、终端检测。第四优化安全运营流程。针对云平台钓鱼建立专项告警处置流程当监测到员工访问可疑云托管钓鱼页面第一时间触发告警联动身份系统核查该账号是否出现异常登录行为及时处置账号风险。6.3 终端与身份防护层弥补网页检测失效之后的安全兜底网页网关、邮件网关存在被绕过可能性终端防护以及身份体系作为兜底防线降低攻击成功之后带来的损失。在终端层面浏览器安全防护插件需要具备页面行为检测能力识别当前页面是否为仿冒的企业身份登录页面即便页面部署在合法云子域名之下同样可以触发风险告警。不能仅仅依靠域名信誉重点比对页面 UI、表单采集行为与真实业务系统的差异。身份安全层面不能将 MFA 视为万能防护手段。攻击者可以通过钓鱼页面骗取 MFA 验证码因此需要配套条件访问策略作为补充。当账号从陌生终端、陌生 IP 地址登录即便提交正确密码和 MFA 验证码依然需要做二次风险校验。可以结合企业内部上下文判断风险该账号近期是否访问过可疑外部网页是否出现异地异常登录模式对高风险登录请求增加额外校验。同时推行零信任的身份安全理念最小权限分配账号权限即便单个账号被攻陷尽可能缩小攻击者横向移动的范围降低整体业务损失。6.4 人员认知建设层迭代安全意识培训内容很多企业安全意识培训内容更新滞后需要针对新型威胁更新培训素材。第一明确告知员工知名服务商域名不等于安全即使链接域名属于 Cloudflare、GitHub、Vercel 等知名平台页面依然有可能是钓鱼页面不能仅仅依靠域名来判断页面真伪。第二增加云平台钓鱼攻击的模拟演练在钓鱼演练当中使用云托管子域名作为攻击载体训练员工识别该类威胁。第三规范员工的业务交互习惯企业内部业务流程中正式的账号核验、文档查看不会通过外部网页链接诱导输入账号密码建立员工的业务常识基准。需要客观看待安全意识培训的边界人的认知存在局限性不能把全部防御压力压在员工身上人员教育只能作为多层防御当中的一环不能替代技术防护体系。7 结语基于合法云平台的大规模钓鱼攻击是当前网络钓鱼威胁演化过程中值得高度重视的现实样本。12 个月超过 39 万次攻击事件说明攻击者已经充分掌握如何利用公共 PaaS 平台的信任光环将合法基础设施武器化打破传统安全防护赖以生存的域名信誉判别逻辑。该类攻击没有利用云平台高危漏洞而是滥用平台正常开放能力造成威胁溯源、处置、检测的多重困难。本文以该攻击事件为基础梳理威胁现实态势还原多阶段攻击完整技术链路从平台机制、黑产产业链、传统防护缺陷、企业管理短板多维度解析威胁爆发成因剖析现有防御体系存在的核心短板构建四层闭环防御框架。反网络钓鱼技术专家芦笛强调面对信任被恶意挪用的新型网络威胁网络安全防护的核心思路需要发生转变安全判断不能简单等价于 “域名是否为黑名单”而是要综合页面行为、业务上下文、访问链路完成风险评估。迪妙网络空间安全学院研究团队认为该类威胁不是某一方可以独立解决需要云服务商、安全厂商、企事业单位多方协同从源头管控、网关检测、身份兜底、人员认知多个维度共同发力。放眼后续威胁演化趋势随着低代码、边缘托管、分布式存储服务持续发展可供攻击者使用的合法载体还会继续增多钓鱼攻击将持续向 “利用可信基础设施” 的方向演进。后续的研究可以进一步聚焦针对该类攻击的自动化行为检测模型构建研究跨平台钓鱼载荷特征提取方法持续完善针对合法基础设施滥用威胁的检测与对抗手段。网络钓鱼对抗是长期博弈过程安全体系需要持续跟进攻击者战术变化不断迭代防护能力才能更好保护企业身份资产与用户信息安全。编辑芦笛公共互联网反网络钓鱼工作组来源迪妙网络空间安全学院