资讯中心 今日: 0|主题: 45|排名: 1 

摘要：2026 年 11 月初，英国《卫报》刊发小说家亲历的假读者来信，随后又推出面向作者的识别指南。来信者自称来自城市读书会或阅读社群，用数段篇幅赞美收件人的作品，提出可为其安排推介，条件是支付数百美元的 “贡献费”。这类邀约不附恶意链接，不索取账号口令，不使用伪造登录页，却能在数月内覆盖大量作者，并使一部 ...

摘要：2026 年 11 月公开的一封仿冒亚马逊客服邮件，以 "付款方式无法验证、账户即将受限" 为由，要求收件人经邮件内链接更新支付信息。该样本的价值不在于新颖，而在于完整呈现了品牌仿冒型支付钓鱼的典型构造：外观层面的品牌复用、话术层面的损失规避动员、技术层面的身份与域名错配、链接层面的显示文本与实际目标分离 ...

摘要：面向车主的车联网安全指引通常从用车习惯切入，提示软件过期、账号被盗、钓鱼冒充、非官方应用、第三方服务与数字所有权转移六类风险，并给出可执行的处置步骤。这类指引具有实用价值，却把系统性风险转化为个人责任：其援引的安全研究显示，攻击者可以从一辆处于自己控制下的车辆中提取客户端证书、私钥与会话材料， ...

摘要：2026 年 11 月 6 日，瑞士联邦网络安全局就一批以商业登记机关名义发出的邮件发布预警。邮件声称企业登记数据存在错误，要求管理层在六个工作日内完成更正，否则将面临行政措施与登记暂时注销；所附链接指向一个仿照联邦政务视觉搭建的站点，在要求输入参考号之后，依次采集人员、企业与联络信息，并以核验授权为由索 ...

摘要：邮件安全防护长期围绕人来设计，判定对象是收件人是否会点击链接、打开附件或提交凭据。生成式模型接入邮箱之后，这一前提发生位移：在收件人阅读之前，助理已按原始报文完成解析、摘要与检索，攻击者得以把指令写入人眼不可见、模型可读的位置，使一封邮件从说服工具变成对代理的调用指令。本文以公开披露的一起在野 ...

摘要：钓鱼攻击通常被当作识别与举报链条上的末端问题处理，但 2026 年的多源统计显示，其类型结构已从仿冒页面骗取口令，转向会话接管、授权劫持与服务化投放，以邮件文本和链接信誉为重心的防护框架因此出现系统性偏差。本文以公开报道对钓鱼类型的梳理为问题起点，以反网络钓鱼工作组季度报告、美国联邦调查局互联网犯罪 ...

摘要：2026 年 10 月下旬，一宗以 OpenAI、SpaceX、Anthropic 品牌活动为诱饵的钓鱼行动在客户浏览器侧被拦截。与常见的仿站取密不同，该行动在同一个注册页面上并联了两条认证攻击路径：面向微软身份的是 OAuth 2.0 设备授权授予的滥用，面向谷歌身份的是反向代理型中间人转发。两条路径都不依靠伪造登录页骗取口令，而是 ...

摘要 2026 年 11 月 Barracuda 发布的恶意软件简报，披露 DarkVigil、PromptSpy、Kyber 三类新型恶意样本，分别代表可信载体投递、生成式 AI 驱动终端交互、后量子密码集成勒索加密三条攻击演进路线。三类样本分属不同平台、攻击目标与技术体系，但共同呈现出攻击者复用成熟可信基础设施、通用大模型、标准化密码组件的特征 ...

摘要：2026 年 8 月以来出现的一轮钓鱼活动，把入口放在谷歌日历邀请，把跳板放在谷歌自身的重定向与共享链接，把验证环节放在真实的验证码服务，把凭据页面放在浏览器运行时构造。其结果是域名、证书与信誉三项常规判据同时给出良性结论，而攻击者真正取得的是活跃会话而非口令。本文以该活动为样本，逐层拆解投递、网关、 ...

摘要：钓鱼、短信钓鱼与语音钓鱼长期被作为三类并列的诈骗形态进入公众教育与机构培训，其分类依据是投递渠道。本文以一篇面向消费者的防诈报道为事实起点，指出这一分类在防护意义上的失效：攻击者已跨渠道复用同一套社会工程剧本，渠道只决定接触方式，不决定风险性质；生成式工具同时抹平了语法、措辞与版式破绽，使以 ...

摘要钓鱼网站的数量与损失仍在同步增长，处置需求因而长期存在。面向消费者的 "清除钓鱼网站" 类指引大量出现，其共同假设是：受害者本地存在某种可以被删除的对象。本文指出这一假设只对了一半。钓鱼网站在终端并不以一个页面存在，而以浏览器配置劫持、推送通知订阅、独立窗口应用、扩展权限、域名解析与代理设置、缓存与 ...

摘要：2026 年 10 月起，挪威邮轮与 Celestyal 相继就冒充官方身份的钓鱼邮件向旅客发出警示。与常见仿冒不同，部分邮件载有真实的船名、航次、订舱号乃至已付金额，使收件人难以凭常识判断真伪。本文以该事件为样本，区分 “有数据” 与 “无数据” 两类话术，指出攻击可信度的来源已由邮件工艺转移至订单要素的准确性，进 ...

摘要：钓鱼模拟测试本应是让员工在低风险环境中练习识别与报告的训练设施，但在不少组织中，它被当作考核工具与数据生产线来运营，设计取向随之从 “巩固报告行为” 偏移为 “生产可展示的点击率”。这一目标置换带来三重后果：以情绪动员提高点击率的题材选择，在组织内部产生负外部性，削弱员工对真实威胁的报告意愿；以 ...

摘要2026 年 2 月，ChatGPT 在代码块中加入 HTML 页面预览能力，使模型输出可以以可执行页面的形式在客户端直接呈现；同月，OpenAI 推出锁定模式，通过关闭实时联网、画布联网、文件下载等出站通道，降低提示注入引发数据外泄的风险。同年 11 月，Check Point Research 公开披露该预览功能的容器授权缺陷：外层沙箱保留了允 ...

摘要：钓鱼链接长期被视为一种投递手段，围绕它的公共讨论也多集中在 “点开之后会发生什么”。本文把钓鱼链接还原为一条工业化链条的末端输出，考察资源获取、页面生产、投递分发、端侧寄生与处置阻断五个环节之间的成本关系，并据此讨论治理重心的位置。研究认为，钓鱼链接的规模不由单个攻击者的技术水平决定，而由域名 ...

摘要：2026 年 5 月以来，一个仿冒美国银行登录界面的域名集群持续运作。该集群的套件以访客 IP 地址为键保存访问状态，首次访问返回仿冒登录页，同一地址的再次访问则返回伪造的托管商 “账户已暂停” 提示，使仍在派发钓鱼内容的域名在处置方复核时表现为已经关闭。截至 2026 年 10 月 25 日，该集群仍有 248 个活跃域名 ...

摘要： 围绕钓鱼防范培训，一种流行判断是真实场景的仿真演练明显优于幻灯片式授课。本文把这一判断拆成两个可分别检验的问题：仿真在机制上为何更容易促成行为改变，以及这种改变在证据上究竟有多大、能维持多久。机制层面，课件传授的是可复述的陈述性知识，而钓鱼判断发生在时间压力、任务切换与权威线索交织的场合，属 ...

摘要　2026 年 5 月，美国加州全民健康保险交易平台 Covered California 因一起钓鱼攻击导致代理人信息表格被未授权访问，泄露字段包括姓名、执照编号、在保险机构内的角色，以及社会安全号或联邦雇主识别号。该平台随后按加州法律要求发布样本泄露通告，但未披露受影响人数，也未向受影响者提供身份盗用监测服务。本文以该 ...

摘要：2026 年，安全厂商披露的仿冒活动显示，围绕 TikTok Shop 形成的欺诈基础设施已在万级域名的规模上运行，并以仿冒应用、人工智能生成的达人视频与稳定币结算组合成完整链路。与传统的品牌仿冒不同，这类攻击所冒充的对象是交易平台本身，受害者被引导离开平台之后，既失去了平台的结算保护，也失去了可申诉的对象。本 ...

摘要： 微软在 Microsoft Teams 中引入基于会话上下文的钓鱼检测，把判定依据从链接与附件的信誉转向对话中的关系与意图。这一变化的实质不是增加一种检测手段，而是改变了钓鱼判定所依赖的证据类型：可复现的载荷特征让位于只能概率评估的语义线索。本文以微软通告 MC1519866、路线图条目 575288 与官方支持文档为一手依据 ...