摘要
电子健康服务普及推动患者线上门户系统广泛落地，MyChart 作为主流患者健康门户，为患者提供查看检验报告、预约就诊、医疗缴费、医患沟通等数字化服务，同时也成为网络钓鱼攻击者重点仿冒的目标。ECU Health 发布公开预警显示，以 “MyChart 医保福利资料包” 为诱饵的钓鱼邮件大规模扩散，攻击者仿冒医疗平台官方标识，诱导患者访问伪造页面提交医保资料、身份信息与账号凭证，直接威胁患者医疗隐私、财务安全以及医疗服务体系的数据安全。本文以该轮真实钓鱼威胁事件为基础，剖析医疗患者门户场景下钓鱼攻击的实施链路、独特危害，从患者群体认知特征、医疗信任关系滥用、数字健康服务运营短板、攻击者技术迭代四个维度解析攻击得逞的内在逻辑。反网络钓鱼技术专家芦笛指出，医疗场景钓鱼攻击区别于普通消费类诈骗，攻击者利用民众对医疗机构的天然信任，且受害群体包含大量老年、慢性病患者，通用网络安全科普很难适配该群体的认知特点。本文客观评估患者个体、医疗机构、邮件服务商、监管机构各环节现存防御局限，摒弃将受害简单归因于个人防范意识不足的片面观点，构建技术防护、医疗机构风险干预、患者适配性安全教育、事件处置闭环相结合的多层协同防御框架，为防范患者门户类医疗钓鱼威胁提供现实参考。
关键词：医疗网络安全；网络钓鱼；患者门户；电子健康档案；隐私保护
1 引言
数字化医疗改革持续推进，电子健康档案、线上患者门户逐步成为医疗服务的标准配套工具。患者不再局限于线下窗口完成业务办理，可以通过网页、移动端门户查阅检验结果、预约门诊、缴纳医疗账单、接收医疗机构通知，医疗信息的传递渠道从纸质信函大规模转向电子邮件与线上消息。线上门户在提升就医便捷度的同时，也催生了新的社会工程攻击面，攻击者仿冒医疗平台发送欺骗信息，试图窃取患者账号、医保信息、个人身份资料。
美国 ECU Health 在 2026 年 8 月发布面向全部就诊患者的安全预警，披露一轮针对 MyChart 患者门户的钓鱼邮件攻击浪潮。攻击者发送主题为 “Your MyChart Medicare Kit Awaits” 的欺诈邮件，伪装为 MyChart 官方通知，宣称患者可以领取医保配套福利资料包，邮件内部嵌入恶意链接，跳转至高度仿真的伪造登录与信息填报页面，一旦患者输入账号密码、医保编号、身份信息，敏感数据直接流向攻击者。该类邮件并非由医疗机构或者 MyChart 官方发出，属于典型身份仿冒钓鱼攻击，已经波及大量普通患者，其中老年参保群体成为主要目标。
相较于企业场景钓鱼，面向普通就诊患者的医疗钓鱼具备特殊复杂性。受害对象是多元化普通民众，包含大量老年人、慢性病患者，该群体对网络安全概念接触较少，但又高度依赖医疗平台获取自身健康信息；医疗数据本身具备极高黑产价值，被窃取之后既可以用于医保诈骗，也可以在地下黑产市场交易流转；一旦门户账号被接管，攻击者还可以篡改患者线上健康档案、伪造就诊诉求，间接干扰正常诊疗流程。
现有网络安全相关研究大多聚焦医院内部信息系统防护，针对医护人员开展钓鱼风险分析，面向普通就诊患者群体、患者门户外部钓鱼威胁的系统性研究相对有限。多数安全提示停留在不要点击陌生链接这类通用表述，缺少结合医疗场景、适配老年患者认知能力的针对性分析。现实中部分具备基础网络使用能力的患者同样落入圈套，说明受害行为不能简单等同于安全意识低下，背后是信任心理、场景诱导、技术识别门槛多重因素共同作用。
本文以本次 MyChart 钓鱼事件作为现实样本，梳理该类攻击完整运作模式，拆解威胁形成的多重成因，分析现有防御手段的效能边界，构建覆盖技术、机构运营、公众教育、应急处置的闭环防御思路，不追求完全杜绝钓鱼邮件抵达患者邮箱，而是在诱饵触达用户之后设置多层阻断节点，最大限度降低隐私泄露与财产损失风险。
2 MyChart 患者门户钓鱼攻击模式、攻击链路与差异化危害
MyChart 是 Epic 公司开发的患者门户系统，大量医疗机构接入该平台，患者通过独立账号访问个人健康记录，接收就诊提醒、检验报告、账单通知，办理缴费、处方续配等业务，在患者群体中建立起稳定的品牌认知度，这也使得 MyChart 标识成为攻击者优先仿冒的对象。本次 ECU Health 披露的钓鱼浪潮不是孤立个案，而是一类持续性威胁的集中爆发，攻击者已经演化出多套适配医疗场景的诱饵模板。
2.1 主流欺骗诱饵类型
第一类是医保福利诱饵，也就是本次事件中大规模传播的 “Medicare Kit” 邮件。攻击者以免费医保资料包、参保福利作为吸引点，抓住参保群体希望获取医保配套材料的心理，邮件复制 MyChart 官方 LOGO 与排版样式，视觉层面高度接近官方通知，诱导用户点击链接填写个人信息与门户账号密码。该诱饵定向瞄准老年参保人群，该群体对医保相关通知关注度高，对福利信息敏感度强。
第二类为紧急业务告警类诱饵。诈骗消息谎称患者存在未缴医疗账单、检验报告已生成、门诊预约发生变更、门户账号即将锁定，制造紧迫感，逼迫接收者立刻登录账号核实信息。这类诱饵贴合 MyChart 平台真实业务场景，患者日常确实会收到同类官方通知，欺骗信息混杂在真实通知之中，辨别难度显著提升。
第三类衍生诱饵包含免费医疗物资、药物申领、健康调研问卷等形式。攻击者宣称填写个人信息就可以申领急救包、特定处方药物，以健康福利为噱头收集医保编号、出生日期、家庭住址等敏感隐私数据，并不一定要求登录门户账号，依靠表单填报直接完成信息窃取。
欺骗信息传播载体并不局限于电子邮件，还可以通过短信、社交消息传播同一套欺骗逻辑。攻击者仅需要仿冒品牌标识，不需要侵入医疗机构服务器，通过外部渠道批量投递消息即可发起攻击，攻击实施门槛较低。
2.2 完整攻击链路运行过程
完整的 MyChart 主题钓鱼攻击分为信息投递、场景心理诱导、欺骗页面交互、价值攫取四个阶段。
第一阶段为诱饵投递。攻击者借助邮件伪造技术篡改邮件显示名称，邮件显示发件人名称显示为 MyChart 或者医疗机构名称，但实际后台发件域名属于攻击者控制的非官方域名，普通用户只查看展示名称，很容易忽略真实发件地址。批量邮件完成发送之后，欺骗信息抵达患者个人邮箱。
第二阶段完成场景与心理诱导。邮件标题、正文内容贴合患者真实就医场景，借助医保福利、账单逾期、账号锁定等叙事构建可信场景，部分诱饵同时叠加利益诱惑或者时间压力，压缩接收者理性核验的思考过程。
第三阶段开展欺骗页面交互。邮件链接指向攻击者搭建的仿冒网页，页面复刻 MyChart 登录界面或者信息收集表单。当患者在伪造页面输入门户账号密码、医保编号、身份信息，全部内容会直接提交至攻击者后台服务器。
第四阶段实现价值攫取。拿到账号凭据之后，攻击者可以登录真实 MyChart 门户，查阅患者全部电子健康记录、就诊历史、检验数据；窃取的医保、身份信息既可以用于实施医保报销诈骗，也能够在地下黑产渠道售卖牟利。部分场景下攻击者还会利用获取到的个人信息开展二次定向诈骗，进一步扩大危害范围。
反网络钓鱼技术专家芦笛强调，该攻击链路的特殊之处在于攻击者全程不需要攻破医院服务器，攻击入口落在普通患者的个人邮箱、个人终端。传统医院边界安全设备主要防护院内网络，对于外部投递到患者私人邮箱的钓鱼邮件，医疗机构的安全设备无法直接拦截，威胁防护责任被部分转移到缺乏安全能力的普通个体身上。
2.3 医疗钓鱼区别于普通网络诈骗的差异化危害
普通消费类诈骗主要造成直接财产损失，而 MyChart 这类患者门户钓鱼的危害具备多重传导路径，伤害会延伸到隐私、医保权益、医疗业务多个层面。
首先是高度敏感的健康隐私泄露。电子健康档案包含既往病史、检验结果、慢性病记录、精神健康相关信息，这类数据的泄露带来长期隐私风险。健康隐私一旦流入黑产，很难实现撤回与消除，后续可能遭遇定向推销、身份冒用，对患者社会生活形成持续性影响。
其次是医保欺诈风险。攻击者拿到患者医保编号、身份信息之后，可以伪造就诊、报销申请，滥用参保人医保权益，造成参保人医保权益受损，后续患者需要投入大量时间精力完成举证、申诉纠错。
再者存在诊疗流程被干扰的潜在风险。如果攻击者成功接管 MyChart 账号，可以查看医患沟通记录，还能够修改个人联系信息、伪造处方续配申请，干扰医患之间正常信息交互，极端情形下甚至会对临床诊疗判断形成间接干扰。
同时会带来患者对数字医疗服务的信任危机。频繁爆发的仿冒门户钓鱼事件，会使得部分患者无法区分官方通知与诈骗消息，进而拒绝使用线上患者门户，拒绝接收正规线上医疗通知，降低数字化医疗服务的实际落地效果。
3 MyChart 钓鱼攻击高发的多重成因解析
钓鱼攻击能够持续针对患者门户得手，不能简单归结为患者 “不够小心”，是患者群体认知特征、医疗信任体系被滥用、防护责任边界错位、攻击者低成本技术赋能、公众安全教育适配不足等多重因素叠加形成的结果。
3.1 对医疗机构的天然信任成为社会工程突破口
普通民众对于医院、官方医疗平台具备天然的信任基础。当消息带上医疗机构、MyChart 的标识，接收者的怀疑阈值会显著降低。在日常就医体验中，患者习惯被动接收医院发出的通知，已经形成 “来自医疗机构的消息具备可信度” 的心理定式。攻击者正是利用这套信任惯性，不需要复杂技术漏洞，依靠身份伪装就可以建立欺骗场景。
其中老年患者群体的认知特征进一步放大风险。老年参保群体是医保类诱饵的重点目标，部分老年人对邮件域名、网页地址这类技术细节缺少识别能力，很难通过核对域名分辨仿冒页面。该群体对医保福利信息关注度高，同时对数字安全风险了解有限，面对 “医保资料包” 这类主题的通知，更容易直接按照页面指引开展操作。需要客观看待，老年群体的识别短板属于数字鸿沟带来的现实问题，并非个体疏忽。
同时，患者接收的真实 MyChart 官方通知本身就包含账单提醒、报告通知、福利提示，诈骗诱饵和真实业务消息叙事高度趋同。普通患者缺少足够的参照标准区分二者，很难单纯依靠邮件正文文字判断真伪。
3.2 防护责任边界错位带来的防御缺口
从网络边界角度看，钓鱼邮件发送至患者私人邮箱，属于发生在医疗机构 IT 基础设施外部的威胁。医院的安全网关只能管控院内员工邮箱，无法管控社会公众个人邮箱。邮件接收、信息判断的责任落到患者本人，但大量普通患者并不具备安全团队的专业能力，由此形成明显的防护缺口。
医疗机构可以发布公开预警，但没有权限直接过滤每一位患者私人邮箱收到的外部邮件。邮件服务商的反垃圾邮件系统存在固有限制：攻击者采用新注册域名开展攻击，诱饵页面为全新生成，没有历史风险标记，基于特征库的拦截机制存在时间差；攻击者还会通过邮件显示名伪造，使用合法邮箱作为发件来源，进一步规避垃圾邮件过滤。
现实中很多医疗机构的安全资源集中保护院内业务系统、医护终端，针对外部面向患者的钓鱼威胁，更多依靠事后发布公告，缺少常态化的前置风险干预手段。当欺骗邮件已经抵达患者收件箱之后，系统层面的拦截已经失效，防御效果高度依赖接收者个人判断。
3.3 攻击者技术迭代降低医疗钓鱼实施成本
生成式 AI 工具进一步降低医疗钓鱼诱饵的制作门槛。过去制作高仿真仿冒医疗邮件、仿冒网页，需要攻击者具备网页制作、文案撰写能力，还要模仿医疗机构正式行文风格。借助 AI 工具，攻击者可以快速生成排版规范、语言正式的医疗主题诈骗邮件，复刻官方通知的行文口吻，消除老式钓鱼邮件常见的语法错误、翻译生硬等识别特征。
攻击者可以批量生成大量变体域名，轮换域名开展投递，当一批域名被安全厂商标记拦截之后，立刻启用全新域名继续攻击，形成 “生成‑投递‑封禁‑迭代” 的循环。钓鱼页面也可以快速复制修改，版本迭代速度快于安全特征库更新速度。
反网络钓鱼技术专家芦笛指出，医疗主题钓鱼并不需要挖掘医疗系统漏洞，全部攻击动作都发生在用户侧，攻击者不需要接触医院后台，只需要复刻外观，就能够开展大规模攻击，极低的投入成本使得该类威胁可以反复迭代爆发。
3.4 面向患者的安全教育存在适配性短板
当前网络安全科普大多是通用性内容，缺少针对医疗门户场景、适配老年群体的教育内容。通用宣传反复提示 “不要点开陌生链接”，但 MyChart 钓鱼邮件的问题恰恰在于，邮件主题、品牌名称对于患者而言并不陌生，属于他们日常就医会接触的平台，不属于传统意义上的 “陌生消息”，通用警示的指导效力被削弱。
面向公众的安全提示大多以互联网图文形式传播，而高风险老年群体未必会主动浏览网络安全科普文章。医疗机构发布的安全预警大多发布在医院官网、社交媒体账号，触达就诊患者的渠道有限，很多受到攻击影响的患者根本看不到预警公告。
同时，很多安全科普仅仅罗列钓鱼的外在特征，没有向患者传递一套可落地的核验操作流程。仅仅告诉患者 “要提高警惕”，并没有明确告知，收到 MyChart 相关邮件时，应当如何通过独立渠道核验通知真伪，如何正确登录门户系统，抽象的警示很难转化为现实场景下的行为习惯。
4 面向患者门户钓鱼威胁的多层协同防御体系构建
应对 MyChart 这类面向社会公众的医疗钓鱼，不存在单一的根治手段，不能将全部防御压力交给患者个人。需要建立多方协同的分层防御思路：在邮件投递环节尽量拦截欺骗邮件；医疗机构做好风险预警与门户侧安全加固；面向患者提供适配不同年龄群体的可执行操作指引；完善账号泄露之后的应急处置流程。某一层防御失效时，其余层级能够继续发挥阻断或者降低损失的作用。
4.1 邮件与服务商侧：强化钓鱼诱饵的前置过滤
邮件服务商需要针对医疗主题仿冒攻击建立专项识别策略，针对仿冒知名患者门户、医保机构的邮件开展重点检测。重点识别显示名称与实际发件域名不一致、域名存在拼写篡改、新注册域名冒充医疗品牌的邮件特征。完善域名身份验证机制，拒绝伪造医疗机构显示名的邮件，从传输层面减少仿冒邮件抵达用户收件箱的概率。
但需要客观认识技术局限，全新域名、全新页面很难被预先拦截，过滤系统只能拦截已经被标记的已知威胁，无法做到 100% 拦截全部新型钓鱼邮件。服务商层面的防护定位是第一道过滤屏障，而不是终极解决方案。
4.2 医疗机构层面：完善预警、门户加固与风险提示
医疗机构作为 MyChart 门户的运营方，应当建立钓鱼威胁监测与快速响应机制，当出现仿冒本机构患者门户的钓鱼浪潮时，第一时间面向就诊患者发布风险提示。预警渠道不能仅仅局限于医院官网，应当充分利用门户站内通知、门诊告示、就诊短信、院内公众号等多元渠道，尽可能触达不同数字使用能力的患者，尤其是老年患者群体。
门户系统设计层面需要减少用户被钓鱼之后带来的损害。优先推动患者门户账号启用抗钓鱼多因素认证，即便用户在钓鱼页面泄露账号密码，攻击者没有第二重认证因子，依旧无法登录真实门户查阅健康档案。反网络钓鱼技术专家芦笛强调，多因素认证属于重要的兜底防护，承认患者存在被欺骗泄露密码的可能性，在账号凭证已经泄露的前提下阻止攻击者访问真实医疗数据。
同时平台应当明确对外公示官方的沟通规则，公开官方发件域名，向患者明确告知：官方 MyChart 通知不会发送免费医保礼包、免费物资申领类链接，不会通过邮件链接引导用户填写医保敏感信息。把官方业务边界清晰告知患者，帮助患者建立区分欺骗信息的参照标准。当发生仿冒钓鱼事件，医疗机构应当提供清晰指引：遇到可疑通知，不要点击邮件内链接，手动在浏览器输入官方域名或者直接打开官方 APP 访问门户，而不是跟随邮件内链接跳转。
4.3 面向患者群体的适配性安全教育
针对普通患者的安全教育，需要跳出 “识别钓鱼特征” 的传统模式，输出标准化、可落地的操作流程，而不是抽象的风险告诫。需要向患者传递一套简单的行为范式：收到来自 MyChart 的邮件通知，无论邮件看起来多么逼真，不要直接点击邮件内嵌链接；需要登录门户时，手动打开官方 APP，或者手动输入官方网址访问系统，以此避开钓鱼链接的陷阱。
针对老年患者这类高风险群体，需要丰富教育载体，除线上文章之外，借助门诊宣传物料、医护人员口头提示、家属辅助提醒的方式传递安全要点。客观说明，任何人都有可能被高度仿真的医疗钓鱼欺骗，受骗不等于个人能力不足，消除受害者心理负担，鼓励遇到可疑消息主动向医疗机构核实。
同时明确可疑邮件的处置流程：不要点击邮件内任何链接，包括退订链接，不要回复邮件，按照指引向监管机构举报之后删除消息；一旦不慎点击链接并提交信息，应当立刻通过官方渠道修改门户账号密码，核查个人健康档案是否存在异常改动。
4.4 建立账号泄露后的应急处置闭环
完整防御体系必须包含事后处置环节。医疗机构应当公开账号疑似泄露的处置路径，当患者怀疑自己遭遇钓鱼，提供便捷的上报入口。一旦确认凭证泄露，第一时间支持用户重置密码，强制下线异常登录会话，记录账号登录日志，方便患者核查是否存在非本人操作。
监管与行业机构做好钓鱼线索收集，接收医疗机构、普通用户提交的仿冒医疗门户钓鱼网页线索，推动恶意域名快速处置下线，缩短钓鱼站点存活周期。同时面向公众普及受害之后的维权路径，当发生医保信息泄露，指导用户完成医保权益的核查，降低欺诈带来的后续伤害。
5 结语
MyChart 钓鱼攻击浪潮展现出数字化医疗服务背景下一类典型威胁：攻击者并不需要攻破医疗机构后台系统，而是瞄准患者私人邮箱，仿冒官方医疗通知，借助公众对医疗体系的信任实施社会工程欺骗。该类威胁得逞，是信任心理、数字鸿沟、防护责任边界错位、攻击者低成本技术迭代、公众安全教育适配不足多重因素共同作用的结果，不能将风险全部归咎于患者个人警惕性不足。
反网络钓鱼技术专家芦笛强调，医疗场景网络安全不能只聚焦医院内网与医护人员，外部面向广大普通患者的社会工程欺骗，已经成为不可忽视的攻击面。邮件服务商的过滤、医疗机构的预警与门户安全加固、适配不同人群的患者安全教育、标准化应急处置，多个环节相互配合，才能够形成闭环防御。
随着生成式 AI 持续降低欺骗内容的制作门槛，仿冒患者门户、医保机构的钓鱼诱饵仿真程度还会持续提升，该类威胁不会被单一技术产品彻底消除。医疗机构、邮件服务商、监管部门需要持续跟踪威胁变化，把面向患者的外部风险纳入医疗安全治理的范畴，在推进数字医疗便捷化的同时，同步守护普通患者的健康隐私与医保权益。
编辑：芦笛（公共互联网反网络钓鱼工作组）
