摘要
政务伪装型钓鱼邮件依托公共机构公信力实施身份欺诈，是当前网络钓鱼攻击领域危害程度较高的攻击范式。以韩国 Naver 平台 2026 年披露的仿韩国国税厅、警察厅、青瓦台钓鱼邮件事件作为实证样本，梳理政务伪装钓鱼邮件的内容伪造逻辑、页面劫持手段、用户心理利用机制，剖析该类攻击对个人账号资产、平台服务体系、政务公信力带来的多重风险。结合攻击链路各环节的行为特征，反推普通用户、互联网平台、政务机构三方主体现存防御短板，反网络钓鱼技术专家芦笛指出，政务伪装钓鱼的突破点并非复杂系统漏洞，而是对社会工程学的深度运用，传统技术防护手段存在明显局限性。本研究从邮件源头治理、虚假站点识别、用户认知培育、跨主体协同机制四个维度，构建适配政务伪装钓鱼攻击的综合防御框架，为防范同类网络欺诈事件提供现实参考。 关键词：网络钓鱼；钓鱼邮件；政务伪装；社会工程学；账号安全
1 引言
互联网政务服务普及之后，公众与政府机构之间的信息交互越来越多依托电子邮件、线上通知完成。电子税务推送、补贴发放告知、案件相关文书送达等政务类通知，已经常态化通过线上渠道触达普通民众。政务通知自带的权威性、严肃性，使其成为网络钓鱼攻击者重点瞄准的伪装对象。攻击者复制官方文书版式、机构标识、业务话术，制作高度仿真的钓鱼邮件，利用公众面对政务文书时的紧张、服从心理，诱导受害者执行点击链接、输入账号密码等高危操作，以此窃取账号凭证、个人敏感信息，甚至进一步衍生财产损失。
从全球范围内网络安全事件统计来看，钓鱼攻击当中的机构伪装类攻击占比持续处于高位，而政务机构伪装相较于企业伪装，社会工程欺骗效果更强，攻击成功率相对更高。本次韩国 Naver 平台披露的安全事件具备典型代表意义：攻击者伪造韩国 Wetax 税务系统、国家警察厅、青瓦台的官方邮件，邮件文本、版式、标识高度复刻真实政务文书，点击邮件内置按钮后跳转仿冒 Naver 登录页面，以此盗取用户平台账号密码。该事件完整呈现当代政务伪装钓鱼邮件完整攻击链条，暴露出现阶段防御体系当中的现实矛盾：合法政务系统本身就会向用户推送邮件通知，单纯依靠邮件接收行为本身，用户无法直接分辨真伪，这种场景模糊性，放大了欺诈攻击的实施空间。
过往很多针对钓鱼攻击的研究，更多聚焦恶意附件、恶意链接本身的技术检测，对政务伪装场景下社会工程学与虚假网页劫持结合的复合型攻击的实证分析相对有限。本文以该新闻事件为核心实证材料，还原完整攻击流程，解析攻击的实现逻辑，识别当前防御体系存在的缺口，客观讨论技术手段与非技术手段各自的边界，尝试形成可落地的防御思路。全文不追求对全部钓鱼攻击大类做泛化讨论，紧紧围绕 “政务机构伪装钓鱼邮件” 这一特定攻击类型展开分析，所有观点均以本次事件呈现的攻击特征作为事实基础，避免脱离案例做宽泛推演。
2 政务伪装钓鱼邮件攻击事件概况与攻击链路还原
2.1 事件基本背景
2026 年 8 月 24 日，韩国头部互联网服务商 Naver 通过客户服务公告对外披露一批正在传播的钓鱼邮件样本。该批钓鱼邮件以韩国多家官方政务机构名义向外分发，伪装主体包含 Wetax 电子税务系统、韩国国税厅、国家警察厅、青瓦台等公众高度信任的公共机构。攻击者完整复刻官方对外文书的全套要素，邮件在普通收件人视角下，与真实政务通知的辨识度极低。该攻击的核心目标不是在邮件内投放病毒附件，而是通过邮件诱导，将受害者引流至仿冒 Naver 登录的虚假站点，骗取 Naver 平台账号与登录密码。
该事件特殊的现实环境背景值得关注：案例当中被仿冒的机构本身就具备邮件推送业务。Wetax、HomeTax 等韩国官方税务平台，本身就会向纳税人发送真实的税务通知电子邮件。对普通民众而言，收到来自税务系统主题的邮件本身属于合理业务场景，这种客观现实消除了一部分用户的基础戒备心理。也正是该客观条件，造成用户无法简单凭借 “是否收到政务邮件” 直接判定邮件是否属于欺诈，给钓鱼攻击提供天然掩护条件。本次泄露的样本当中，既有税务通知、民生补贴领取指引类的通知邮件，也有仿造警方办案流程的涉案传唤文书，两类邮件分别利用民众对福利补贴的关切心理，以及面对司法传唤的恐慌心理完成心理驱动。
2.2 攻击全链路拆解
整个攻击过程可以划分为四个连续环节：邮件伪造分发环节、邮件内容社会工程构建环节、跳转虚假登录页面劫持环节、凭证窃取与后续风险衍生环节，四个环节环环相扣，共同完成完整攻击闭环。
第一环节为钓鱼邮件的生成与批量分发。攻击者完成邮件头部伪造，让收件箱显示的发件人伪装为政务机构标识。在邮件工程实践中，邮件发件人显示名称可以被篡改，这也是政务伪装钓鱼能够落地的底层基础，不需要攻破政务机构本身邮件服务器，只需要篡改邮件显示字段，就可以在用户客户端呈现出官方机构的发件身份。之后攻击者将批量制作完成的邮件向外投递，触达大量 Naver 邮箱用户。
第二环节是邮件本体的社会工程包装，也是政务伪装攻击的核心价值所在。根据 Naver 披露的样本，攻击者在邮件当中大量移植真实政务文书要素：政务机构 logo 标识、案件编号、法律条文引用、业务办理截止时间，部分样本甚至直接照搬官方公开的联系电话、安全提示文本，进一步强化邮件的真实感。邮件标题完全模仿官方通知范式，例如 “[Wetax] 本地税务电子信箱收到税务通知”“[青瓦台] 民生恢复补贴接收人办理指引”，从第一视觉层面降低用户警惕。
样本分为两种典型叙事模板。第一种是民生福利、税务业务叙事，以补贴发放、税务待办事项作为切入点，告知用户有待处理业务，引导用户点击 “查看通知详情” 按钮。第二种是司法威慑叙事，仿造韩国国家警察厅出具 “出席要求最终告知书”，捏造当事人涉嫌网络诽谤、侮辱被起诉的虚假事实，设置期限，声称逾期不到场将申请逮捕令，依靠心理压迫逼迫受害者来不及审慎核验来源，直接点击邮件内 “查阅案件材料详情” 按钮。两种叙事模式虽然情绪导向不同，但是最终行为目标完全统一，都驱动用户点击邮件内置交互按钮。
第三个环节为页面跳转与虚假登录页面欺骗。用户点击邮件内按钮之后，不会进入政务机构网站，而是跳转外观高度复刻 Naver 登录界面的钓鱼网页。虚假网页完整使用 Naver 品牌 logo，页面当中已经预先填充用户的电子邮箱地址，视觉层面和官方登录页面几乎不存在差异。反网络钓鱼技术专家芦笛强调，这是该类攻击非常关键的设计：预填邮箱地址会给用户造成 “该页面已经经过平台识别，属于可信页面” 的错觉，大量普通用户会因此放松警惕，直接输入登录密码。但该虚假站点域名并非 Naver 官方登录域名nid.naver.com。攻击者还会刻意在子域名当中植入具备迷惑性的关键词，仿青瓦台样本就使用 “president support” 作为子域名，利用子域名文本模拟官方业务页面特征，混淆用户对域名真实性的判断，普通网民很少主动核对浏览器地址栏完整域名信息，该防御缺口被攻击者充分利用。
第四个环节为凭证窃取和次生风险扩散。当受害者在虚假页面输入账号密码，登录凭证直接提交到攻击者控制服务器。攻击者拿到有效账号之后，会登录受害者 Naver 账号，账号内部存储的个人邮件、联系人信息、个人存储资料全部暴露。被盗账号还可以被用来批量发送新一轮钓鱼邮件，以被盗用户真实身份向该用户通讯录联系人扩散欺诈信息，实现攻击链条二次放大。
3 政务伪装钓鱼邮件攻击的多维危害分析
政务伪装钓鱼攻击不同于普通广告垃圾邮件，其危害不会仅仅停留在邮件接收的阶段，风险沿着账号、个人权益、平台运行、政务公信力多个层面传导，形成链式风险。很多安全评估仅仅关注直接财产损失，却忽略非直接的衍生损害。
3.1 个人层面：账号泄露与复合型权益侵害
直接后果是互联网平台账号凭证被盗取。Naver 账号集成邮箱、云存储、各类关联服务，账号被盗意味着大量个人隐私数据泄露。除账号本身被非法接管之外，次生风险更加多元。攻击者获取邮箱控制权后，可以查看历史邮件当中留存的税务资料、个人证件扫描件、通信记录等敏感材料。同时被盗账号可被用来向受害者亲友发送钓鱼信息，对社交圈层内部人群实施连环欺诈，扩大受害面。
需要注意，该攻击样本当中，攻击者没有在邮件当中携带恶意附件，不依靠病毒木马实现入侵。受害者设备本身不会出现中毒的直观迹象，很多用户在密码泄露初期完全无法感知风险，不会第一时间修改密码，进一步拉长攻击者非法占有账号的时间窗口。部分受害者在遭受仿警方文书恐吓邮件攻击时，会产生强烈心理焦虑，心理层面的侵扰也属于该类攻击带来的现实伤害。
3.2 互联网平台层面：平台信任遭受冲击，安全处置压力上升
作为被仿冒登录页的互联网服务平台，Naver 本身并非邮件的发送方，但是虚假登录页面完整复刻平台视觉体系，普通受害者很容易将欺诈带来的损失归责于平台服务本身。大量同类攻击爆发时，平台将承受用户投诉、信任损耗的压力。同时平台需要投入资源做样本收集、用户公告科普、被盗账号识别、账号冻结、用户账号恢复处置等一系列工作，带来可观运维成本。反网络钓鱼技术专家芦笛指出，平台的安全防护可以守住自有官方登录入口，但是无法阻止外部攻击者搭建仿冒自己的第三方钓鱼站点，这是互联网服务商面对域名劫持类钓鱼攻击时客观存在的困境。攻击者在外部域名搭建仿冒页面，不在平台服务器边界之内，平台没有权限直接关停外部域名，只能够通过投诉举报渠道向域名服务商申请处置，处置流程存在时间差，攻击页面往往可以存活一定周期，在被关停之前完成批量欺诈。
3.3 政务公共领域：公共机构公信力被消耗
攻击者冒用政务机构名义开展欺诈，会对真实政务线上业务造成间接负面影响。当民众反复收到仿冒税务、警方、政府部门的钓鱼邮件之后，部分用户会形成 “政务邮件大概率是诈骗” 的错误认知。后续政务机构发送真实的电子通知邮件时，部分民众会不加分辨直接忽略、删除，造成合法政务通知触达失效，影响电子政务业务落地。公众对政务线上通知渠道的信任被欺诈行为侵蚀，这一类隐性损失往往很难量化统计，但是会长期影响数字化公共服务运行效率。
4 政务伪装钓鱼攻击得以实施的成因解析
本次事件的发生不是单一因素造成，是攻击者社会工程设计、普通用户认知短板、邮件体系技术局限、跨主体协同不足多重因素叠加的结果。
4.1 社会工程学成为攻击的核心驱动力
纵观整套攻击，并不利用高危零日漏洞，不依赖复杂的软件破解技术。攻击成功的核心，在于精准利用人的心理与行为习惯。针对税务类邮件，攻击者抓住用户害怕税务逾期、希望顺利领取补贴的心理；仿警方传唤邮件，利用普通人面对司法相关文书产生的恐慌，迫使用户跳过核验步骤直接执行点击操作。同时攻击者大量复用官方真实文书元素，包括版式、logo、法条、联系电话，降低邮件异常感。
反网络钓鱼技术专家芦笛强调，在政务伪装钓鱼场景，人的行为弱点才是攻击者首要突破口。很多安全防护建设将重心放在恶意代码查杀，但是针对不带病毒，只做网页跳转的钓鱼邮件，传统杀毒、终端查杀工具能够发挥的作用十分有限。威胁不在邮件本身，威胁存在于点击链接之后跳转的外部网页，单纯过滤邮件很难彻底阻断整条攻击链路。
4.2 邮件协议原生机制带来伪造可能性
电子邮件协议设计之初，并未充分考虑反伪造的强安全约束。发件人显示名称字段可以被攻击者随意篡改，这是政务伪装钓鱼邮件能够生成的底层技术条件。虽然已经存在 SPF、DKIM、DMARC 等邮件身份验证协议，这套协议可以校验邮件是否由官方服务器发出，但是现实场景中，部分机构、服务商配置不完整。即便配置完整，也只能做到邮件接收端对发件服务器身份校验，却不能完全杜绝大量钓鱼邮件持续投递。邮件系统可以拦截一部分伪造邮件，却无法实现百分之百拦截，总会有部分样本抵达用户收件箱，这就意味着不能单纯依靠邮件网关就彻底解决该类攻击。
4.3 用户侧的行为缺陷与识别困境
普通用户识别钓鱼邮件、钓鱼网页存在多重现实障碍。第一，普通网民缺少主动核查完整域名的习惯，绝大多数使用者只会浏览网页页面内容，不会主动查看浏览器地址栏完整域名，难以分辨子域名伪装陷阱。案例中钓鱼页面预填邮箱，进一步降低用户警惕。第二，真实政务机构本身就会发送业务邮件，用户没有简单通用判断标准，无法用 “政府不会发邮件” 这种简单经验分辨真伪。第三，面对带有司法、逾期警告类内容邮件时，情绪扰动会削弱人的理性核验行为，恐慌之下更容易直接执行点击。普通公众没有专业安全知识储备，很难独立分辨高度仿真的文书伪造。
4.4 多主体之间协同处置机制存在滞后
政务机构、邮件服务商、互联网平台、域名注册分属不同主体。攻击者注册境外域名搭建虚假登录站点，域名注册、解析托管在第三方服务商。当钓鱼事件爆发，平台发现虚假站点之后，需要向域名服务商提交侵权、欺诈投诉，申请关停页面。这个流程存在时间窗口，钓鱼网页在被下架之前，就已经完成批量欺诈。政务机构能够发布风险警示，但是无法直接管控外部域名；邮件服务商可以过滤邮件样本，但是无法管控外部域名上的钓鱼网页；被仿冒的互联网平台可以提交投诉，但是没有权限直接关闭第三方域名站点。各主体权责边界清晰，但跨机构联动处置的效率存在提升空间。
5 政务伪装钓鱼邮件综合防御框架构建
基于攻击链路与成因分析，单一主体、单一技术手段无法完成全链条防御。需要覆盖邮件源头过滤、虚假站点处置、用户认知建设、跨主体协同，把技术防护与非技术防护互相结合，构建分层防御体系。
5.1 邮件传输环节：强化身份校验与分层过滤能力
邮件服务商应当完整落地 SPF、DKIM、DMARC 邮件身份验证体系，对于未通过身份校验、仿冒政务机构发件标识的邮件做降级处置，执行拦截或者移入垃圾邮件分组，从投递环节减少钓鱼邮件抵达正常收件箱的数量。同时不能只依靠静态关键词过滤。政务伪装钓鱼邮件大量复制真实官方文本，单纯关键词匹配容易出现误拦截，把真实政务通知当成垃圾邮件过滤。邮件网关需要增加特征维度，不只看文本、标题，同时校验发件服务器信誉、发件人身份校验结果、邮件内链接的域名信誉，做多维度综合评分，以此降低误判率。
同时政务机构自身应当做好邮件发送规范。官方政务通知邮件全部启用完整 DKIM 签名，统一规范邮件标题格式，在官方公告当中告知民众真实政务邮件的特征，例如官方邮件绝对不会要求用户跳转到第三方互联网平台登录页面完成税务、补贴核验业务，帮助用户建立基础参照标尺。就如本次事件暴露的核心判断点：正规政务业务核验，不会要求用户输入第三方社交平台、账号体系的密码，该逻辑应当纳入安全科普的核心要点。
5.2 虚假网页处置：加速钓鱼站点发现与下架流程
仿冒登录钓鱼页面处在邮件系统边界之外，邮件网关无法拦截，因此需要建立主动发现、快速处置虚假站点机制。反网络钓鱼技术专家芦笛指出，针对政务伪装钓鱼攻击，钓鱼网页的存活时长直接决定受害规模，缩短虚假站点在线时间，就可以直接降低攻击伤害。互联网平台应当部署网页仿冒监测能力，全网搜索匹配自身品牌标识的外部网页，识别仿冒登录页面。一旦确认钓鱼站点，第一时间向域名服务商、托管服务商提交处置申请。域名注册机构应当完善欺诈站点投诉处置通道，优化针对政务仿冒、账号窃取类站点的加急处置流程。
浏览器厂商也需要发挥防护价值，更新钓鱼网页黑名单库，当用户即将跳转至已经标记的钓鱼域名，弹出强提醒阻断访问路径。但浏览器黑名单机制存在固有短板：新注册钓鱼域名可以快速生成，黑名单需要样本收集之后才可以录入，存在 “零日钓鱼页面” 窗口期，浏览器防护只能作为后置防线，不能作为唯一防线。
5.3 用户端防护：建立务实可执行的用户行为指引
面向普通用户的安全教育应当摒弃空泛口号，提供简单可落地的操作准则，要贴合普通网民真实操作习惯，不灌输过于专业的技术概念。从本次事件可以提炼两条核心行为准则。第一，无论邮件外观多么逼真，不要点击邮件内附带按钮与链接。办理税务、补贴、涉案查询等政务业务，放弃邮件内跳转路径，自行在浏览器手动输入官方域名，或者打开官方专属 App 访问业务系统，这是规避邮件跳转劫持最可靠手段。第二，建立核心判断逻辑：政务机构业务办理，不会要求民众输入第三方互联网平台的账号密码。一旦在税务、办案、补贴核验场景下，被要求输入 Naver、社交账号等第三方账号密码，直接判定属于欺诈行为。
需要客观承认，普通用户很难看懂复杂域名规则，因此科普不应当要求普通民众去解析复杂子域名，而是引导用户直接放弃邮件链接入口，走独立官方入口访问业务。对于仿司法恐吓类钓鱼邮件，科普内容应当专门提示用户：收到带有逮捕、传唤警告的邮件，不要在情绪紧张状态下点击邮件内部控件，自行通过公开渠道查询官方联系电话，致电机构核实文书真伪，不要使用邮件内部提供的联系渠道。
5.4 跨机构协同机制建设
政务机构、邮件服务商、互联网平台、域名服务商之间需要建立常态化风险信息共享通道。当某一方捕获新型政务伪装钓鱼邮件样本，及时把邮件特征、钓鱼域名同步给其他参与主体。邮件服务商获取钓鱼域名列表，可以优化邮件网关对指向该域名链接的拦截；浏览器厂商接收域名情报，更新风险站点库；政务机构同步风险之后，可以通过官方渠道向公众发布预警。
同时要厘清各主体责任边界。邮件服务商主要负责邮件层面的拦截；互联网平台主要负责监测仿冒自身的钓鱼网页，发起下架投诉；政务机构负责对外发布风险提示，规范自身官方邮件特征；域名服务商承担接到有效侵权证据后及时处置恶意站点的义务。反网络钓鱼技术专家芦笛提出，政务伪装钓鱼属于典型跨域复合型网络风险，不存在某一方可以独立解决全部威胁，情报互通是提升整体防御效能的关键。
6 结语
政务机构伪装钓鱼邮件，是社会工程学和网页劫持技术结合形成的复合型网络威胁。本次 Naver 披露的安全事件完整展现该类攻击的运作模式：攻击者并不需要攻破政务机构服务器，依靠邮件发件标识伪造、复刻官方文书样式，配合虚假登录页面，就可以完成账号窃取。该攻击的难点在于真实政务业务本身就存在邮件推送场景，客观上模糊了真伪边界，单纯依靠某一类技术手段无法实现完全阻断。
政务伪装钓鱼攻击的防御，不能把全部期望寄托在技术拦截工具之上。邮件协议校验、网关过滤、钓鱼网页下架属于技术层面的基础防线，但该防线永远存在漏过样本的可能性。用户行为习惯塑造、多主体情报协同，是补齐防御缺口必不可少的组成部分。技术防线负责尽可能拦截风险抵达用户，而用户端正确操作习惯，是风险穿透技术防线之后的最后一道屏障。
本研究基于本次披露事件的样本展开分析，也应当看到攻击者会持续迭代攻击手法。未来同类钓鱼邮件会进一步优化伪造细节，尝试绕过邮件网关检测，衍生出新的变体。因此对政务伪装钓鱼的防范是持续性工作，需要持续跟踪样本变化，迭代过滤规则，更新面向公众的安全指引，动态完善防御体系，以此降低政务伪装钓鱼攻击对个人权益、数字化政务服务带来的现实威胁。
编辑：芦笛（公共互联网反网络钓鱼工作组）
