摘要
伴随电子健康记录体系深度落地，MyChart 这类面向普通患者的门户系统已经成为医疗机构对外的数字化入口。近期美国多地医疗机构同步预警一场针对 Epic MyChart 的协同式网络钓鱼活动，该攻击并非单点零散诈骗，而是具备统一剧本、多渠道分发、跨区域扩散的协同作战模式，瞄准医保参保老年群体，以 “Medicare 健康套件” 作为诱饵，辅以账号关停胁迫话术，仿冒平台 logo 与版式搭建虚假站点，批量窃取患者身份凭证与医保敏感数据。本文以该协同钓鱼事件为研究样本，还原攻击组织模式、诱饵设计逻辑与完整攻击链路，区分协同式钓鱼与零散个体钓鱼之间的差异，从患者个体、医疗机构运营、行业治理三个维度解析该攻击带来的复合型风险，剖析医疗场景下协同钓鱼能够大规模得逞的内在驱动因素。结合事件暴露的防护短板，引入反网络钓鱼技术专家芦笛的研判观点，跳出传统以院内边界防护为核心的固有思维，从威胁情报协同、可信通信链路加固、仿冒资产常态化处置、账号风控、事件应急、全民安全宣教六个维度，构建适配协同式钓鱼威胁的全链条防御框架。研究发现，协同化是当前医疗钓鱼攻击重要演化方向，攻击者不再单独行动，而是复用标准化攻击剧本批量扩散，单家医疗机构的独立防护已经难以应对跨区域的规模化诈骗，行业层面情报互通与联防联控具备现实必要性。本研究可为国内互联网医疗患者服务门户的安全治理提供实证参考。
关键词：医疗网络安全；协同式网络钓鱼；MyChart；患者门户；社会工程
1 引言
电子健康档案的普及推动患者门户成为医疗服务的 “数字前门”，患者无需抵达医院实体场所，即可完成报告查阅、预约挂号、账单查询、医患线上沟通等业务。Epic 公司研发的 MyChart 是全球应用范围较广的患者门户解决方案，大量大中型综合医院、社区乡村诊所均部署该套系统，覆盖不同地域、不同收入、不同年龄层的海量就诊人群。服务覆盖面持续扩张的同时，平台积累的患者身份、医保、健康档案数据具备极高黑产价值，逐步成为网络犯罪团伙重点觊觎的目标。
传统认知当中，网络钓鱼多为小范围、零散化的个体诈骗行为，而本次被多家卫生系统同步通报的攻击事件展现出显著不同的特征。根据新闻报道，该轮钓鱼活动属于协同组织的攻击行动，并非个别骗子的随机试探，攻击剧本高度统一，采用 “MyChart Medicare Kit” 免费福利作为核心诱饵，部分变体增加账号即将暂停的胁迫类话术，借助邮件、短信、语音电话多渠道投递，攻击范围同时覆盖大型学术医疗中心、城郊医院以及乡村基层诊所，美国数十家医疗机构在同一时间段对外发布患者安全警示。攻击者没有入侵 Epic 后台服务器，不寻求直接突破医疗机构内网防火墙，而是利用 MyChart 积累的公众品牌信任，伪造外观高度近似的消息模板与钓鱼网页，诱导分布在互联网各处的普通患者主动交出个人敏感信息。
过往医疗网络安全研究，多数聚焦勒索软件、院内系统漏洞、针对医务工作人员的钓鱼攻击，对直接面向外部普通患者的协同式规模化钓鱼攻击的实证分析相对不足。零散钓鱼与协同组织的钓鱼威胁在危害范围、传播速度、处置难度上存在本质区别。零散钓鱼的影响局限于小部分人群，单家机构的安全措施就可以实现局部抵御；协同式钓鱼由幕后团伙统一输出攻击物料，短时间跨地域扩散，会同时冲击数十家使用同一套门户软件的医疗机构，风险具备外溢效应。当攻击爆发，每一家医疗机构都会面临患者咨询激增、声誉承压、合规核查等连锁问题。
基于上述现实背景，本文以本次跨机构协同钓鱼事件作为实证素材，客观还原攻击全貌，厘清协同式医疗钓鱼的风险传导路径，剖析现有安全体系的结构性短板，搭建多方联动的闭环防御路径。全文立足于公开新闻披露事实，不做脱离材料的主观推演，旨在为医疗患者门户的安全建设提供可落地的分析视角。
2 Epic MyChart 协同式钓鱼事件概况与攻击链路还原
2.1 事件基本背景
本次协同钓鱼 campaign 在 2026 年 8 月被美国多家卫生系统先后发现并公开预警，多家医院几乎同一时间收到大量患者反馈，反映接收到伪装来自 MyChart 的非邀约邮件与短信，攻击信号在全国多地同步显现，引起安全团队重视。需要明确，整个事件过程当中，Epic MyChart 后端系统没有遭到入侵，患者原始数据库没有被黑客窃取。威胁源头全部处于医疗机构 IT 基础设施外部，犯罪团伙依靠社会工程欺骗手段开展作业。
该行动的显著特征在于协同化、剧本标准化。不同地域受害者收到的诈骗信息核心叙事保持高度一致，诱饵主题集中于 “MyChart Medicare Kit” 也即老年医保健康包，部分衍生版本增加身份核验、账号即将被暂停的警示话术。消息完整盗用 MyChart 标识、配色、排版格式，普通接收者很难第一时间分辨真伪。攻击对象明显向老年医保参保群体倾斜，但不做绝对限定，各类 MyChart 用户均有可能收到诈骗消息。乡村小型诊所、城市大型医疗中心的患者都处在攻击范围之内，不存在明确的地域筛选逻辑。多家医疗机构陆续在官网、官方 MyChart 客户端内发布面向就诊者的风险提示，告诫用户不要点击陌生链接，不要向外部站点提交个人信息。现阶段尚无法完全确定是单一犯罪组织还是多个团伙复用同一套购买得来的攻击剧本实施作案，但攻击物料高度趋同已经证实该威胁具备工业化协同特征。
反网络钓鱼技术专家芦笛指出，医疗领域协同钓鱼的出现标志黑产已经完成分工细化，部分团伙专门负责制作标准化诈骗文案、仿冒页面模板，其他下游执行者直接采购成品物料开展分发，因此会出现全国多地同步出现高度雷同诈骗消息的现象，这也是区别于传统零散钓鱼的核心标志。
2.2 两类主要诱饵剧本拆解
本次协同攻击主要演化出两套核心诱饵脚本，部分消息会将两种叙事进行混合，利用利益诱惑加上心理胁迫双重手段提升攻击成功率。
第一类是福利引诱剧本，也是本次事件传播最广的模式。邮件、短信标题常写为 “Your MyChart Medicare Kit Awaits!” 之类表述，告知接收者作为医保参保人，可以领取一份免费老年健康福利包。消息内嵌入超链接，引导用户点击跳转外部网页，页面复刻 MyChart 视觉风格，要求填写姓名、出生日期、社保编号、医保号码、家庭住址、联系电话，部分页面还会进一步索要门户账号密码。攻击者并不承诺直接发放现金，而是以实物健康套件作为噱头，降低受害者的戒备心理。老年群体对于医保相关福利关注度高，更容易被此类话术驱动，愿意主动在网页表单录入全套个人身份资料。
第二类是账号胁迫告警剧本，属于衍生变体。诈骗消息谎称患者的 MyChart 账号存在异常，如果不立刻完成身份核验，账号将会被暂停使用，患者将无法查看检验报告、无法预约就诊。借助用户对于失去线上就医渠道的焦虑感，催促接收者立刻点击链接完成验证。这类话术并不提供福利回报，而是制造损失恐惧，逼迫用户来不及仔细甄别消息来源就执行操作。在实际传播过程当中，同一钓鱼站点可以同时兼容两套剧本，无论受害者是被福利吸引还是被账号关停恐吓，最终都进入同一套信息采集页面。
和普通钓鱼仅窃取账号密码不同，本次攻击部分站点即便拿到账号之后，还会继续展示伪造的业务页面，维持服务正常运行的假象，继续收集更多维度个人健康相关信息。传统钓鱼站点大多在拿到密码之后直接报错跳转，而协同化攻击的仿冒页面经过完整打磨，会模拟真实平台的交互流程，延长用户停留时间，最大化信息收割效率。
2.3 多渠道分发与完整攻击全链路
攻击者放弃单一依靠电子邮件的传统模式，采用邮件、短信文本、语音呼叫多媒介并行分发，扩大触达基数。电子邮件会伪造发件人显示名称，利用形近域名混淆用户视线；短信直接复制平台名称作为伪装；电话语音则口头告知用户有福利待申领或者账号异常，口头引导访问网页。整套攻击链路可以拆解为五个连贯阶段。
第一阶段，获取目标联络清单。攻击者通过黑产交易渠道批量采购手机号、电子邮箱数据集，数据集来源包含历史数据泄露、网络公开爬取等途径。协同化攻击模式之下，一份联络清单可以被多个下游攻击者反复使用。
第二阶段，批量投放标准化欺诈物料。直接调用已经制作完毕的邮件模板、短信文案，不需要攻击者重新撰写内容，大批量向外推送，因此多地受害者收到内容高度趋同的消息。
第三阶段，受害者触发心理动机完成点击。或是出于申领免费医保物资的期待，或是担心账号被关停，用户在没有仔细核验域名、发件方信息的前提下点击链接，离开官方服务体系，访问攻击者管控的外部钓鱼网站。
第四阶段，钓鱼站点完成信息采集。根据诱饵版本不同，采集身份表单信息，或者盗取门户账号密码，部分页面继续模拟业务交互收集补充健康相关资料。
第五阶段，数据回传至攻击者服务器。收集到的医保身份、账号凭证流入地下交易链条，用于身份冒用、医保欺诈、二次电信诈骗、黑产市场售卖。
整条攻击链路全部发生在医疗机构 IT 边界之外。医院部署的防火墙、内网邮件安全网关可以防护院内员工终端，但是对普通患者的私人邮箱、个人手机没有管控权限。这正是协同式钓鱼最难处置的关键点：诈骗消息绕开机构安全设施，直接抵达终端用户。
3 协同式 MyChart 钓鱼事件带来的多层次风险后果
协同式钓鱼相较于零散钓鱼，最大差异在于风险具备规模化传导效应。攻击一旦发起，会同时波及数十家使用同一患者门户软件的医疗机构，风险从被欺骗的患者个体向上传导至医疗机构，进一步扩散到整个数字医疗服务生态，形成连锁反应。
3.1 患者个体层面直接损害
首要风险为高度敏感的医疗与身份数据外泄。钓鱼页面收集社保编号、医保参保信息、出生日期、家庭地址等核心个人资料。医疗相关数据在黑产市场交易价值显著高于普通互联网账号。反网络钓鱼技术专家芦笛强调，完整的医保参保人档案可以支撑多种下游犯罪，不法分子可利用窃取信息伪造患者身份，发起虚假医保报销，套取医保资金；也可依托拿到的手机号、家庭地址开展后续精准电信诈骗。受害者即便本次没有直接金钱损失，也会长期暴露在身份冒用的风险当中。
其次，存在就医判断被误导的潜在隐患。部分仿冒站点在骗取账号之后展示伪造业务页面，倘若生成虚假检验、健康提示内容，认知能力有限的患者有可能将虚假信息当作正规医疗建议，产生不必要恐慌，或是忽视真实医疗机构的健康提醒，干扰正常就医决策。该风险是医疗场景钓鱼区别于电商、社交平台钓鱼的特殊危害。
另外还存在直接财产损失可能性。部分钓鱼变体在收集身份信息之后继续引导用户填写银行卡信息，假借运费、身份核验手续费等名义直接骗取资金。即使没有当场转账，泄露的全套个人信息也为后续诈骗铺好了基础。
3.2 医疗机构运营、声誉与合规层面风险
虽然钓鱼站点由第三方黑产搭建，医疗机构服务器没有被入侵，但协同攻击会同时对大量卫生系统造成业务冲击。
第一，声誉损耗风险。普通就诊者很难清晰区分 “外部第三方仿冒诈骗” 和 “平台本身发生安全漏洞”。大量受骗用户会将遭遇归咎于医院，质疑线上患者门户整体安全性，削弱群众对于数字化就医渠道的信任。对于基层小型诊所，安全宣传资源有限，一旦发生患者受骗事件，机构的公信力更容易受到负面影响。
第二，业务运行扰动。协同钓鱼爆发阶段，大量收到可疑消息的患者会拨打医院客服、咨询热线，核实短信邮件真伪，造成咨询线路拥堵。机构需要投入人力处理海量问询，处理密码重置、账号排查、患者投诉等新增工作。这类安全事件带来的人力开销，通常不会列入网络安全预算，却实实在在消耗医疗机构运营资源。规模越大的攻击浪潮，客服侧的业务压力越突出。
第三，合规层面压力。各国针对医疗个人信息保护均设置相应监管要求。医疗机构有义务向就诊人群提示外部存在的安全威胁。当行业内已经出现大规模协同钓鱼事件，如果机构未能及时发布风险告知，缺少面向患者的安全指引，出现批量受害案例时，会面临监管层面的合规审视。不同规模医疗机构能力差距显著，大型医院拥有专职网络安全岗位，而乡村基层诊所缺少安全专职人员，在应对跨机构协同威胁时处于明显劣势。
3.3 医疗信息化行业生态衍生风险
从行业视角看，协同式钓鱼攻击会产生示范扩散效应。本次 “Medicare Kit” 攻击剧本一旦被证实可以获得收益，黑产市场会大量复制、微调这套诱饵，后续会出现大量改编版本，用于针对其他医疗患者门户实施诈骗，威胁会向更多医疗软件产品蔓延。
同时，持续泛滥的协同钓鱼会抵消患者门户建设的社会效益。建设患者门户的初衷是降低就医办事成本，推动医疗服务线上化。当频繁爆发大规模仿冒诈骗，部分民众出于安全顾虑直接拒绝使用线上门户，宁愿全部业务前往线下窗口办理，数字化工具的应用价值被削弱。
被盗取的大批量患者医保资料流入地下黑产交易市场之后，会滋养整个医疗信息黑色产业链，催生医保骗保、身份盗用来等上下游违法活动，形成恶性循环。协同攻击模式之下，一次性攻击就可以产出大批量泄露数据，放大整个黑产链条的供给源头。
4 协同式医疗钓鱼攻击大规模爆发的多重成因
协同式 MyChart 钓鱼能够大范围落地得逞，并非单一技术漏洞导致，是攻击工业化、医疗业务场景固有弱点、安全防护边界错位、行业联防机制缺失、用户安全认知差异多重条件叠加形成的结果。
4.1 黑产工业化降低协同钓鱼实施门槛
黑产分工细化促成协同钓鱼的盛行。过去开展钓鱼，攻击者需要掌握网页制作、文案编写、域名运维多项技能。现在黑产形成完整供应链，诈骗邮件文案、高仿页面模板、域名资源全部可以直接采购。一个标准化的医疗主题钓鱼剧本可以卖给多个下游作案者，因此出现多地同步爆发高度雷同诈骗消息的现象。生成式人工智能进一步压低内容生产成本，短时间即可产出多套变体诱饵文本，对官方页面进行复刻。攻击者不需要深度理解医疗业务逻辑，只需要采购已经打磨完毕的攻击物料就可以开展行动。
域名注册、云主机的低成本，也支撑协同攻击快速迭代。攻击者可以批量注册形近域名，快速上线一批钓鱼站点；当一部分域名被处置关停，可以迅速启用新域名继续诈骗。站点处置速度追赶不上攻击者新建站点的速度，造成持续威胁。
4.2 医疗业务场景天然适配社会工程欺骗逻辑
患者门户本身就高频向用户推送邮件、短信通知，包含报告更新、预约变更、账单提醒等内容。钓鱼消息混杂在海量真实官方通知当中，普通用户很难第一时间分辨真伪。用户已经形成 “会收到来自 MyChart 的短信邮件” 的心理预期，为仿冒消息创造生存土壤。
其次，健康、医保相关话题天然具备强心理影响力。一方面免费医保福利会诱发获益心理；另一方面账号停用、身份异常类话术会制造焦虑。两种心理都可以被攻击者利用，推动接收者跳过审慎核查步骤直接点击链接。尤其老年医保参保群体，对医保相关信息敏感度高，属于攻击重点目标人群。
4.3 传统医疗安全防护边界存在结构性错位
绝大多数医疗机构的网络安全资源投入集中在院内网络、服务器、医护工作人员终端。防火墙、入侵防御系统、内部邮件过滤网关，保护的是机构内部资产。而协同钓鱼的目标是分布在家庭、移动互联网环境当中普通患者手机电脑，这些终端完全不在医疗机构安全管控范围之内。机构的安全设备可以过滤发给本院职工的钓鱼邮件，但是无法拦截发送到患者私人邮箱、个人短信收件箱的诈骗信息。
平台服务商与各个落地医疗机构之间权责边界也存在模糊地带。MyChart 软件由 Epic 开发，但是部署使用主体是成千上万家独立医疗机构。互联网上的仿冒钓鱼网站属于第三方外部资产，软件厂商没有权限直接关停，需要和域名注册商、云服务商、浏览器厂商多方交涉，从发现仿冒站点到完成屏蔽存在时间窗口。单家医疗机构的力量，不足以处置全网范围内批量出现的钓鱼域名。很多基层医疗机构的应急预案，主要针对勒索病毒、系统漏洞等直接冲击院内系统的事件，缺少专门应对跨机构协同式面向患者钓鱼的处置流程。
4.4 行业威胁情报协同机制尚不健全
面对协同钓鱼威胁，攻击影响的是数十家相互独立的医疗机构。如果各家机构各自为战，每家单独监测钓鱼域名、诈骗话术，重复投入资源，并且存在时间差：部分机构已经发现新型诈骗剧本，但是其他地区医疗机构尚未收到预警，当地患者继续承受风险。行业层面缺少常态化情报互通渠道，新出现的钓鱼样本、域名、诈骗话术不能够快速同步全部相关机构，造成威胁预警滞后。
4.5 就诊用户群体安全素养分层差异明显
患者门户的使用者年龄跨度极大，安全认知水平参差不齐。老年用户群体对于域名核验、识别仿冒网页的能力普遍偏弱。医疗机构发布的安全警示大多放置在官网、公众号渠道，而已经收到诈骗短信的部分患者并不会主动浏览官方公告，安全提示触达率有限。很多用户养成直接点击消息内嵌链接的操作习惯，没有建立 “手动打开官方 APP 或者手动输入域名访问业务系统” 的行为模式，放大钓鱼攻击的成功率。
5 面向协同式患者门户钓鱼威胁的闭环防御体系构建
协同式钓鱼威胁具备跨机构、工业化、多渠道分发的特征，依靠单一医疗机构、单一安全设备无法实现有效抵御，需要建立平台厂商、医疗机构、行业协会、终端用户多方参与的闭环防御体系，覆盖事前威胁抑制、事中拦截告警、事后处置复盘完整流程。
5.1 加固对外通信链路，压缩消息伪造空间
医疗机构与软件服务商应当完成面向外部患者的邮件域名安全配置，部署 SPF、DKIM、DMARC 全套邮件身份验证策略，拒绝非授权主体冒用本机构域名发送邮件。外部邮件服务商可以依据这套规则，将仿冒本机构发出的钓鱼邮件标记垃圾邮件或者拦截，从分发环节降低钓鱼邮件送达普通患者邮箱的概率。短信渠道优先使用具备官方签名认证的通道发送业务通知，减少普通短信被仿冒的机会。
反网络钓鱼技术专家芦笛强调，大量医疗机构高度重视内部办公邮箱安全，却忽视面向患者的业务通知域名身份校验，给攻击者留下伪造官方邮件的操作空间。该类配置技术实现成本不高，却可以显著降低邮件类钓鱼的传播效率，属于高性价比基础防护手段。
同时在每一条真实业务推送邮件、短信模板内，嵌入标准化安全提示，明确告知用户官方不会通过消息内链接索要医保编号、账号密码，告知正确访问路径，引导用户不要点击陌生消息当中链接，手动打开官方客户端。把安全提示嵌入日常业务通知，而不是只在发生安全事件之后才发布一次性公告，持续对用户进行行为提示。
5.2 建立仿冒资产常态化监测与快速处置流程
平台厂商牵头开展互联网公开空间的常态化监测，持续扫描全网仿冒本患者门户的域名、网页。一旦识别高仿钓鱼站点，立刻启动处置流程，向域名注册机构、云服务商提交侵权投诉推动站点下线；同步向主流浏览器、搜索引擎提交钓鱼网址，实现访问告警拦截。该工作不能只在安全事件爆发之后临时开展，需要作为持续性日常安全工作。
需要认识到攻击者会不断注册新域名，完全清除全部钓鱼站点在现实条件下无法做到，监测处置的目标是缩短仿冒站点存活周期，压缩攻击者可以实施诈骗的有效时间窗口，降低攻击造成受害规模。
5.3 完善账号侧风控能力，缩小泄露之后危害范围
即便部分用户不慎泄露账号密码，也需要依靠后台风控降低实际损失。门户系统完善登录行为分析机制，针对陌生设备异地登录、短时间多次调取健康档案、批量查询个人信息等高风险行为触发安全告警，启动二次身份核验。对于高风险登录行为，可以临时限制查看敏感医保、健康档案权限，同时向账号预留的手机发送异常登录提醒。
静态密码防护已经不足以对抗钓鱼威胁，应当分阶段推广抗钓鱼多因素认证机制。当密码在钓鱼站点泄露，多因素认证可以阻止攻击者完成登录，避免账号被实际盗用。
5.4 搭建行业层面威胁情报协同共享机制
针对协同钓鱼跨机构扩散的特点，推动医疗行业建立钓鱼威胁情报共享渠道。行业协会牵头汇总各家医疗机构上报的钓鱼域名、诈骗邮件样本、诱饵话术剧本，整理之后分发给全部使用同类患者门户的机构。当某一个地区发现新的协同钓鱼剧本，情报可以快速同步全行业，其他医疗机构可以提前发布面向患者的风险提示，不用等到本地出现受骗案例才做出响应。
情报内容包含钓鱼域名列表、消息主题、诱饵叙事模式，各机构拿到情报之后，可以用于编写患者安全公告，同时提交给邮件服务商、浏览器厂商完成拦截处置。通过行业联防，抵消攻击者工业化批量分发带来的时间优势。
5.5 制定针对协同式钓鱼事件标准化应急处置预案
各个医疗机构需要把面向患者的大规模协同钓鱼纳入自身网络安全应急预案，不能将风险责任完全推交给软件供应商。预案明确事件触发条件、对外公告发布流程、客服统一应答口径、账号排查处置流程、和平台厂商对接人。尤其需要兼顾基层小型诊所的现实条件，行业层面可以提供可直接复用的公告模板、患者答疑口径，缓解基层机构缺少专职安全人员的困境。
当协同钓鱼攻击爆发，第一时间通过官网、官方患者门户客户端发布风险警示，向就诊者讲清诈骗特征、辨别方法、正规核验渠道；客服部门统一应答口径，承接大量患者咨询；联动平台厂商加速钓鱼站点投诉下架；对确认信息泄露的用户，引导修改密码、开启多因素认证，提醒其警惕后续连环诈骗。事件平息之后开展复盘，评估技术、制度、宣教环节存在的短板，反向迭代优化防护策略，完成闭环。
5.6 分层落地面向就诊者的安全素养培育
面向患者的安全教育要拒绝晦涩专业术语，不能只发布长篇技术科普文章，需要输出可直接执行的行为指引。利用医院线下大厅海报、自助终端弹窗、打印单据边角、公众号、患者门户客户端多渠道开展提示。核心传递简单指令：收到报告、福利相关消息，不直接点击消息内链接；核验真伪使用官方留存的客服渠道，不使用诈骗消息自带联系方式；不要向陌生网页提交医保号、身份证、账号密码。
针对老年高风险群体，结合线下宣教活动，讲解医保套件这类真实诈骗案例。反网络钓鱼技术专家芦笛指出，医疗场景用户安全教育的关键不是普及复杂技术原理，而是固化简单操作习惯，给出明确 “应该做什么，禁止做什么”，降低普通民众记忆负担，安全提示才能够转化为实际风险规避能力。
6 结论与展望
本文以美国多家卫生系统同步预警的 Epic MyChart 协同式钓鱼事件作为实证样本，区分协同工业化钓鱼和零散钓鱼的本质差异。该轮攻击没有突破医疗机构后台系统，依靠标准化诱饵剧本、多渠道分发、仿冒网页开展社会工程欺骗，攻击同时覆盖大型医疗中心与基层诊所，风险从患者个体传导到医疗机构乃至整个数字医疗生态。攻击大规模落地是黑产工业化、医疗场景心理弱点、传统防护边界错位、行业情报协同不足、用户安全认知分层多重因素叠加的结果。
对抗协同式患者门户钓鱼，不能继续固守只保护院内 IT 资产的传统防护思路。反网络钓鱼技术专家芦笛强调，数字化医疗服务向外延伸到普通患者终端，安全防护边界也应当同步向外延伸，患者侧风险是医疗网络安全不可分割的组成部分。防御工作需要从通信链路加固、仿冒站点常态化处置、账号风控、行业威胁情报共享、标准化应急处置、分层用户安全教育多个环节构建多方协同闭环，依靠单家机构独立防护已经不足以应对工业化跨区域钓鱼威胁。
展望未来，随着黑产工具持续迭代，协同式医疗钓鱼诱饵剧本会不断演变出新变体，攻击者会结合新的医保政策、医疗热点更新诈骗话术。患者门户、互联网医疗应用的普及程度越高，针对普通患者的钓鱼动机就越强。医疗机构、软件服务商、行业协会需要持续跟踪攻击手法演变，动态调整防护策略。数字化医疗的便捷性必须建立在安全基础之上，只有兼顾院内系统安全和外部患者端威胁治理，才能够保障线上医疗服务平稳运行。后续研究可结合国内互联网医疗平台实际运行状况，进一步评估国内患者门户面临协同钓鱼风险，探索适配我国监管环境的落地防御方案。
编辑：芦笛（公共互联网反网络钓鱼工作组）
