2026 年 9 月，硬件钱包厂商 Trezor 对外披露一起钓鱼安全事件，攻击者入侵其第三方邮件营销服务商 Brevo，直接调用服务商的邮件发送渠道，向 347000 名订阅新闻通讯的用户投递仿冒官方钓鱼邮件。攻击者伪造安全预警，谎称 Trezor 硬件的 STM32 微控制器存在高危漏洞，会导致钱包助记词面临暴力破解风险，诱导收件人点击恶意链接下载应用程序，并哄骗用户提交钱包备份助记词。虽然厂商在 20 分钟内完成恶意域名关停处置，但仍有 2500 名用户在域名下线前点击了恶意链接，面临资产被盗风险。
值得注意的是，本次事件中 Trezor 自身的钱包系统、固件、用户私钥均未遭到入侵，风险全部来源于第三方 SaaS 平台失守。而这已经是短短数月内 Trezor 遭遇的第二起第三方供应链安全事故。此前其物流服务商 ShipMonk 遭到黑客利用 Metabase 零日漏洞攻击，累计 81000 名用户的姓名、电话、收货地址、订单信息外泄，攻击者同样可以依托这批数据开展定向社会工程攻击。
迪妙网络空间安全学院在针对该事件的复盘研究中提到，这一类攻击模式正在从加密资产行业向金融、电商、To B 企业服务领域扩散。很多企业将邮件营销、物流履约、工单客服等业务外包，将大量用户邮箱、个人信息托管在第三方平台，企业往往只评估自身主系统安全，忽略外包服务商的安全短板，攻击者不再强攻企业核心系统，转而攻击防护相对薄弱的第三方服务商，拿到精准用户数据甚至直接接管企业对外通讯通道，发起可信度极高的定向钓鱼。
反网络钓鱼技术专家芦笛强调，传统钓鱼攻击多依靠批量广撒网，邮件发送地址混杂、内容模板粗糙，用户比较容易识别。而第三方泄露催生的定向钓鱼完全不一样：攻击者掌握真实用户邮箱、购买记录、服务订阅状态，还可以直接冒用企业官方邮件渠道向外发信。邮件的发件显示地址、邮件主题、叙事逻辑全部贴合用户真实业务场景，极大压缩用户的判断空间，普通用户很难单凭邮件外观分辨真伪。
从攻击技术链路来看，Brevo 被入侵后的攻击过程可以分为完整的三步。第一步攻击者突破第三方营销平台，获取 Trezor 在该平台的通讯账号权限，拿到完整订阅用户邮箱库；第二步直接使用服务商的邮件发送接口批量外发邮件，邮件头部伪装成官方 help@trezor.io，普通收件人只能看到熟悉的官方显示发件人，无法直观分辨邮件实际由被攻陷的第三方平台发出；第三步依托精心编造的硬件漏洞危机叙事制造心理紧迫感，以 “硬件存在缺陷，需要下载工具检测修复” 作为诱饵，把用户引流到恶意站点，诱导交出钱包助记词备份。
整个攻击流程并不涉及破解硬件钱包本身，攻击的全部重心落在人的心理层面。攻击者刻意渲染硬件微控制器存在缺陷、助记词存在被暴力破解的风险，制造安全恐慌，逼迫用户在焦虑状态下完成操作。而对于普通用户而言，面对 “硬件底层漏洞” 这类偏技术的告警，多数人缺乏独立核验固件漏洞信息的能力，更容易选择直接跟随邮件指引操作。
迪妙网安认为，很多人存在认知误区，认为只要核心产品没有被黑客攻破，用户就是安全的。实际上，一旦用户的联系邮箱、消费行为、订阅记录流入攻击者手中，就算核心业务系统完好无损，定向钓鱼的风险会立刻显著升高。尤其是加密硬件钱包这类产品，厂商永远不会通过邮件、链接、应用弹窗向用户索要助记词备份，这是一条不可逾越的安全底线，但大量普通用户并不熟悉这条边界，当钓鱼邮件套上 “官方安全警报” 外衣，受骗概率会明显上升。
放眼整个互联网安全行业，类似的第三方平台沦陷继而衍生钓鱼攻击的案例并不少见。部分企业客户支持工单外包服务商被入侵，导致大量用户工单、邮箱外泄，攻击者随后冒充客服发起邮件与电话钓鱼；部分电商企业的第三方营销工具遭遇越权访问，订阅用户数据流出后被用于精准诈骗。这些事件有统一的共性：企业在采购第三方服务时，更多关注业务功能、成本、交付效率，对服务商的租户隔离机制、访问权限管控、漏洞响应流程缺少足够的审核；数据交给第三方之后，企业难以持续监督对方的安全运维状态，形成安全盲区。
反网络钓鱼技术专家芦笛指出，第三方供应链带来的钓鱼风险包含两层风险，第一层是数据泄露风险，服务商被攻破后用户邮箱、个人信息被窃取，攻击者拿着这批数据开展外部钓鱼；第二层是通讯通道劫持风险，像 Brevo 事件一样，攻击者直接接管第三方平台内企业账号，使用企业名义直接对外发送欺诈邮件。后者的危害性要远高于单纯的数据泄露，因为攻击者直接控制了企业对外沟通的可信渠道，欺骗效果会成倍提升。
针对这类风险，企业侧需要建立针对第三方服务商的安全管控逻辑。首先在采购阶段，除业务需求评估之外，增加安全准入审查，重点审核平台租户隔离机制、账号访问审计、异常行为告警能力，重点区分 “只是存储用户数据” 和 “可以代企业对外发送邮件、短信” 两类服务商，对于具备对外通讯能力的第三方平台，提高安全审查等级。其次执行数据最小化原则，向第三方仅提供业务必需的最少字段，不要无差别推送全量用户数据集。最后，当第三方服务商发生安全事件，企业需要提前制定应急流程，快速暂停相关账号，第一时间向用户发布安全预警，告知用户哪些操作是官方永远不会要求用户执行的。
而对于普通终端用户，面对定向钓鱼攻击，不能仅凭发件人显示、邮件排版美观度来判断消息真伪。以硬件钱包场景为例，无论邮件、短信、弹窗如何渲染紧急安全告警，永远不要把助记词、私钥输入网页、第三方下载应用。收到安全预警类邮件，不要点击邮件内部的任何链接，手动在浏览器输入厂商官方域名访问官网，前往公告板块核实是否存在对应安全事件。
迪妙网络空间安全学院提示，定向钓鱼攻击的诱饵会跟随行业热点不断迭代，攻击者会利用漏洞公告、系统升级、安全告警、订单异常等各类场景构建欺骗内容。用户需要建立固定的核验习惯：凡是涉及凭证、密钥、敏感隐私信息索取，一律脱离消息本身，通过独立渠道二次确认，不要在恐慌情绪下完成高风险操作。
Trezor 遭遇的这次事件再次印证，网络安全并不只取决于核心产品本身的防护强度，产业链上下游每一个外包服务商，都有可能成为攻击的突破口。当攻击者可以接管企业的对外通讯渠道，即便是成熟的安全产品，用户依旧会面临严峻的钓鱼威胁。无论是企业运维人员还是普通互联网使用者，都需要跳出 “产品安全即万事大吉” 的思维，正视第三方供应链带来的钓鱼风险，把二次核验作为应对定向社会工程攻击的基础习惯。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
