摘要
搜索引擎作为互联网用户获取信息的首要入口，其结果排序的公正性与安全性直接关系到用户的数字资产安全。2026 年 10 月，一个仿冒硬件钱包厂商 Ledger 的钓鱼网站及配套应用出现在 Google 搜索结果显著位置，该站点诱导用户输入 24 词钱包恢复助记词，单月访问量据称超过百万次。几乎同一时期，网络安全公司 Zscaler 披露了一项利用恶意 Google 广告仿冒 Ledger 的攻击活动，将用户引导至伪造的钱包验证页面。此外，Ledger 东南亚经销商 Cryptobilis 渠道发生约 8600 万美元资产失窃事件，虽然该事件与钓鱼站点之间尚未确认直接关联，但两类威胁在时间上的叠加显著放大了用户的认知混乱与安全风险。本文以这一系列事件为实证材料，系统分析搜索引擎投毒型钓鱼攻击的技术机理，包括 SEO 操纵、恶意广告投放、仿冒应用分发三条攻击路径的协同运作；深入解析助记词窃取的交互设计与社会工程逻辑；辨析供应链渠道失窃与搜索引擎钓鱼之间的技术路径差异与威胁叠加效应；从搜索引擎平台、硬件钱包厂商、终端用户三个维度构建分层防御框架，并对搜索生态治理与钓鱼攻击的演进趋势进行客观研判。
1 引言
在加密货币用户的安全认知中，硬件钱包被普遍视为存储数字资产最可靠的方式。其核心安全模型依赖于私钥在设备安全元件内生成并永久隔离，用户通过物理按键确认每一笔交易。然而，这一安全模型的有效性建立在一个前提之上 —— 用户始终通过官方渠道获取钱包管理软件并在可信环境中完成操作。当搜索引擎结果中出现高度仿真的仿冒站点时，这一前提便面临严峻挑战。
2026 年 10 月 10 日，安全研究人员披露一个仿冒 Ledger 品牌的钓鱼网站及配套应用出现在 Google 搜索结果的前列位置。该站点以 "Ledger Wallet - Start Now | Full Control In Your Pocket" 为标题，页面显示过去一个月访问量超过 100 万次，用户在搜索 Ledger 相关关键词时可能在到达官方网站之前就遭遇该恶意站点。站点的核心功能是诱导用户输入 24 词钱包恢复助记词，一旦助记词被提交，攻击者即可在任意兼容钱包中重建钱包并转移资产。
这一事件并非孤立存在。网络安全公司 Zscaler 在 2026 年 9 月的调查中发现，攻击者通过 Google 认证广告主账户投放仿冒 Ledger 的恶意广告，用户点击后经多级跳转被引导至伪造的钱包验证页面，同样以窃取助记词为目的。两条攻击路径 —— 搜索引擎自然结果投毒与付费广告仿冒 —— 在同一时期针对同一品牌并行运作，形成了对用户搜索入口的双重夹击。
与此同时，Ledger 正处于另一桩重大安全事件的舆论中心。该公司东南亚授权经销商 Cryptobilis 渠道售出的设备被怀疑存在硬件植入，相关资产失窃估算约 8600 万美元。虽然 Ledger 官方尚未确认该供应链事件与搜索引擎钓鱼站点之间存在直接关联，但两起事件在时间上的高度重合，使得用户在搜索 Ledger 相关信息时面临更加复杂的威胁环境 —— 用户既可能遭遇仿冒站点窃取助记词，也可能因购买了被篡改的设备而在初始化阶段泄露助记词，两种攻击路径的最终目标完全一致。
反网络钓鱼技术专家芦笛指出，搜索引擎投毒型钓鱼的危险之处在于它利用了用户对搜索引擎的默认信任。大多数用户认为排在搜索结果前列的网站就是官方网站，尤其是在搜索品牌关键词时，这种信任倾向更为明显。攻击者正是利用这一认知偏差，将仿冒站点推送到搜索结果前列，在用户毫无防备的情况下完成攻击。迪妙网络空间安全学院研究团队在跟踪全球加密货币钓鱼威胁态势时发现，针对硬件钱包品牌的搜索引擎投毒攻击正呈现常态化、规模化特征，攻击者不再依赖邮件等传统传播渠道，而是直接在用户主动搜索官方信息的环节设伏，这种 "等待式攻击" 的成功率远高于主动推送式钓鱼。
现有研究较多关注钓鱼邮件的检测与防御，对于搜索引擎结果投毒这一攻击向量的系统性研究相对不足。本文以 2026 年 Ledger 仿冒站点事件为核心实证材料，分析搜索引擎投毒型钓鱼的技术机理与社会工程逻辑，辨析其与供应链攻击的关联与差异，构建涵盖平台、厂商、用户三个层面的分层防御框架，为应对此类威胁提供参考。
2 搜索引擎投毒型钓鱼攻击的技术机理
2.1 SEO 操纵与搜索结果投毒
搜索引擎结果投毒（Search Engine Poisoning）是指攻击者通过操纵搜索引擎优化（SEO）技术，将恶意网站的排名提升至特定关键词搜索结果的前列位置，使用户在搜索合法品牌或服务时优先遭遇恶意站点。这一攻击手法的核心在于利用搜索引擎算法的排序逻辑，通过关键词布局、外链建设、内容克隆、域名年龄积累等手段，提升恶意站点在目标关键词下的权重和排名。
在 Ledger 仿冒站点事件中，攻击者针对的是 "Ledger 钱包""Ledger 下载 ""Ledger 恢复助记词" 等品牌相关长尾关键词。这类关键词的搜索意图明确 —— 用户正在寻找 Ledger 的官方资源或操作指引，因此对搜索结果前列链接的信任度和点击意愿都较高。与通用关键词相比，品牌长尾关键词的竞争度较低，恶意站点更容易通过 SEO 手段在短时间内获得靠前排名。
仿冒站点的内容克隆是 SEO 操纵的重要环节。攻击者完整复制 Ledger 官方网站的页面结构、视觉设计、品牌标识和文案内容，使得恶意站点在内容相关性上与官方站点高度一致，搜索引擎算法在评估页面质量时难以区分真伪。同时，仿冒站点可能包含大量与 Ledger 产品相关的关键词密集型内容，进一步提升搜索排名。
域名选择也是攻击设计的一部分。攻击者可能注册与官方域名高度相似的仿冒域名（如添加连字符、替换字母、使用不同顶级域），或者注册包含品牌关键词的全新域名。虽然新注册域名的初始权重较低，但通过持续的 SEO 操作和外链建设，可以在数周内将排名提升至搜索结果首页。
2.2 恶意广告与搜索结果的叠加效应
除了 SEO 操纵自然搜索结果，攻击者还通过付费广告渠道直接在搜索结果页面投放仿冒广告。Zscaler 在 2026 年 9 月披露的恶意广告活动中，攻击者使用通过 Google 认证的广告主账户，针对美国、欧洲及部分亚洲地区搜索 Ledger 相关关键词的用户投放广告。由于广告账户经过 Google 验证，且广告素材使用了与官方一致的品牌视觉元素，搜索结果中的广告看起来具有较高的可信度。
恶意广告与 SEO 投毒的叠加效应在于，用户在搜索结果页面同时面临自然结果中的仿冒站点和付费广告中的仿冒链接，两个入口指向同一类恶意页面，极大增加了用户误点的概率。对于不熟悉搜索结果页面布局的用户而言，付费广告与自然结果之间的视觉区分可能不够明显，尤其是在移动设备上，广告标识较小且位置靠上，用户更容易将广告误认为官方链接。
恶意广告活动的技术复杂度高于单纯的 SEO 投毒。Zscaler 的调查显示，用户点击广告后并非直接到达钓鱼页面，而是经历一条多级跳转链路：首先跳转至 Google Cloud Storage 托管的页面，随后经 Vercel 平台转发，最终展示一个基于 Google Sites 构建的仿冒 Ledger 页面。这种多级跳转设计的目的在于规避广告平台的自动审核 —— 广告落地页在审核时可能显示为正常内容，而真实用户访问时才触发跳转至钓鱼页面。跳转链路中的 Vercel 域名大约每 15 至 20 分钟更换一次，使得基于域名的拦截策略难以实时生效。
2.3 仿冒应用作为钓鱼入口的延伸
Ledger 仿冒事件中不仅存在仿冒网站，还出现了仿冒应用。报道中的截图显示，恶意内容以 "Ledger Wallet - Start Now | Full Control In Your Pocket" 为标题，呈现为应用下载页面的形式，提供不同操作系统的下载选项。仿冒应用作为钓鱼入口的延伸，具有几个独特的风险特征。
第一，应用下载行为本身会降低用户的安全警觉。用户在下载和安装应用时，往往认为应用经过了应用商店的审核，具有基本的安全性保障。然而，如果仿冒应用通过第三方网站直接分发（而非官方应用商店），则不存在任何审核机制，应用中可能内置恶意代码，在用户输入助记词时直接窃取并回传至攻击者服务器。
第二，应用界面比网页界面更容易获得用户信任。原生应用的界面体验与官方软件高度一致，用户在应用环境中输入敏感信息时的戒备心理低于在浏览器中输入。攻击者可以在仿冒应用中完整复刻官方钱包管理软件的初始化流程和助记词输入界面，使用户难以辨别真伪。
第三，仿冒应用可能具备持久化能力。一旦用户安装了仿冒应用，该应用可以长期驻留在用户设备上，持续监控用户的操作并窃取敏感信息，其危害周期远长于一次性的网页钓鱼。
3 助记词窃取的交互设计与社会工程逻辑
3.1 制造问题场景与紧迫感
仿冒站点和应用的核心目标是诱导用户输入 24 词助记词。为了实现这一目标，攻击者精心设计了一套社会工程交互流程。第一步是制造问题场景，页面通常显示 "设备未验证"" 钱包需要恢复 ""固件需要更新"" 账户安全验证 " 等提示，营造一种用户的钱包或账户存在异常、需要立即处理的紧迫感。
在 Ledger 仿冒站点中，攻击者利用了用户对硬件钱包操作流程的不熟悉。很多用户在设置或恢复钱包时本身就存在操作焦虑，当页面提示需要验证或恢复时，用户倾向于按照页面指引操作，而非停下来验证页面的真实性。攻击者正是利用这种操作焦虑，将恶意行为包装成正常的设置流程。
3.2 引导操作与信任建立
第二步是引导操作，页面提供与官方软件一致的设备选择、系统下载选项和设置步骤，让用户感觉自己正在执行正常的钱包初始化或恢复流程。这一阶段的关键在于建立信任 —— 页面的视觉设计、交互流程、文案措辞都与官方体验高度一致，用户在逐步操作的过程中不断强化 "这是官方页面" 的认知。
反网络钓鱼技术专家芦笛强调，钓鱼攻击的成功率不取决于技术复杂度，而取决于信任建立的有效性。当用户在一个看起来完全正常的页面上完成了三步、五步操作之后，他们已经在心理上投入了沉没成本，此时再要求输入助记词，用户的拒绝意愿会显著降低。这种渐进式信任建立是现代钓鱼攻击区别于早期粗糙钓鱼的核心特征。
3.3 索取助记词与验证反馈
第三步是索取助记词，页面以 "验证设备所有权"" 恢复钱包 ""完成设置" 为由要求用户输入 24 词助记词。输入框通常内置基于 BIP39 标准 2048 词库的自动补全功能，用户每输入一个单词的前几个字母，系统就会提示候选词，这一交互细节与官方钱包软件的助记词输入体验一致，进一步降低了用户的戒心。
用户提交助记词后，页面通常显示 "助记词无效" 或 "验证失败" 的错误提示，并要求用户重新输入。这一设计有双重目的：一是收集两次输入以交叉验证助记词的准确性，排除用户输入错误的情况；二是让用户以为是自己操作失误而非遭遇攻击，降低被立即发现的概率。部分设计更为精细的钓鱼页面会在第二次提交后显示 "验证成功" 的反馈，然后引导用户完成后续操作，使用户完全意识不到助记词已经泄露。
助记词一旦被攻击者获取，其后果是不可逆的。攻击者可以在任意兼容钱包软件中使用这 24 词助记词重建钱包，无需原始硬件设备，也无需用户的 PIN 码，即可查看所有地址并转移资产。由于区块链交易的不可逆性，资产一旦被转移几乎无法追回。
4 供应链事件与钓鱼攻击的关联性辨析
4.1 Cryptobilis 渠道失窃事件回顾
在 Ledger 仿冒站点被曝光的几乎同一时期，Ledger 正在调查另一桩重大安全事件。该公司东南亚授权经销商 Cryptobilis（服务覆盖马来西亚、印度尼西亚和菲律宾）渠道售出的设备被怀疑存在硬件植入，独立区块链研究人员估算相关资产失窃约 8600 万美元，涉及数百个钱包。Ledger 于 10 月 10 日确认至少一台受影响设备中含有未授权的硬件植入物，植入物为带有蜂窝通信能力的小型电路板，安置在设备屏幕后方，在用户初始化设备、助记词显示在屏幕上时截取信息并通过蜂窝网络回传至攻击者。
Ledger 已要求 Cryptobilis 暂停所有设备的销售和发货，并建议过去 90 天内通过该渠道购买设备的用户，如果尚未初始化则不要进行初始化；如果已经初始化，则应考虑将资产转移至使用全新助记词的可信设备。Tether 已冻结约 1000 万美元与盗窃地址相关联的 USDT。
4.2 两类攻击的技术路径差异
搜索引擎钓鱼与供应链硬件植入虽然最终目标一致 —— 获取用户的 24 词助记词 —— 但技术路径存在本质差异。搜索引擎钓鱼是一种远程攻击，攻击者不需要物理接触用户或设备，完全通过网络渠道在用户主动搜索官方信息的环节设伏，攻击范围可以覆盖全球任意地区的用户。供应链硬件植入则是一种物理攻击，攻击者需要在设备到达用户之前介入供应链，在设备内部加装硬件模块，攻击范围受限于特定经销商渠道的覆盖区域。
从攻击成本来看，搜索引擎钓鱼的门槛极低，攻击者只需注册域名、搭建仿冒站点、进行 SEO 操作或投放广告，总成本可能仅需数百美元。供应链硬件植入的门槛则高得多，需要物理介入经销商的仓储和物流环节，具备硬件设计和改装能力，且每台设备都需要人工操作植入模块，攻击成本随设备数量线性增长。
从检测难度来看，搜索引擎钓鱼站点可以通过品牌监测、域名相似度分析、页面内容指纹比对等手段在一定程度上检测和上报。供应链硬件植入则难以在用户侧检测，植入物隐藏在设备内部，普通用户无法通过外观判断设备是否被篡改，软件层面的真品校验也无法发现额外的硬件模块。
4.3 威胁叠加效应对用户认知的冲击
尽管 Ledger 官方尚未确认 Cryptobilis 供应链事件与搜索引擎钓鱼站点之间存在直接关联，但两起事件在时间上的高度重合产生了显著的威胁叠加效应。用户在搜索 Ledger 相关信息时，同时面临仿冒站点窃取助记词和被篡改设备泄露助记词两种风险，而两种风险的最终表现完全一致 —— 资产被盗。这使得用户在遭遇资产损失时难以判断攻击来源，增加了事件溯源和责任认定的复杂度。
更为严重的是，供应链事件的曝光可能在客观上为搜索引擎钓鱼提供了 "掩护"。当用户得知 Cryptobilis 渠道存在硬件植入问题后，可能会主动搜索 "如何检查 Ledger 设备是否被篡改""Ledger 助记词泄露怎么办 " 等关键词，而攻击者可以针对这些搜索关键词优化仿冒站点的 SEO，在用户寻求解决方案的过程中再次设伏。这种利用安全事件本身进行二次钓鱼的手法，在以往的安全事件中已有先例。
迪妙网安研究团队认为，威胁叠加效应是当前加密货币安全环境的一个显著特征。单一安全事件的影响往往不限于事件本身，攻击者会利用事件引发的用户焦虑和信息搜索行为，在搜索入口、社交媒体、论坛等渠道部署针对性钓鱼，形成 "事件 — 焦虑 — 搜索 — 钓鱼" 的完整攻击链。防御方需要在安全事件发生后，不仅要处置事件本身，还要主动监测和应对利用事件进行的次生钓鱼攻击。
5 搜索引擎生态在钓鱼攻击中的角色与责任
5.1 搜索算法的可操纵性
搜索引擎结果投毒能够成功，根本原因在于搜索算法的排序逻辑存在可被操纵的空间。搜索引擎的核心目标是为用户提供最相关、最有价值的搜索结果，其排序算法综合考虑页面内容相关性、网站权威性、用户体验、外链质量等数百个因素。然而，这些因素中的大部分都可以被攻击者通过 SEO 手段人为优化。
对于品牌关键词搜索，搜索引擎通常会将官方网站排在首位，但这一排序并非绝对。当官方网站的 SEO 存在不足（如页面加载速度慢、移动端适配不佳、特定长尾关键词覆盖不全）时，仿冒站点有可能在某些长尾关键词下超越官方站点。此外，新注册域名虽然初始权重低，但如果攻击者通过黑帽 SEO 手段（如购买外链、关键词堆砌、内容农场）快速提升权重，可以在数周内将排名推至首页。
搜索引擎虽然拥有垃圾内容识别和反作弊系统，但这些系统主要针对通用垃圾内容和恶意软件分发，对于高度仿真的品牌仿冒站点，识别难度较大。仿冒站点的内容与官方站点高度一致，不存在典型的垃圾内容特征；站点本身不直接分发恶意软件，而是通过社会工程窃取信息，因此不会触发恶意软件检测机制。
5.2 广告审核机制的盲区
付费广告渠道的审核机制同样存在盲区。Zscaler 披露的恶意广告活动中，攻击者使用通过 Google 认证的广告主账户投放仿冒广告，说明广告账户的认证流程未能有效阻止恶意行为者。广告落地页的多级跳转设计进一步规避了平台的自动审核 —— 审核系统访问时看到的是正常内容，而真实用户点击后才被跳转至钓鱼页面，这种 "审核时合规、访问时恶意" 的时差攻击模式，是当前广告平台反欺诈体系面临的典型挑战。
此外，广告平台对加密货币和区块链相关广告的审核标准虽然在不断收紧，但主要聚焦于金融合规层面（如是否为未注册证券、是否存在虚假宣传），对于品牌仿冒和钓鱼类广告的识别仍依赖于广告主身份验证和落地页内容审核，对于多级跳转和动态着陆页等规避手法的检测能力有限。
5.3 平台治理的改进方向
搜索引擎和广告平台在钓鱼攻击治理中承担着不可替代的责任。改进方向主要包括以下几个方面。第一，强化品牌关键词保护，对于知名品牌的搜索结果，建立官方站点认证和优先展示机制，在搜索结果中对官方网站给予更明确的标识，降低用户误点仿冒站点的概率。第二，加强新注册域名在品牌关键词下的排名审核，对新域名在品牌词下的异常排名进行人工复核，延长新域名的排名观察期。第三，改进广告审核机制，对广告落地页执行动态爬取和用户视角模拟访问，识别多级跳转和时差攻击，对加密货币和金融类广告实施更严格的品牌授权验证。第四，建立品牌方快速投诉和下架通道，当品牌方发现仿冒站点或恶意广告时，能够在小时级甚至分钟级完成下架，缩短攻击窗口。
迪妙安全研究团队认为，平台治理的关键在于缩短从攻击基础设施上线到被处置的时间窗口。当前攻击者可以在数小时内部署一套新的仿冒站点并通过 SEO 或广告获得曝光，而平台的平均处置周期以天计，这种时间差是搜索引擎投毒型钓鱼持续有效的根本原因。平台需要投入更多自动化检测能力，结合品牌方的实时情报反馈，将处置周期压缩到分钟级，才能从根本上遏制此类攻击。
6 分层防御体系构建
6.1 用户侧行为规范
用户是钓鱼攻击的最终目标，也是防御体系的第一道和最后一道防线。针对搜索引擎投毒型钓鱼，用户应当建立以下行为规范。第一，始终通过手动输入官方域名或使用已收藏的官方书签访问硬件钱包管理软件的下载页面，绝不通过搜索引擎结果链接下载钱包软件。第二，在任何网页或应用中遇到要求输入 24 词助记词的情况，立即停止操作 —— 助记词只应在硬件钱包设备的物理屏幕上出现和确认，绝不在任何联网设备的屏幕上输入。第三，搜索品牌相关信息时，仔细核对搜索结果中网站的域名，注意域名中的细微差异（如额外的连字符、替换的字母、不同的顶级域），不依赖搜索结果排名判断网站真伪。第四，购买硬件钱包优先从官方网站下单，避免从第三方经销商或电商平台购买，到货后检查包装完整性并执行官方真品校验流程。
反网络钓鱼技术专家芦笛指出，用户防御的核心在于建立两个条件反射：一是 "搜索结果不等于官方网站"，二是 "助记词永不离屏"。这两个条件反射的建立需要持续的安全意识培训和真实场景的模拟演练，而非一次性的安全宣导。
6.2 厂商侧品牌保护与安全引导
硬件钱包厂商应当在品牌保护和用户安全引导方面承担更多责任。第一，建立持续的品牌监测机制，定期在主流搜索引擎中检索品牌相关关键词，识别仿冒站点和恶意广告，发现后立即向平台投诉下架。第二，与搜索引擎和广告平台建立品牌保护合作通道，获取优先审核和快速下架的权益。第三，在官方网站和产品文档中强化安全引导，明确告知用户助记词的正确使用方式和常见钓鱼手法，在设备初始化过程中通过设备屏幕反复提示 "助记词永不输入到任何联网设备"。第四，改进产品的防伪和验真机制，为用户提供便捷可靠的到货验真流程，降低供应链篡改的风险。第五，在安全事件发生后，主动发布清晰的处置指南，同时监测和预警利用事件进行的次生钓鱼攻击。
6.3 平台侧搜索与广告治理
搜索引擎和广告平台应当将品牌仿冒钓鱼纳入重点治理范畴。具体措施包括：在搜索结果中对官方网站提供更显著的认证标识；对品牌关键词下的新域名和异常排名实施更严格的审核；改进广告落地页的动态检测能力，识别多级跳转和时差攻击；建立品牌方快速投诉通道，缩短仿冒内容的存活周期；对加密货币和金融类广告实施品牌授权验证机制，未获得品牌方授权的广告不得使用品牌关键词和品牌素材。
6.4 行业协同与威胁情报共享
搜索引擎投毒型钓鱼具有跨平台、快速迭代的特征，单一机构的防御能力有限。硬件钱包厂商、搜索引擎、广告平台、网络安全公司、浏览器厂商之间应当建立威胁情报共享机制，实时共享仿冒域名、恶意广告账户、钓鱼页面指纹等 IOC 信息，实现一处发现、全网联动处置。浏览器厂商可以将已知的仿冒钓鱼站点纳入安全浏览黑名单，在用户访问时显示警告。网络安全公司可以为企业客户提供品牌搜索结果监测服务，及时发现针对企业品牌的搜索引擎投毒攻击。
7 演进趋势研判
7.1 攻击载体的持续多元化
搜索引擎投毒型钓鱼不会局限于 Google 搜索这一单一渠道。随着防御能力的提升，攻击者将继续寻找检测覆盖薄弱的新入口。社交媒体平台的搜索功能、应用商店的搜索结果、论坛和问答社区的推荐内容、AI 助手的回答引用链接，都可能成为新的投毒目标。尤其是 AI 搜索助手的普及，当用户向 AI 助手询问 "如何下载 Ledger 钱包软件" 时，如果 AI 助手的引用来源中包含仿冒站点，用户可能直接点击 AI 提供的链接而不加验证，这种攻击模式的危害可能超过传统搜索引擎投毒。
7.2 人工智能在攻防两端的深度应用
大语言模型已经被攻击者用于批量生成高质量钓鱼内容和仿冒页面文案，未来可能进一步用于自动化生成 SEO 优化内容、动态调整钓鱼页面结构以规避检测、生成多语言版本的仿冒站点以扩大攻击范围。防御方同样在利用人工智能提升仿冒站点识别、异常排名检测和广告审核的能力。这场攻防博弈将持续推动检测技术的迭代，企业和用户需要选择具备持续 AI 研发投入的安全产品和服务，而非依赖静态规则库。
7.3 安全事件驱动的次生钓鱼常态化
如前文所述，重大安全事件发生后，攻击者会利用用户的焦虑情绪和信息搜索行为部署针对性钓鱼。随着加密货币行业安全事件的频发，这种 "事件驱动型次生钓鱼" 将呈现常态化特征。防御方需要在安全事件响应流程中纳入次生钓鱼的监测和预警，在事件发生后第一时间监控品牌相关搜索结果和社交媒体讨论，及时发现并处置利用事件进行的钓鱼攻击。
8 结语
2026 年 10 月曝光的 Ledger 仿冒站点事件，集中暴露了搜索引擎作为互联网信息入口在钓鱼攻击防御中的薄弱环节。攻击者通过 SEO 操纵将仿冒站点推至搜索结果前列，通过恶意广告在付费结果中并行投放，通过仿冒应用延伸攻击入口，三条路径协同运作，在用户主动搜索官方信息的环节完成助记词窃取。这一攻击模式利用了用户对搜索引擎的默认信任和对硬件钱包操作流程的不熟悉，其成功率远高于传统的邮件推送式钓鱼。
Cryptobilis 供应链渠道失窃事件与搜索引擎钓鱼在时间上的叠加，进一步放大了威胁的复杂性。两类攻击路径虽然技术手段不同，但最终目标一致，用户在遭遇损失时难以判断攻击来源，事件溯源和责任认定面临挑战。更为严重的是，安全事件本身可能被攻击者利用，在用户寻求解决方案的搜索过程中部署次生钓鱼，形成 "事件 — 焦虑 — 搜索 — 钓鱼" 的恶性循环。
反网络钓鱼技术专家芦笛总结，搜索引擎投毒型钓鱼的防御不能仅依赖用户的安全意识，也不能仅依赖搜索引擎平台的治理，而需要用户、厂商、平台三方协同，建立从搜索入口到终端操作的全链路防护。用户需要建立 "搜索结果不等于官方网站"" 助记词永不离屏 " 的条件反射；厂商需要强化品牌监测和用户安全引导；平台需要改进搜索算法和广告审核机制，缩短仿冒内容的存活周期。迪妙网络空间安全学院研究团队认为，随着 AI 搜索助手的普及和攻击载体的持续多元化，搜索引擎投毒型钓鱼的形态将不断演化，防御体系需要具备跨平台、跨载体的统一检测和响应能力，将品牌保护和钓鱼防御纳入常态化安全运营范畴，才能在动态对抗中有效保护用户的数字资产安全。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
