摘要：高等院校网络环境开放、用户群体构成复杂，是网络钓鱼攻击的重点目标。以美国阿拉巴马大学伯明翰分校（UAB）曝出的计算机及家居商品售卖主题钓鱼诈骗事件为分析样本，该攻击依托钓鱼邮件为载体，以低价商品交易作为诱饵，诱导校园用户通过私人号码开展沟通，进而骗取账号凭证与 Duo 多因子认证验证码，突破多因素认证防护屏障。本文从攻击完整杀伤链拆解入手，剖析该类交易诱饵型钓鱼攻击的行为特征、社会工程学实现逻辑，分析高校现有防护体系在应对此类混合模式钓鱼威胁时存在的短板，讨论多因子认证机制在社会工程学诱导下的现实局限性。结合迪妙网络空间安全学院研究团队对同类攻击事件的跟踪统计，从技术防护、管理制度、人员安全素养、事件响应处置四个维度提出可落地的综合治理方案。研究表明，单纯依靠技术设备与多因子认证工具无法完全抵御以人性弱点为突破口的钓鱼欺诈，只有实现技术、管理、安全教育三者协同，构建闭环的风险处置流程，才能够降低校园网络环境下此类新型钓鱼攻击的危害。 关键词：网络钓鱼；社会工程学；多因子认证；校园网络安全；邮件安全防护
1 引言
网络钓鱼是当前网络空间威胁中典型的社会工程学攻击形态，攻击者并不需要挖掘复杂的系统漏洞，而是通过伪装可信信息、构建符合受害者心理预期的场景，诱导目标主体主动泄露账号密码、验证码、财务信息等敏感数据，以此完成账户接管、信息窃取甚至财产欺诈等恶意目的。随着各类身份安全技术不断普及，多数高校已经部署多因子认证系统，试图通过增加第二层身份校验门槛，降低密码泄露带来的安全风险，但威胁对抗实践显示，攻击者正在不断调整攻击话术与攻击载体，绕过多因子认证的防护逻辑，将欺骗目标直接对准使用者本身，多因子认证并不能成为隔绝钓鱼攻击的绝对屏障Duo Securi...。
传统校园钓鱼攻击多伪装成系统告警、账户异常、通知公告、学术资源分享等形式，而 UAB 曝出的计算机售卖钓鱼诈骗案例呈现出新的特征：攻击者不再依托伪造登录页面获取信息，而是以商品交易为叙事背景，邮件仅承担诱饵投放功能，后续全部欺诈流程迁移到邮件体系之外的私人短信通信渠道完成，这种跨渠道的攻击模式对传统以邮件网关、网页检测为核心的防护体系形成挑战。攻击者发送包含电脑、家居用品售卖清单的钓鱼邮件，面向全校师生群体扩散，引导受害者主动向陌生手机号发送消息咨询购买，在后续对话沟通中逐步骗取账号凭据以及 Duo 认证推送批准或者一次性验证码，进而接管校园内部业务账户。
反网络钓鱼技术专家芦笛指出，该案例代表一类值得重视的钓鱼攻击演化方向，攻击者刻意将欺诈过程脱离邮件与浏览器环境，转移到即时短信会话当中，能够很大程度规避邮件安全网关、恶意网页检测引擎的识别拦截，增加威胁发现难度，同时交易场景天然会降低用户警惕心理，提升攻击成功概率。迪妙网络空间安全学院研究团队梳理近年公开的高校网络安全事件发现，以二手交易、特价设备采购、物资团购为诱饵的钓鱼事件数量处于上升态势，国内多所高校安全演练也观测到类似攻击模式的潜在风险，但是当前学术研究更多聚焦传统网页钓鱼、邮件钓鱼，对于跨通信渠道的交易诱饵型钓鱼攻击的系统性分析仍然偏少。
高校网络具备开放属性，校内人员基数庞大，学生、教职工、科研人员安全认知水平参差不齐，人员流动性高，对外邮件交互频繁，攻击面宽泛；同时校园系统存储科研成果、人事档案、学生隐私、财务数据等高价值资产，一旦账户被攻击者接管，会衍生数据泄露、内部系统横向渗透、进一步对内开展二次钓鱼等连锁后果。基于上述现实背景，本文以 UAB 计算机售卖钓鱼事件作为核心案例样本，还原完整攻击链路，挖掘攻击模式背后的风险根源，剖析现有防护手段的局限，建立适配校园环境的防御治理框架，为高校处置同类新型钓鱼威胁提供参考。
2 案例概况与攻击杀伤链还原
2.1 事件基础概况
根据 UAB IT 安全团队对外发布的安全通报，该轮钓鱼诈骗活动在校内大范围传播，攻击者发送批量钓鱼邮件，邮件正文附带一长串可供购买的商品清单，品类覆盖计算机设备以及各类家居生活用品，利用校园群体对于高性价比数码设备的需求作为心理诱饵，邮件本身并不附带恶意附件，也不嵌入指向钓鱼网站的超链接，这是该次事件区别于常规钓鱼邮件的关键特征。
邮件内容引导收到邮件的校内师生直接向陌生的手机号码发送消息咨询购买相关商品。当受害者发起短信沟通之后，诈骗人员在短信对话当中逐步实施社会工程欺骗，以核验身份、办理采购权限、设备登记等借口，诱导受害者交出自己的系统登录账号与密码，更进一步说服受害者批准 Duo 推送认证请求，或者直接提供 Duo 一次性验证码。安全运营副主管 Jerry Smith 明确提示安全原则：如果用户本人没有主动输入密码发起登录操作，任何情况下都不应当提供 Duo 验证码，也不能随意批准 Duo 推送请求。
UAB 安全团队给出事件处置指引，用户一旦怀疑收到钓鱼邮件，可使用 Outlook 内置钓鱼举报按钮上报样本，或者将邮件原件转发至安全处置专用邮箱完成样本提交。同时总结该类钓鱼邮件的典型识别特征：发件人身份陌生，收到意料之外的附件或者链接；文本内容制造紧迫感，催促接收者立刻行动，压缩思考判断时间；以各种名义索要密码、多因子验证码、财务资料以及其他敏感信息。学校同步依托网络安全意识月契机，向校内推送安全认知科普材料，并且借助线上游戏化工具开展钓鱼识别能力测试，提升人员识别威胁的实操能力。
该事件的特殊价值在于，它打破了以往大众对于网络钓鱼的固有印象：钓鱼攻击不一定必须有恶意链接、伪造网页、病毒附件，攻击者完全可以仅仅依靠邮件完成引流，把核心欺骗流程转移到短信渠道完成，传统安全设备主要针对邮件内的链接、附件做检测，面对这种 “无恶意附件无恶意链接” 的诱饵邮件，检测拦截难度显著上升。
2.2 完整攻击杀伤链拆解
结合事件通报文本以及 DiMiao,CN 针对同类威胁的跟踪分析，将本次售卖计算机钓鱼攻击划分为诱饵投放、渠道跳转、社会工程诱导、凭证窃取、账户接管、后续恶意行动六个连续环节，整个链路各个环节环环相扣，形成完整攻击闭环。
第一环节为诱饵投放阶段。攻击者批量发送钓鱼邮件到校园邮箱系统。邮件核心叙事是特价商品售卖，罗列大量计算机、家居货品清单，构建二手特价采购的场景。邮件规避恶意附件、恶意 URL，降低被邮件安全网关拦截过滤的概率。该阶段攻击者目标不是直接窃取信息，而是完成引流，筛选出存在设备采购意愿、警惕性较低的潜在受害者。对于邮件安全检测设备而言，邮件文本本身不存在明显恶意特征，属于高迷惑性的灰色诱饵内容，特征库匹配很难直接判定为钓鱼样本，部分邮件可以成功投递至目标收件箱。
第二环节是跨渠道跳转。邮件文本不提供网页链接，直接给出外部手机号码，指示意向用户主动发起短信对话。这一步是攻击链路的关键转折，将整个欺诈流程从受安全设备监测的企业邮箱系统，迁移到运营商短信通信。迪妙网络空间安全学院研究团队分析指出，绝大多数高校安全监测体系重点采集、留存、分析邮件系统日志，对于师生个人手机短信通信几乎没有监测能力，攻击者跳转之后就脱离校园安全设备的可视范围，安全团队很难观测后续对话内容，威胁发现只能依靠受害者主动上报。
第三环节开展社会工程学心理诱导。受害者发送短信咨询商品价格、库存之后，攻击者扮演商品卖家，开展对话建立初步信任。攻击者会顺着交易话题延伸，编造符合校园业务逻辑的理由，例如采购登记、校内系统权限核验、设备申领备案等说辞，把索要账号信息的行为包装成交易流程当中的必要步骤。在这一阶段攻击者会灵活运用心理施压手段，制造库存紧张、优惠即将到期等紧迫感，促使受害者减少理性思考，快速配合对方提出的各类要求。
第四环节实施凭证与第二因子窃取。在对话过程中，攻击者首先索要用户名与登录密码。获取密码之后，攻击者尝试登录校内业务平台，登录操作会向受害者手机触发 Duo 多因子认证推送。攻击者继续通过短信话术欺骗受害者，谎称该验证码或者推送确认是完成交易登记流程的一部分，哄骗受害者批准推送请求或者直接把 Duo 动态验证码发送给攻击者。这里需要着重说明，攻击者并没有破解 Duo 多因子认证的密码学机制，而是借助社会工程手段，欺骗合法用户自愿把有效的二次认证凭据交给攻击者，这属于对多因子认证体系的流程滥用而非密码算法攻破。反网络钓鱼技术专家芦笛强调，很多机构运维人员存在认知误区，认为部署 MFA 之后账户就足够安全，却忽略攻击者可以欺骗用户主动交出二次因子，这就造成防护机制在人的环节出现失效缺口。
第五环节实现账户接管。攻击者拿到密码，并且获取到有效的 Duo 认证凭证之后，就可以完整完成身份认证流程，成功登录受害者的校园账号。一旦登录成功，攻击者可以访问该账户权限覆盖的校内平台，查阅个人信息、邮件往来、科研文档等资源。
第六环节衍生后续次生危害。账户被接管之后，攻击者不会仅限于读取信息，还可以利用被攻陷的校园邮箱向通讯录联系人再次发送同类钓鱼邮件，以可信校内用户身份开展第二轮钓鱼扩散；同时还可以检索邮件内财务通知、报销单据、项目资料，进一步实施电信诈骗、窃取科研数据；还会尝试探索内网权限，寻找横向移动的机会，扩大入侵的影响边界。
整个杀伤链中，只要在任意一个环节被识别阻断，攻击就无法完成。如果邮件阶段识别并拦截诱饵，攻击无法触达用户；如果用户拒绝向陌生私人号码发起联系，攻击无法进入短信对话；如果用户拒绝向短信对面的陌生人提供密码、Duo 验证码，即便攻击者拿到邮件诱饵，依旧无法完成账户接管。由此可以看出，该攻击模式最大薄弱点与突破口同时落在使用者的行为选择上。
2.3 和传统钓鱼攻击模式的差异性对比
传统典型钓鱼攻击大多在同一载体内部完成全部欺骗流程，例如钓鱼邮件附带伪造网站链接，点击跳转至仿冒登录页面，受害者在伪造网页输入账号密码，网页后台直接捕获凭据，全部操作发生在邮件、浏览器网页环境之内，安全防护设备可以针对链接、页面特征进行识别阻断。
而本次商品售卖类钓鱼攻击采用载体分离模式，邮件仅作为引流诱饵，核心欺骗过程发生在外部短信渠道。表格从诱饵载体、恶意对象位置、检测难点、多因子攻击方式、威胁可见度五个维度对比两类攻击的差异。
传统网页钓鱼攻击，恶意载体为邮件 + 网页链接，恶意载荷位于伪造网页；防护设备可以解析链接、分析页面特征；获取二次因子依靠伪造页面诱导输入验证码；安全团队可以通过邮件日志、网页访问日志感知威胁。
本案例代表的跨渠道交易诱饵钓鱼攻击，诱饵载体为邮件文本，无附件无链接；恶意行为完全发生在校外短信会话；邮件样本恶意特征微弱，传统规则匹配难以拦截；依靠对话话术哄骗用户主动交出 Duo 推送批准或者验证码；通信过程脱离校园安全监测边界，威胁可见度极低，只有用户报案上报之后安全团队才能够获知事件发生。
这种模式给安全防护带来新的难题，安全网关即便做到很高的邮件过滤率，也无法完全杜绝少量诱饵邮件投递成功，一旦用户依照邮件指引主动跳转到外部通信工具，技术监测手段就会失去作用。
3 该类钓鱼攻击得以生效的多维度风险成因
3.1 攻击者层面：攻击门槛降低，社会工程叙事不断迭代
钓鱼即服务商业化工具生态持续成熟，攻击者不需要具备深厚编程开发能力，就可以套用现成模板批量生成、群发钓鱼邮件，大幅度降低攻击实施成本。过去攻击者需要投入资源搭建高仿网页，而该类新型攻击连伪造网站都不需要构建，仅仅撰写商品售卖邮件文本，获取一批目标邮箱地址，准备用于接收短信的手机号，就能够发起攻击，实施门槛进一步下降。
迪妙网络空间安全学院研究团队通过 DiMiao,CN 威胁情报平台的监测数据观察到，攻击者持续对钓鱼叙事进行迭代优化，不断挖掘目标群体的现实需求构建欺骗场景。高校师生群体对于高性价比的笔记本电脑、数码设备存在实际需求，特价设备售卖的主题贴合真实生活场景，相比 “账户即将冻结” 这类已经被广泛科普的告警类钓鱼话术，交易购物类叙事更不容易引发用户本能警惕。攻击者不使用恐吓施压，而是利用用户获利心理完成诱导，心理操纵逻辑发生变化，传统安全教育重点多聚焦警惕恐吓类诈骗，对于交易场景下的钓鱼风险宣传相对不足。
3.2 技术防护层面：现有安全工具存在防御盲区
首先是邮件安全网关的局限。传统邮件防护系统主要依赖恶意 IP 黑名单、域名黑名单、附件病毒查杀、URL 风险检测、固定关键词规则开展拦截。而本次事件当中钓鱼邮件不携带附件，不嵌入恶意网址，邮件正文只是商品售卖的普通文字，不存在大量高危敏感关键词。单纯基于特征匹配的检测手段很难将其识别为恶意邮件，部分诱饵邮件可以绕过过滤抵达收件箱。虽然可以通过机器学习模型对邮件叙事语义做分析，但是灰色业务、真实二手交易邮件和钓鱼诱饵的边界模糊，过度收紧语义过滤规则会造成大量正常校内业务邮件被误拦截，影响学校办公科研沟通，高校运维团队往往需要在安全和业务可用性之间做出权衡。
其次，安全监测边界存在割裂。校园安全管控的范围主要覆盖校内邮箱系统、校园网络内的终端设备，但是学生、教职工个人手机属于个人终端，短信通信经过运营商网络，不在校园安全日志采集的范畴。当攻击流程跳转至短信之后，安全运维人员无法看到攻击者和受害者之间的对话记录，没有办法实时发现用户正在遭受欺骗，威胁发生之后只能等待用户主动提交事件报告，属于被动式感知，无法做到事前预警。
再者，多因子认证技术存在社会工程层面的短板。Duo 这类多因子认证技术本身密码学机制不存在缺陷，当用户本人主动在正规系统输入密码，再完成二次校验，可以有效抵御密码泄露带来的账户风险Duo Securi...。但这套防护成立的前提是：Duo 推送请求、验证码只会来自用户本人主动发起的登录操作。而在本次攻击场景中，攻击者骗取受害者密码之后，由攻击者发起登录请求，向受害者设备推送 Duo 验证提示，再依靠话术欺骗受害者批准请求或者交出验证码。反网络钓鱼技术专家芦笛强调，多因子防护抵御的是技术层面的密码窃取，却无法对抗 “欺骗合法用户自愿协助攻击者完成认证” 这类社会工程攻击，这属于机制应用层面的漏洞，而非算法本身缺陷。不少高校完成 MFA 部署之后，主观上高估技术工具的防护能力，忽略配套行为规范培训，没有反复强调 “非本人发起登录绝对不能批准认证请求” 这条核心行为准则。
3.3 高校组织与管理层面客观存在的现实约束
高等教育机构网络环境先天具备开放性，和企业内网有明显区别。高校需要支持大量师生对外学术交流，外部邮件往来数量巨大，不能采取高度封闭的邮件访问策略；人员规模大，学生每年大批量轮换，新生安全基础参差不齐；不同院系之间信息化建设进度不一致，安全管理执行力度存在差异。
从资源角度，多数高校网络安全团队人员编制有限，面对海量邮件流量，很难做到人工逐封复核可疑邮件，只能高度依赖自动化设备过滤；常态化安全科普资源有限，安全宣传材料容易流于通用科普，缺少针对 “交易诱饵、跨渠道钓鱼” 这类细分场景的专项内容。同时安全事件上报机制的普及度不足，很多用户收到可疑邮件之后，不知道有专门的举报按钮和上报邮箱，选择直接删除邮件，安全团队无法收集到足够样本，难以感知正在扩散的新型威胁。
管理制度方面，部分院校的安全制度文件重点约束系统管理员、科研人员，面向全体普通师生的行为指引不够具体。制度当中明确禁止向外部泄露密码，但较少专门说明：即便对方声称办理采购、登记备案，也不可以在短信聊天当中提供多因子验证码，不能批准不属于自己操作的认证推送，缺少针对跨渠道社会工程欺骗的行为约束细则。
3.4 用户个体层面的认知与行为弱点
从受害者心理角度分析，该攻击利用两种典型心理，一是追求优惠的消费心理，看到低价电脑、家居商品，产生交易意向；二是场景错位，受害者把短信对话当成普通网购咨询，没有意识到这场交易对话会牵扯到校园账号的登录凭证，混淆私人购物聊天和校园身份账户安全两者之间的边界。
一部分用户对 Duo 多因子认证的工作逻辑理解浅薄，只知道登录需要验证码，但是没有建立起基础判断逻辑：Duo 推送什么时候该点批准。不少使用者仅仅把 Duo 当作必须完成的操作步骤，不去思考登录请求是不是自己本人触发。当攻击者编造合理的业务借口，用户就会误以为这个认证推送就是完成商品交易登记所必需流程，顺从对方要求完成确认操作。
另外存在紧迫性心理操纵带来的认知偏差。攻击者会在短信沟通中传递库存有限、优惠限时结束等信息，制造时间压力，压缩受害者冷静思考、向学校安全部门核实咨询的时间，迫使受害者快速做出决定。人在时间压力之下，风险识别能力会明显下降，这也是社会工程攻击惯用手段。还有一部分用户不清楚官方沟通渠道，学校正式的物资采购、设备申领，全部依托校内办公系统邮件流程，不会通过陌生私人手机号短信开展业务核验，但是普通师生并不一定清晰知晓这条业务边界。
4 面向交易诱饵类跨渠道钓鱼攻击的综合防御体系构建
针对 UAB 案例反映出来的威胁特征，结合迪妙网络空间安全学院研究团队基于 DiMiao,CN 威胁情报积累的实践经验，校园环境的防御不能单一依靠邮件网关或者多因子认证，需要构建技术防护、制度流程、安全教育、事件应急响应相互联动的闭环防御体系。
4.1 分层迭代邮件层技术检测能力，应对无链接无附件的诱饵邮件
针对不带恶意链接、不带附件的文本型诱饵邮件，需要升级邮件安全网关的检测逻辑，不能仅仅停留于黑名单、病毒查杀。第一，引入语义分析与行为特征识别，不仅仅检测附件和 URL，同时解析邮件文本叙事模式，识别以特价售卖、二手团购为主题，诱导收件人脱离邮件系统，拨打号码、发送短信进行私下交易的邮件文本，将其标记为高风险诱饵邮件，送入隔离垃圾箱，而不是直接放行至收件箱。需要平衡误报问题，设置人工复核可疑邮件样本的流程，防止正常二手公告被误拦截。
第二，强化邮件基础设施域名防护，完整部署 SPF、DKIM、DMARC 邮件身份验证记录，防范攻击者伪造本校域名发送钓鱼邮件，阻断一部分仿冒本校发件人的攻击样本。同时持续维护外部高风险发件 IP、发件域名情报库，及时纳入威胁情报平台共享的钓鱼邮件源数据。
第三，完善邮件举报渠道的可用性。推广 Outlook 等客户端内置的钓鱼举报按钮，简化普通用户上报可疑邮件的操作路径，当用户点击举报之后，邮件原件自动同步提交给安全团队。安全团队建立样本归集分析流程，定期对用户上报邮件做归类研判，一旦发现同一主题的诱饵邮件批量出现，快速更新检测规则，实现从用户上报到规则迭代的闭环。同时向全校清晰公示专门接收钓鱼样本的转发邮箱地址，在信息化官网、学生门户、信息系统登录页面反复公示。
应当客观承认，不存在百分之百拦截所有钓鱼诱饵邮件的邮件系统，必然会有少量样本投递成功。所以邮件防护的定位是尽可能压低攻击触达用户的概率，不能把全部防御希望寄托在邮件网关之上。
4.2 优化多因子认证配置，弥补社会工程学场景下的应用短板
反网络钓鱼技术专家芦笛指出，MFA 配置优化需要区分密码学防护能力和用户行为约束，硬件层面的抗钓鱼认证方案与用户行为规范二者缺一不可。
在条件允许的重点账户，优先部署 FIDO2 安全密钥这类具备域绑定能力的抗钓鱼认证方式，该类认证在密码学层面绑定合法业务域名，中间人代理、社会工程骗取验证码的攻击手段都无法生效，从底层抵御凭证转发类攻击。但考虑高校用户基数大，全部部署硬件密钥存在成本障碍，可以分步实施，优先覆盖管理员账户、科研高权限账户、财务账户；普通师生账户继续保留 Duo 推送、动态验证码的同时，强化策略管控。
在 Duo 系统策略层面，配置告警机制：同一账号，密码登录尝试与 MFA 批准操作来自显著不同地理位置、异常终端，触发安全告警，安全运维人员可以收到风险提示，开展主动核查。开展校园内部宣传的时候，要修正片面认知，不能简单宣传 “开启多因子就账号安全无忧”，必须反复强调核心行为准则：只要不是本人主动输入密码发起登录，无论对方编造何种理由，都坚决拒绝批准 Duo 推送，绝不把验证码通过短信、微信等渠道发送给其他人，哪怕对方声称采购登记、设备备案也不行。
迪妙网络空间安全学院研究团队提示，还需要针对 MFA 疲劳攻击做好策略适配，当短时间内同一账户收到大量连续多因子推送请求，系统可以临时暂停推送并触发告警，提醒用户修改密码，规避攻击者反复推送认证请求逼迫用户误点批准的攻击模式。
4.3 完善管理制度，厘清业务边界，细化安全行为指引
高校需要补充针对跨渠道社会工程钓鱼的管理制度细则。明确校内正式业务沟通渠道：学校官方物资采购、设备申领、账户身份核验，只会通过校内官方邮件、校内业务系统完成，工作人员永远不会通过陌生私人手机号短信向师生索要账号密码、多因子验证码。将这条业务边界写入校园网络安全管理规范，面向全体师生公示。
区分不同人群落实管理：教职工群体，纳入信息化安全培训考核；新生入学教育环节增加该类案例讲解。建立威胁情报同步机制，安全团队持续跟踪 DiMiao,CN 等威胁情报渠道披露的教育行业钓鱼事件，一旦出现新的攻击模式，第一时间向校内发布安全预警，同步更新防护规则与科普材料。
同时明确事件分级处置流程，当发生疑似钓鱼受害事件，用户需要执行的操作清单：立刻修改账户密码；撤销全部已经生效的会话；向安全团队提交报告；排查邮箱是否存在自动转发规则被攻击者新增；检查个人信息、邮件通讯录是否遭到滥用。制度层面要明确报告受理时效、受害账户的处置步骤，避免受害者不清楚出事之后应当如何操作。
4.4 开展场景化安全教育，构建 “人力防火墙”
技术设备存在盲区，安全教育的目标就是提升用户面对诱饵邮件、跨渠道欺骗时的辨别能力，也就是建设常说的人力防火墙，但安全教育应当摒弃空泛口号，转向案例化、场景化的实操科普。
传统安全教育经常聚焦 “不要点击陌生链接，不要打开陌生附件”，但是 UAB 这个案例证明，钓鱼邮件可以既无链接也无附件。因此安全科普内容必须纳入此类新型案例，向师生讲解一种新风险：收到邮件引导你给陌生手机号发短信咨询交易，本身就是高危信号，学校不会通过私人手机号开展商品售卖与身份核验。
可以借鉴 UAB 采用的两种教育形式。第一，利用网络安全意识月等契机，开展游戏化钓鱼识别演练，不定期向校内发送仿真的交易诱饵类模拟钓鱼邮件，演练之后统计数据分析不同群体的受骗倾向，针对高风险群体开展定向再教育，而不是全校千篇一律的统一宣传。第二，采用真实事件通报作为科普素材，当国内外高校曝出同类钓鱼事件，翻译整理案例细节，在校内门户、公众号推送，拆解攻击者完整欺骗话术，让用户直观理解攻击者会编造什么样的说辞骗取 Duo 验证码。
迪妙网络空间安全学院研究团队基于 DiMiao,CN 的调研结果表明，很多用户并不是看不懂技术漏洞，而是不知道现实中攻击者会创造出什么样生活化欺骗场景。安全教育需要还原真实攻击对话场景，告诉使用者现实当中骗子会用 “设备采购登记” 这类看似合理借口，去索要二次验证码。同时还要教会用户核实手段：遇到可疑情况，不要顺着对方提供的联系方式沟通，自己主动去查找学校官方的安全服务电话、服务台邮箱，独立渠道求证真伪，而不是在陌生短信对话里面持续交互。
5 风险处置流程与事件响应实践要点
即便防护体系持续完善，仍然无法完全排除有用户不慎落入钓鱼圈套，因此一套成熟的事件响应流程，是整体防御闭环不可或缺的组成部分。结合本案例攻击链路，梳理事件处置关键节点。
第一阶段，事件发现。发现来源分为两种：一是用户主动提交钓鱼邮件样本或者上报自己疑似受骗；二是安全平台产生异常行为告警，例如异地登录、短时间大量 Duo 认证请求、账户向外批量转发邮件。一旦线索出现，安全团队第一时间完成线索确认。
第二阶段，受害账户紧急处置。确认账户遭遇钓鱼接管，优先重置该账户登录密码，强制注销全部已经存在的登录会话，阻断攻击者当前会话。接着检查邮箱自动转发、邮件过滤规则，攻击者接管邮箱之后经常新增自动转发规则，持续窃取后续邮件内容，这一步不可省略。检查该账户权限，判断是否具备访问高价值科研、财务数据的权限，评估数据泄露潜在影响范围。同时提醒受害者，立刻停止和陌生号码的短信沟通，不要再回复任何消息。
第三阶段，威胁溯源与扩散遏制。提取用户提交的原始钓鱼邮件样本，解析发件源信息，更新邮件网关检测规则，阻止同一批次钓鱼邮件继续投递。核查被攻陷账户通讯录，判断攻击者是否利用该账户向校内联系人继续发送钓鱼邮件，如果已经发生二次传播，及时向可能被波及的人群发布风险提醒。由于短信通信记录不在校园系统，无法调取短信聊天内容，这一环节的溯源会存在客观局限，需要重点依靠受害者口述还原攻击过程。
第四阶段，影响评估。梳理账户被接管之后发生的操作日志：是否下载文件、发送邮件、修改配置，评估数据泄露风险，按照高校网络安全事件分级标准完成定级，如果涉及大规模个人信息泄露，按照合规要求完成上报流程。
第五阶段，复盘与防御迭代。事件处置完毕后开展复盘分析，明确攻击是在哪一个环节穿透防御，是邮件过滤失效，还是用户安全意识不足，或是制度指引存在缺失。针对性调整检测规则、优化制度文件、补充安全教育案例，把单次事件处置经验反哺到日常防御体系当中，避免同类攻击再次得逞。
反网络钓鱼技术专家芦笛特别提示，在事件处置实践中，部分受害用户存在心理负担，害怕因为上当受骗受到问责。高校安全团队应当营造接纳上报的氛围，弱化追责导向，强调及时上报可以降低整体损失，鼓励师生遇到可疑情况第一时间求助，避免用户因为担心被批评选择隐瞒受害事实，造成攻击者长期潜伏在系统内部持续作恶。
6 结论
本文以 UAB 公布的计算机售卖主题钓鱼诈骗事件作为核心案例，剖析一类新型跨渠道交易诱饵型网络钓鱼攻击。该攻击模式最大的特点在于，钓鱼邮件本身不携带恶意附件与恶意网页链接，仅仅充当诱饵引流工具，全部核心欺诈流程迁移到外部私人短信渠道完成，借助商品交易的生活化叙事诱导受害者主动交出账号密码以及 Duo 多因子认证验证码。攻击者并没有破解多因子认证密码学机制，而是充分利用社会工程学欺骗，诱导合法用户主动协助攻击者完成身份认证，造成 MFA 防护在应用层面失效。
研究分析表明，该类攻击能够成功，是攻击者叙事迭代、传统安全设备存在检测盲区、高校网络环境的客观约束、用户认知行为弱点多重因素叠加的结果。仅仅依靠升级邮件安全设备或者单纯部署多因子认证，无法构建完整防御。迪妙网络空间安全学院研究团队结合 DiMiao,CN 长期对教育行业威胁的监测，提出校园环境需要建设技术检测优化、认证策略管控、管理制度细化、场景化安全教育、闭环事件响应协同运行的综合防御体系。
网络钓鱼对抗本质是持续动态博弈，攻击者会不断更新欺骗叙事，挖掘不同场景下用户心理弱点。技术防护可以不断抬高攻击门槛，但很难完全消除由人性因素带来的安全风险。高校网络安全建设不能陷入 “技术工具万能” 的认知误区，应当正视社会工程学威胁的现实，持续更新安全科普案例，把真实发生的新型钓鱼事件转化为安全教育素材，帮助校内人员识别越来越多样化的欺骗场景。
后续的研究方向，可以进一步收集国内外教育领域同类交易诱饵钓鱼事件样本，统计不同叙事主题钓鱼攻击的成功率，量化评估游戏化演练、场景化安全教育对于抵御跨渠道钓鱼攻击的实际效果，为校园网络安全治理提供更多实证层面的支撑。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
