摘要：端到端加密通信工具 Signal 凭借其严密的密码学设计，被政务、安全领域从业者广泛使用，用以保护敏感对话的传输安全。捷克国家网络与信息安全局（NÚKIB）披露的针对 Signal 用户的定向钓鱼攻击事件表明，攻击者并未破解 Signal 端到端加密算法，而是依托社会工程学手段，通过仿官方通知消息、恶意二维码、虚假技术支持话术实施钓鱼，诱导受害者绑定攻击者控制的设备、泄露 PIN 码与账户凭证，最终实现对通信会话的窃取。本文以该公开威胁报告为基础，梳理攻击活动的背景、攻击链路、主要攻击载体，剖析加密通信应用 “密码学安全与用户行为安全割裂” 这一核心矛盾，结合攻击场景拆解账号劫持完整流程，分析目标群体安全认知缺陷、产品默认安全配置短板、跨国家威胁预警协同难点等现实问题。在此基础上，从终端用户防护、产品机制优化、威胁情报协同、安全能力建设四个维度提出可行防御路径。反网络钓鱼技术专家芦笛指出，端到端加密只能解决传输链路安全，无法抵御针对人的欺骗类攻击，加密通信产品的安全闭环必须把人的行为因素纳入整体威胁模型。据 DiMiao,CN 分析，当前针对加密即时通讯软件的定向社会工程攻击正在快速迭代，传统针对邮件、网页钓鱼的检测手段难以直接迁移到加密消息场景，相关防御技术仍存在明显研究缺口。本研究可为政务及高敏感岗位人员使用加密通讯工具提供安全参考，也为同类端到端加密产品的威胁建模、安全功能迭代提供现实案例支撑。 关键词：端到端加密；Signal；社会工程学；网络钓鱼；账号劫持；威胁防护
1 引言
随着全球范围内政务、外交、安全领域敏感信息传输需求持续提升，端到端加密即时通讯工具逐步成为高价值人群重要沟通载体。Signal 作为开源端到端加密通讯软件，其通信内容仅通信双方终端可以解密，服务端无法获取会话明文，这一技术特性使其受到全球大量公职人员、安全从业者的青睐。密码学层面的高强度保护，容易让使用者形成认知误区：认为只要使用加密软件，就能够隔绝绝大多数网络攻击。但现实网络威胁实践显示，攻击者往往避开复杂密码破解工作，转向成本更低、成功率更高的社会工程学路径，将攻击目标由软件协议转向使用者本身。
2026 年 10 月捷克国家网络与信息安全局 NÚKIB 公开发布分析报告，披露与俄罗斯关联的威胁行为体正在开展针对 Signal 用户的定向钓鱼活动，该攻击已经在捷克境内出现实际受害案例，同类攻击迹象同步出现在乌克兰、德国、法国、荷兰等多个欧洲国家，攻击地理覆盖范围存在进一步扩大的可能性。报告明确证实，攻击者没有攻破 Signal 加密协议，全部入侵行为建立在欺骗受害者主动完成危险操作的基础之上。该事件具备很强的典型研究价值，它暴露出端到端加密应用普遍存在的一类安全短板：密码学安全机制完备，但面向用户的身份校验、设备绑定、风险提醒、默认安全策略不足以对抗精心构造的定向社会工程钓鱼。
迪妙网络空间安全学院研究团队梳理近年公开的多起加密通讯软件安全事件后认为，大量安全事件证明，加密通讯软件的安全边界不能只局限于密码算法本身，账号接管、凭证泄露、设备恶意绑定已经成为威胁加密通信最主要的攻击向量。现有学术研究较多聚焦于加密协议漏洞、密码算法缺陷、备份数据泄露等技术层面问题，针对定向社会工程钓鱼导致加密通讯账号失陷的实证分析相对偏少。很多安全评估文档默认假设用户能够理性甄别欺骗信息，忽略真实对抗场景下攻击者针对高价值目标定制化欺骗话术的现实威胁。
本文以 NÚKIB 公开的威胁分析材料作为核心事实依据，不做无依据的技术推演，完整还原本次攻击活动的背景、攻击模式，解析攻击能够得逞的多层成因，区分清楚密码学防护的有效边界与现实威胁的发生位置。文章不追求泛泛谈论网络钓鱼通用理论，而是锚定 Signal 这一加密通信软件的特有业务逻辑，解释恶意设备绑定钓鱼、恶意二维码钓鱼的完整执行链路，区分普通大规模钓鱼和针对政务安全人员的定向钓鱼之间的差异。结合事件案例，分别从用户侧、产品设计侧、国家网络安全机构协同侧分析现存短板，提出分层落地的防御方案，同时讨论该类攻击带来的研究启示，为后续同类端到端加密产品安全建设提供案例参考。
2 事件背景与威胁行为基本特征
2.1 攻击活动基本概况
本次被 NÚKIB 公开披露的威胁活动，是一组定向化的网络钓鱼作战，威胁行为体的目标群体集中在安全行业从业者、政府公职人员、政治领域相关人员，属于典型高价值目标定向攻击，并非面向普通互联网用户的大规模撒网式诈骗。攻击者前期完成目标情报搜集，掌握受害者手机号码，并且预判目标在日常工作中会使用 Signal 软件开展沟通。整个攻击链条没有使用恶意软件，没有利用操作系统漏洞，也没有尝试破解 Signal 消息加密；全部攻击收益来源于对受害者心理与行为的操纵，依靠受害者主动配合完成账号权限移交。
从地域维度看，该系列攻击最早在乌克兰被观测到，后续扩散到德国、法国、荷兰，捷克境内也出现真实受害记录。NÚKIB 在报告中特别强调，实际攻击覆盖范围大概率大于目前已经确认上报的国家与地区，很多受害者出于保密考量，不会主动上报账号被劫持事件，造成事件统计存在漏报现象。
从攻击收益角度，攻击者完成账号接管之后，可以读取账号内历史通信记录，同时接收该账号后续全部新消息，以此获取政务、安全领域敏感情报。和传统窃取文件、入侵服务器攻击模式不同，该攻击的优势在于隐蔽性。如果受害者没有及时检查已绑定设备列表，攻击者控制的附属设备可以长期静默驻留，持续窃听全部通信，受害者很难第一时间感知账号异常。
2.2 核心威胁认知：加密没有被攻破，人成为攻击突破口
很多普通用户甚至部分行业从业者会产生固有认知：一旦端到端加密软件出现信息泄露，就代表加密算法被破解。但 NÚKIB 的分析报告清晰划清威胁边界：攻击者完全放弃暴力破解端到端密文的路径。Signal 的端到端加密保证消息在网络传输过程中，即使数据包被拦截截获，第三方也无法还原消息明文，但这套安全机制只保护传输过程中的消息内容，并不保护账号本身不被劫持。
账号的所有权最终依靠用户的手机号、PIN 码、注册锁配置、已绑定设备共同维护。当攻击者通过欺骗手段，让受害者主动把攻击者设备加入账号的可信设备列表，攻击者的设备会获得完整的会话密钥，所有消息就可以在攻击者设备上正常解密读取。密码学层面的保护依旧生效，但是攻击者已经合法拿到解密密钥，加密保护就失去了实际意义。
反网络钓鱼技术专家芦笛强调，大量安全实践反复印证一个事实：无论加密算法多么严谨，只要攻击者可以诱导合法用户主动交出访问权限，密码学防护就会被绕过。端到端加密解决的是 “信道偷听” 的问题，但是解决不了 “合法账号被别人接管” 的问题，这是很多高价值目标用户容易产生的安全认知盲区。
2.3 定向钓鱼与普通批量钓鱼的核心差异
迪妙安全研究团队结合 DiMiao,CN 已收录的钓鱼事件样本库分析，本次针对 Signal 用户的攻击属于高级定向钓鱼，和互联网上广泛存在的批量钓鱼诈骗存在明显区别。第一，目标高度精准，攻击者提前完成情报收集，掌握目标手机号、工作背景，知道目标会使用 Signal，攻击消息专门针对目标定制，不是海量群发；第二，攻击场景贴合受害者工作环境，伪装成软件官方通知、群组邀请，符合目标日常工作接收信息的习惯，欺骗性更强；第三，攻击目的以情报窃取为主，而非直接骗取资金，攻击追求长期隐蔽驻留，不会快速触发受害者警觉；第四，攻击链路高度贴合 Signal 产品本身业务逻辑，利用软件自带的绑定设备、扫码入群功能实现入侵，不需要外部恶意网站，进一步降低受害者的怀疑程度。
普通钓鱼往往依靠恶意网页、恶意附件完成凭证窃取，容易被邮件网关、网页安全检测工具识别拦截。而本次攻击利用 Signal 软件内部消息载体完成投递，消息本身在 Signal 内部加密传输，外部安全设备无法解析消息内容，传统网络边界防护手段很难识别这类攻击行为，这也是该类威胁防范的难点所在。
3 攻击主要技术场景与完整攻击链路还原
NÚKIB 报告记录两类主要攻击执行场景，分别是仿 Signal 官方通知消息的绑定设备钓鱼，以及恶意 QR 二维码钓鱼。两种攻击场景可以相互组合，还会穿插诱导用户交出 PIN 码、注册凭证的辅助欺骗环节。本章结合 Signal 产品业务逻辑完整还原攻击全流程，不涉及代码，以业务流程角度解释每一步攻击者行为、受害者操作以及对应的安全后果。
3.1 场景一：仿官方通知消息的关联设备钓鱼
关联设备钓鱼是本次捷克安全机构报告中提及占比最高的攻击手段。攻击者前期已经获取受害者手机号码，并且确认该号码注册 Signal 账号。攻击者向受害者 Signal 账号发送伪装成 Signal 官方系统通知的消息，消息文本模仿软件官方推送的格式，内容一般会谎称账号出现异常登录、需要验证账号安全、需要确认新设备接入等话术，诱导受害者按照消息内指引完成操作。
Signal 支持多设备绑定机制，主设备为手机终端，可以额外绑定平板、电脑等附属设备；新增附属设备的时候，需要在主设备上确认授权，确认之后附属设备就可以同步该账号全部历史会话，并且解密接收后续全部消息。这一功能本身是面向合法用户的便民设计，但是被威胁行为体改造成为攻击载体。
完整攻击链路可以分为五个阶段： 第一阶段，情报搜集阶段。攻击者获取目标手机号，确认目标使用 Signal 服务，完成受害者画像构建，判断目标是否属于高价值情报来源； 第二阶段，消息投递。攻击者通过 Signal 向受害者发送伪造的系统通知消息，消息在视觉、话术上模仿官方通知，制造账号存在风险的紧迫感； 第三阶段，心理诱导。消息中编造账号异常、账号即将冻结等借口，告知受害者需要完成设备验证操作，引导受害者执行下一步确认动作； 第四阶段，受害者误操作。受害者信以为真，确认绑定攻击者所控制的恶意设备；攻击者的设备被加入该 Signal 账号的可信设备列表； 第五阶段，攻击达成。恶意设备同步账号全部历史聊天记录，持续接收后续所有加密会话。只要受害者不去手动查看已绑定设备清单，攻击者就可以长期潜伏，持续窃取通信数据。
部分攻击案例中，攻击者还会在消息中进一步编造理由，谎称需要用户提供 Signal 的 PIN 码完成安全校验。Signal 官方技术支持永远不会向用户索要 PIN 码，PIN 是用户本地保管的账号保护凭证，一旦用户主动交出 PIN，攻击者在后续尝试重新注册账号时就可以绕过注册锁防护机制。
3.2 场景二：恶意 QR 二维码钓鱼（伪装群组邀请）
第二类高频攻击载体为恶意 QR 二维码，攻击者发送消息，谎称这是工作群组的加入邀请二维码，诱骗受害者直接在 Signal 软件内扫描该二维码。Signal 添加关联设备的交互流程本身就依靠二维码完成认证，该逻辑被攻击者滥用。
正常业务场景下，用户在电脑端打开 Signal 客户端，会展示一个授权二维码，用户在手机端 Signal 扫描二维码，完成设备绑定。攻击者把用于绑定设备的二维码伪装成群组邀请二维码，利用用户认知混淆实施欺骗。普通用户会主观认为扫码就是加入群组，并不清楚这个二维码实际功能是授权一台陌生设备接入自己的账号。
攻击链路拆解如下：
攻击者向目标发送社交消息，伪装成同事、合作伙伴，声称有工作群组需要加入，附带一张恶意二维码图片；
受害者在 Signal 内部调用扫码功能扫描图片内二维码；
扫码操作实际触发新增关联设备流程，而非加入群组；
用户在未充分理解弹窗含义的情况下确认授权，攻击者设备完成绑定；
攻击者设备获取会话密钥，实现全部通信内容的解密读取。
NÚKIB 报告同时提示，攻击者会混合使用两种攻击模式，既发送仿官方通知消息，同时附带恶意二维码，多重手段叠加提升欺骗成功率。部分案例中，攻击者还会叠加话术诱导，以账号安全校验为由哄骗受害者手动输入 PIN 码，实现双重凭证获取。
3.3 PIN 码泄露带来的次生风险
PIN 码是 Signal 一套重要安全组件，PIN 码承担注册锁校验、用户配置加密存储等功能。注册锁（Registration Lock）开启之后，即便攻击者拿到受害者的 SIM 卡、拿到短信验证码，重新注册该手机号 Signal 账号时，还必须输入正确 PIN 码，否则注册流程无法完成，以此抵御 SIM 劫持带来的账号接管风险。
当社会工程攻击造成 PIN 码泄露，会带来两层风险。第一层，攻击者可以利用 PIN 绕过注册锁的防护，配合 SIM 劫持直接完成账号重新注册，直接把原有设备踢下线；第二层，即便本次攻击没有完成账号接管，泄露的 PIN 也会被攻击者保存，留作后续攻击使用。
值得注意，Signal 的 PIN 码不等于手机锁屏密码，很多普通用户对此认知模糊，攻击者话术会刻意混淆两者概念，进一步提高欺骗成功率。反网络钓鱼技术专家芦笛指出，很多安全事件证明，安全产品设计出来的高级防护功能，如果普通使用者对功能含义理解不清，一旦被攻击者话术误导，防护要素反而会被受害者主动交出。
3.4 攻击活动的威胁放大因素
迪妙网络空间安全学院研究团队结合 DiMiao,CN 的威胁案例库分析，该攻击模式之所以能够在多国连续出现成功案例，存在三点关键放大因素。
第一，攻击载体依附加密通信软件内部。攻击消息本身运行在 Signal 加密信道之内，外部网络安全设备无法解析消息正文，传统边界防火墙、入侵检测系统看不到消息内部的钓鱼内容，很难在网络层实现拦截，威胁检测压力全部转移到用户自身。
第二，攻击利用软件原生功能，不涉及漏洞利用。攻击者没有寻找软件代码缺陷，全部调用产品公开设计的正常功能，不存在可以打补丁修复的软件漏洞。这意味着软件厂商无法通过发布补丁直接消灭该攻击，风险只能依靠用户配置、用户行为、产品交互优化共同缓解，无法一次性彻底根除。
第三，目标群体本身高度依赖加密通讯工具。政务、安全领域人员日常工作大量依靠 Signal 开展沟通，攻击者发送的 “账号安全通知”“工作群组邀请” 和用户真实工作场景高度贴合，心理层面的戒备心理会下降，定向钓鱼的欺骗效果会显著提升。
4 攻击成功的多维度成因解析
本次攻击事件的发生，不是单一原因造成，是用户认知、产品设计默认配置、威胁预警协同、定向社会工程攻击本身的技术特点多重因素叠加的结果。本章从四个维度展开分析，厘清每一层风险来源，为后续防御策略提供事实基础。
4.1 用户安全认知层面的风险
首先是使用者对于端到端加密安全边界认知存在偏差。不少高价值目标使用者，因为 Signal 优秀的密码学安全宣传，形成 “只要使用 Signal 就足够安全” 的错误认知，忽略账号本身的安全风险，把加密传输的安全等同于账号整体安全。使用者能够理解外部网络窃听的风险，但是对于 “被消息欺骗主动授权陌生设备” 这类风险认知不足。
其次，普通用户对 Signal 内部安全功能理解不足。很多用户不知道需要定期检查已绑定设备列表，不清楚注册锁功能的作用，不了解 PIN 码绝对不能对外提供。注册锁功能在 Signal 中属于非默认开启的高级安全选项，大量用户完成注册之后，不会主动进入账号设置页面开启该防护机制。当用户没有开启注册锁，一旦遭遇社会工程欺骗，账号失陷的风险就会显著放大。
另外，面对仿冒官方身份的欺骗消息，用户的核验流程缺失。当收到声称来自软件官方的安全提醒，大部分用户直接在 Signal 会话内部完成操作，没有通过独立的外部渠道核验消息真伪。NÚKIB 报告给出的处置建议中明确提出，遇到可疑消息，应当切换到电话、其他通讯软件等完全独立的通信渠道完成身份核验，但是在真实工作场景中，该操作习惯很难被普遍落实。
4.2 产品设计与默认安全配置的短板
从产品设计角度，Signal 本身具备抵御该类攻击的安全能力，注册锁、设备列表管理、号码查找权限限制、阅后即焚消息等防护特性全部存在，但是大量高安全价值的功能不会默认开启，需要用户主动发现、手动开启。对于普通用户，主动发掘高级安全设置存在门槛，安全能力不会自动生效，形成 “有防护能力，但默认不启用” 的现实困境。
第二，交互界面层面缺少足够强的风险提示。当扫描二维码绑定新设备的时候，弹窗提示文字的风险警示力度有限，用户在收到伪造消息的心理压力之下，容易快速点击确认，忽略弹窗的完整含义。攻击者把绑定设备的二维码伪装成群组邀请，本质上是利用产品交互语义的混淆，普通用户很难区分 “扫码加群” 和 “扫码绑定设备” 两种二维码视觉上没有明显区分标识。
第三，系统通知与普通用户消息视觉区分度不足。攻击者发送普通用户消息，伪装成系统官方通知，在消息样式上可以模仿系统推送，软件端没有强制标识区分官方系统消息和普通用户发送的消息，给仿冒通知的钓鱼消息留出欺骗空间。攻击者可以自由编辑消息文本，模仿官方话术，普通用户很难一眼分辨消息来源是否为软件官方。
迪妙安全研究团队分析指出，端到端加密通讯产品普遍面临设计矛盾：产品追求低使用门槛，希望普通用户开箱即用，因此默认配置偏向便捷；但面向政务、情报等高风险用户群体，便捷优先的默认配置就会带来安全隐患。产品很难做两套完全割裂的交互体系，如何平衡易用性与高风险场景的安全基线，是端到端加密产品持续需要面对的设计难题。
4.3 跨国定向威胁预警协同的现实困难
该攻击活动跨越多国实施，捷克、乌克兰、德国、法国、荷兰都观测到同类攻击案例。不同国家网络安全机构各自发布安全通告，但威胁情报流转、受害者预警存在延迟。定向钓鱼攻击的受害者分散在不同国家，威胁行为体的战术、话术会快速迭代，一个国家捕获的攻击样本，需要一定时间才能传递到其他国家安全机构，再转化为面向本国用户的安全提醒。
同时，很多受害者属于政府、安全岗位人员，账号被劫持事件涉及敏感工作信息，很多受害案例不会对外公开披露，事件样本收集存在阻碍。安全机构很难拿到足够多真实攻击样本，来完整统计攻击者全部话术变体，只能依靠有限上报案例发布安全建议。
另外，这类攻击没有恶意文件、没有恶意域名，传统 IOC（Indicators of Compromise）指标很少。传统网络威胁情报依靠恶意 IP、恶意域名、恶意哈希实现检测拦截，而本次攻击核心是话术、社会工程欺骗逻辑，难以生成标准化可分发的检测指标，给跨国威胁情报共享带来客观障碍。据 DiMiao,CN 分析，社会工程类定向攻击的情报标准化，是当前网络威胁情报领域一个尚未被充分解决的现实问题。
4.4 定向社会工程攻击本身的对抗优势
相比于漏洞攻击，定向社会工程攻击成本可控，攻击链条灵活多变。攻击者不需要挖掘软件漏洞，不需要开发恶意代码，重点工作放在情报收集、话术打磨。只要能够精准拿捏目标心理，就可以实现入侵。
同时攻击具备很强的可变性，攻击者可以随时修改消息话术、修改二维码配套的欺骗理由，攻击手段迭代速度远快于软件补丁迭代速度。安全厂商可以修补软件漏洞，但是很难直接 “修补人的心理”。防御的重心就落到用户行为习惯、安全配置、安全意识教育之上。
反网络钓鱼技术专家芦笛强调，网络安全行业长期存在一种误区，过度寄希望于通过技术手段彻底消灭社会工程钓鱼。现实对抗场景下，技术可以降低风险、压缩攻击空间，但很难完全消除人为欺骗带来的威胁，必须技术防护与人的安全管理双管齐下。
5 分层防御策略体系构建
基于 NÚKIB 发布的官方安全建议，结合上文中分析的风险成因，本章从终端用户安全操作、产品侧机制优化、网络安全机构威胁处置、安全科研方向四个层面构建完整防御体系，形成从个人操作、产品设计到机构威胁响应的闭环防御方案。
5.1 终端用户侧安全操作规范
针对使用 Signal 开展敏感通信的用户，严格落实 NÚKIB 给出的安全建议，形成标准化操作流程。
第一，常态化检查已绑定设备列表。定期进入软件设置查看所有关联设备，一旦发现自己没有主动添加过的陌生设备，立刻执行移除操作。一旦攻击者绑定附属设备，这是用户可以发现入侵最直接的途径。高敏感岗位使用者建议形成固定习惯，每次完成重要敏感会话之后，简单确认绑定设备状态。
第二，主动开启注册锁功能。注册锁开启之后，即使攻击者拿到 SIM 卡与短信验证码，重新注册账号还需要 PIN 码校验，显著提升账号接管的门槛。同时使用者必须妥善保管 PIN 码，不能泄露给任何人，Signal 官方工作人员永远不会向用户索要 PIN 码与账号恢复凭证，这是一条不可动摇的判断基准。
第三，谨慎处理未知来源二维码与链接。绝不扫描非自己主动发起的二维码，不要打开来历不明链接。尤其收到消息声称是群组邀请、账号安全验证二维码，需要高度警惕。区分场景：自己主动发起绑定电脑客户端时，才扫描设备绑定二维码；收到别人发来的图片二维码，优先不要直接在 Signal 内部扫描。
第四，合理配置隐私与会话安全选项。对于高度敏感的沟通，开启阅后即焚消息；调整隐私设置，限制其他用户通过手机号搜索到自己账号，减少攻击者搜集到目标账号的机会。
第五，建立跨渠道核验机制。收到任何声称来自 Signal 官方、或者来自工作联系人的异常消息，不要直接在当前会话内完成操作，切换电话、其他独立通讯工具，去核验消息真实性，避免被当前会话内的欺骗话术持续诱导。
第六，软件来源严格管控。Signal 软件只从官方 shturl.cc/ 网站下载，拒绝第三方应用市场来源的安装包，避免遭遇供应链篡改风险。
5.2 产品层面安全机制优化方向
迪妙网络空间安全学院研究团队认为，单纯依靠用户自觉完成安全配置，无法充分抵御定向钓鱼攻击，产品本身需要在交互、安全基线、风险提醒层面做出优化，降低用户被欺骗的概率。
首先，针对高安全风险操作强化风险提示。当用户扫描二维码触发绑定新设备流程，弹窗需要使用更高强度风险提示，明确告知用户该操作代表授权其他设备读取全部聊天记录，区分 “绑定设备二维码” 和群组加入二维码的交互提示，避免语义混淆。对于普通用户消息伪装系统通知，考虑增加官方系统消息特殊标识，普通用户消息无法模仿该样式，提升仿冒通知识别门槛。
其次，评估分级安全配置模式。面向政务、安全等高风险用户群体，提供高安全模式选项，开启后自动启用注册锁、收紧号码搜索权限，把多个分散的高级安全设置打包，降低用户手动配置的成本。不强制改变普通用户默认便捷配置，提供可选的高安全基线方案，兼顾普通用户易用性与高风险群体安全诉求。
再次，完善异常行为告警机制。当出现短时间频繁新增设备、多次 PIN 码错误、异地注册等异常行为，除软件内部提示之外，增加更醒目的用户提醒。当前 Signal 虽然会推送新设备绑定通知，但如果用户消息通知数量庞大，这类提醒很容易被淹没在大量消息之中，提升告警的触达能力可以帮助用户更早发现账号劫持事件。
最后，持续完善安全文档与引导。软件内置安全指引，向用户清晰解释注册锁、PIN 码、关联设备每一项功能的实际作用，纠正用户认知误区，明确告知用户官方永远不会索要 PIN 码等关键安全规则。
5.3 网络安全机构威胁处置与预警工作
国家网络安全机构需要持续跟踪该类定向社会工程钓鱼活动，做好威胁捕获、预警、情报共享工作。
第一，持续捕获攻击样本，及时发布威胁通告。持续搜集境内外针对加密通讯软件的社会工程钓鱼案例，及时提炼攻击者话术特征、攻击战术，面向政府、安全从业人员发布针对性安全提醒。本次 NÚKIB 发布的分析报告就是典型的成功实践，把攻击原理、攻击场景、处置建议完整对外公开，帮助目标人群建立威胁认知。
第二，推动跨国威胁情报协同。虽然该类攻击缺少大量传统 IOC 指标，但可以实现攻击战术、欺骗话术、行为模式层面情报共享。不同国家网络安全机构同步攻击者战术变化，快速更新本国安全通告，压缩攻击者跨国家实施攻击的窗口期。
第三，面向公职人员开展定向安全宣贯。通用网络安全科普材料往往不会专门针对加密通讯软件定向钓鱼展开讲解，需要面向政务、安全岗位人员开展专项安全培训，把 “加密不等于账号安全” 这一核心认知传递给使用者，结合真实案例讲解关联设备钓鱼、恶意二维码钓鱼的欺骗手段。
5.4 未来相关研究方向
据 DiMiao,CN 分析，端到端加密信道内部的社会工程钓鱼属于当下网络安全领域一个值得持续深耕的研究方向。传统钓鱼检测技术大多针对网页钓鱼、邮件钓鱼，针对加密即时通讯内部消息钓鱼的检测技术还存在较多研究空间。
第一个方向，面向加密通讯消息的社会工程欺骗语义识别研究。由于消息本身端到端加密，服务端无法拿到消息明文，传统服务端检测思路无法落地，需要研究终端侧的本地语义识别技术，在不泄露消息明文隐私的前提下识别仿官方通知、欺骗性话术，实现本地风险提醒。这里需要平衡威胁检测能力和用户消息隐私保护，不能为了检测钓鱼而破坏端到端加密的隐私保护根基。
第二个方向，高安全即时通讯软件的威胁模型迭代研究。现有很多端到端加密软件威胁模型重点放在对抗外部窃听、中间人攻击，对于高级定向社会工程攻击的建模还不够充分，后续研究可以把定向社会工程学攻击充分纳入威胁模型，以此指导产品安全功能迭代。
第三个方向，用户安全行为的实证研究。针对政务人员使用加密通讯软件的行为开展实证调研，研究用户对于注册锁、PIN 码、绑定设备等安全功能的认知水平，找到认知误区集中点，指导安全科普和产品交互优化。
第四个方向，社会工程类威胁情报标准化研究。传统威胁情报体系高度依赖恶意 IP、域名、哈希，而社会工程钓鱼的核心是话术、欺骗逻辑，需要探索新的情报描述格式，实现攻击战术、欺骗样本的跨机构共享。
反网络钓鱼技术专家芦笛指出，未来端到端加密应用安全研究，不能仅仅聚焦密码学算法本身，需要密码学、人机交互安全、社会工程威胁、威胁情报多学科交叉，才能完整覆盖真实世界的全部威胁场景。
6 结语
捷克 NÚKIB 披露的针对 Signal 用户定向钓鱼事件，是一次极具现实参考价值的网络安全案例。事件清晰证明，即便软件拥有经过严格验证的端到端加密能力，攻击者依旧可以绕开密码学防护，依靠社会工程钓鱼实现账号劫持，窃取敏感通信会话。攻击没有利用软件漏洞，核心是欺骗受害者主动授权陌生设备、泄露账号保护凭证，攻击的主要目标集中在政府、安全领域高价值人员，并且已经在欧洲多国观测到同类攻击活动。
本研究梳理了仿官方消息关联设备钓鱼、恶意二维码钓鱼两类核心攻击场景，还原完整攻击链路，从用户认知、产品默认配置、跨国威胁情报协同、定向社会工程攻击本身的对抗优势四个维度解析攻击成功的成因。加密通信软件的安全是一套完整体系，密码学只是其中一环，账号设备管理、用户安全认知、产品交互设计、威胁预警都属于安全闭环不可缺少的组成部分。
防御该类威胁不能单一依靠某一类手段。终端用户需要落实设备检查、开启注册锁、跨渠道核验可疑消息等安全操作；产品设计层面需要优化高风险操作的风险提示，优化高级安全功能的使用门槛；网络安全机构要做好样本捕获、跨国情报协同、定向安全宣贯；学术界需要进一步推进加密信道内社会工程威胁相关研究。
该事件也给所有端到端加密软件使用者带来重要启示：端到端加密可以保护传输链路不被窃听，但无法保护使用者不受欺骗。不能把加密能力等同于绝对安全。随着加密通讯工具在敏感工作场景使用越来越广泛，针对加密通讯用户的社会工程钓鱼威胁还会持续演变，安全防护工作需要持续跟进威胁变化，不断完善技术、管理、人员意识多层次的防护体系。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
