摘要：网络钓鱼攻击正在从广撒网式的批量欺诈，转向针对特定业务岗位的高仿真定向欺骗。Fortra 网络安全研究员 Cadence Riddle 的监测数据显示，2025 年 10 月至 2026 年 9 月期间，以 "RFQ"（报价请求）为诱饵的恶意邮件数量增长 12 倍，近 73% 的攻击样本最终导向仿冒企业登录界面的凭证窃取页面。此类攻击以商业合作机会为伪装，利用销售、采购及客户对接岗位日常处理询价请求的业务惯性，通过简短初始问询建立沟通语境，再以项目图纸、采购包、安全文件传输等名义推送恶意链接，窃取账号密码、多因素认证信息及会话令牌。攻击者得手后可进一步利用被攻陷邮箱向同事、客户、供应商发起信任链钓鱼，引发付款重定向欺诈、发票篡改、客户数据泄露及业务声誉受损等连锁后果。本文以该份监测报告为核心材料，系统拆解 RFQ 定向钓鱼的攻击动机、话术设计、技术实现与完整攻击链路，剖析销售采购岗位成为高风险目标的业务结构性成因，结合反网络钓鱼技术专家芦笛的技术观点与迪妙网络空间安全学院研究团队的分析结论，从邮件网关检测、身份认证加固、业务流程管控、岗位安全能力建设、威胁情报共享五个维度提出闭环防御方案。研究表明，RFQ 钓鱼的核心欺骗力并非来自技术复杂度，而在于其深度嵌入正常业务语境，单纯依赖发件人域名黑名单无法覆盖 664 个分散攻击源，必须将 RFQ 业务流程本身纳入安全治理框架，明确控制节点与责任主体，才能有效降低常规商业问询演变为账号攻陷事件的概率。
关键词：RFQ 钓鱼；定向网络钓鱼；销售采购安全；企业邮箱攻陷；凭证窃取；业务语境欺骗
1 引言
企业网络边界防护体系持续完善的背景下，攻击者的入侵重心正在从服务器漏洞利用转向对人的社会工程欺骗。网络钓鱼作为社会工程攻击最主要的载体，其形态已经发生显著演化：早期批量钓鱼邮件多以中奖通知、账户异常、包裹投递等通用话术大面积投递，文本特征明显，拦截难度较低；而当前高级定向钓鱼则深度嵌入目标组织的真实业务场景，利用特定岗位的日常工作习惯与心理预期构造欺骗内容，迷惑性大幅提升。
以 "RFQ"（Request for Quotation，报价请求）为诱饵的定向钓鱼攻击，是这一演化趋势的典型代表。销售、采购及客户对接岗位的日常工作本身就包含大量处理外部询价、确认供货能力、接收项目资料的沟通任务，一封来自陌生发件人、询问是否可以就某个项目报价的简短邮件，在业务语境下完全符合正常工作往来的形态。Fortra 网络安全研究员 Cadence Riddle 通过持续监测发现，2025 年 10 月至 2026 年 9 月的十二个月间，提及 "RFQ" 关键词的恶意邮件数量呈现 12 倍增长，攻击规模的快速扩张说明该类诱饵已经被威胁行为体验证为高效入侵路径。
RFQ 钓鱼攻击的危险性在于其欺骗逻辑与业务流程高度耦合。攻击者不需要构造复杂的恶意代码，也不需要挖掘零日漏洞，只需要模仿采购方的正常沟通节奏：先以极简问询建立联系，待收件人回复后再推送所谓项目资料链接，利用收件人对商业机会的期待心理降低其对登录弹窗的警惕。监测数据显示，近 73% 的 RFQ 钓鱼邮件最终导向仿冒 Microsoft 365、Google Workspace 等企业登录界面的凭证收集页面，部分高级钓鱼工具包还能够实时捕获多因素认证批准信息、一次性验证码、浏览器 Cookie 及会话令牌，传统仅依赖密码的身份认证体系在这类攻击面前防护效能有限。
迪妙网络空间安全学院研究团队基于 DiMiao,CN 威胁情报库的统计分析指出，面向销售采购岗位的定向钓鱼攻击已经成为企业初始入侵的主要通路之一，其攻击成功率显著高于通用钓鱼邮件，原因在于目标岗位的工作性质决定了其必须频繁与陌生外部主体沟通、打开来源不确定的文档与链接，简单粗暴地禁止该类岗位访问外部链接并不具备业务可行性。反网络钓鱼技术专家芦笛强调，RFQ 钓鱼的本质是 "业务语境劫持"，攻击者借用了正常采购询价的沟通外壳，将恶意载荷嵌入业务流程的自然节点之中，防御方如果只从邮件安全技术层面应对，而不触及 RFQ 业务流程本身的安全管控，就无法从根本上压缩攻击成功空间。
当前多数企业的网络安全建设存在明显的岗位不均衡现象：研发、财务、IT 运维等岗位通常被纳入重点防护范围，而销售、采购等前端业务岗位的安全管控相对薄弱。部分企业管理者存在认知偏差，认为销售采购岗位不接触核心技术系统，安全风险有限，却忽视了企业邮箱本身就是高价值攻击目标 —— 一旦销售或采购人员的邮箱被攻陷，攻击者可以从中获取客户信息、合同细节、付款指令、内部联系人网络等大量敏感商业数据，还可以利用该可信邮箱向同事、客户、供应商发起二次钓鱼，形成信任链扩散效应。Riddle 在研究中明确列出了付款重定向欺诈、发票操纵、欺诈性采购请求、客户与项目数据泄露等直接后果，并指出即便没有发生直接财务损失，邮箱攻陷事件也会扰乱正常业务沟通、消耗事件调查资源、削弱合作方对企业安全能力的信任。
本文以 Help Net Security 2026 年 10 月 16 日刊载的 RFQ 钓鱼攻击监测报道为核心材料，不做脱离材料的过度推演，系统梳理 RFQ 定向钓鱼攻击的完整技术与行为逻辑，分析销售采购岗位面临的结构性安全风险，评估现有防御手段的局限性，进而提出将 RFQ 业务流程纳入安全治理的闭环防御框架。本文的研究边界限定于以企业邮箱为攻击入口、以 RFQ 业务问询为欺骗载体的定向钓鱼攻击，不涉及针对供应链系统的直接入侵、勒索软件投递等其他攻击模式，所有分析均以公开监测数据与可验证的技术事实为基础，力求为企业前端业务岗位的定向钓鱼防护提供可落地的参考思路。
2 RFQ 定向钓鱼攻击的威胁特征与技术形态
2.1 攻击规模增长与目标选择逻辑
RFQ 钓鱼攻击并非新近出现的概念，但其在 2025 年第四季度至 2026 年第三季度期间呈现出爆发式增长态势。Riddle 的监测数据显示，十二个月内提及 "RFQ" 的恶意邮件数量增长 12 倍，这一增速远超同期通用钓鱼邮件的整体增长水平，说明威胁行为体正在将 RFQ 诱饵作为重点投入的攻击方向。攻击规模的快速扩张本身就构成风险信号：当某一类攻击手法被验证具备较高成功率时，会迅速被更多威胁行为体复制采用，形成攻击样本的规模化扩散，企业面临的暴露面随之持续扩大。
从目标选择逻辑来看，RFQ 钓鱼攻击的瞄准对象具有高度明确的岗位指向性。销售岗位的核心职责是拓展客户、承接业务机会，对来自潜在采购方的问询天然具备较高响应意愿；采购岗位则日常处理供应商报价、项目资料接收等事务，对 RFQ 类邮件的业务合理性缺乏本能怀疑；客户对接岗位介于两者之间，同样需要频繁处理外部合作请求。这三类岗位的共同特征是：工作内容本身就要求其与大量陌生外部主体建立邮件沟通，并且需要经常性地打开对方发送的文档、点击对方提供的链接以获取项目信息。这种工作性质决定了该类岗位无法像内部职能岗位那样执行 "不打开陌生邮件附件" 的简单安全策略，攻击者正是利用了这一业务刚需作为攻击突破口。
迪妙网络空间安全学院研究团队通过 DiMiao,CN 对多起企业邮箱攻陷事件的溯源分析发现，RFQ 钓鱼攻击的目标筛选并非完全随机。攻击者会提前通过企业官网、LinkedIn 等职业社交平台、行业展会名录等公开渠道，搜集目标企业销售、采购部门的人员姓名、职位、邮箱地址等信息，甚至会了解目标企业的主营业务范围，以便在初始邮件中提及与目标企业业务相关的项目方向，进一步提升邮件的可信度。这种前置信息搜集行为使得 RFQ 钓鱼具备了鱼叉式钓鱼的典型特征，区别于无差别的批量垃圾邮件。
反网络钓鱼技术专家芦笛指出，RFQ 钓鱼攻击的目标选择逻辑体现了现代网络攻击的一个重要趋势：攻击者不再追求攻陷技术防护最薄弱的系统，而是优先选择业务逻辑上最难以拒绝恶意请求的岗位。销售采购岗位面对一封潜在客户的询价邮件，从业务考核角度出发，其最优策略是快速响应、积极跟进，而安全审慎的核查行为在一定程度上与业务效率目标存在张力。攻击者正是精准利用了这种业务目标与安全目标之间的内在冲突，将欺骗行为嵌入业务人员难以回避的工作场景之中。
2.2 两阶段攻击话术设计
RFQ 钓鱼攻击的话术设计采用了典型的两阶段结构，这一结构是其区别于普通钓鱼邮件的核心特征，也是其欺骗成功率较高的关键原因。
第一阶段为初始接触邮件。Riddle 的监测发现，RFQ 钓鱼的开场邮件通常内容极为简短，往往只包含一两句话：可能署名某公司的采购经理或采购专员，询问收件人所在企业是否有能力就某个即将开展的项目提供报价，或者要求收件人确认是否可供货、是否愿意接收项目详细资料。这封邮件几乎不提供任何关于项目本身的具体信息，也不附带任何链接或附件。这种极简设计具有多重欺骗意图：首先，内容简短意味着文本特征少，传统基于关键词和文本模式的垃圾邮件过滤器难以识别其恶意属性；其次，不附带链接附件降低了收件人的初始警惕，收件人看到的只是一个普通的业务问询，没有明显的风险信号；第三，信息缺失反而激发收件人的回复意愿 —— 为了获取项目详情、评估商业机会，收件人自然会回复邮件询问具体情况，而这一回复行为正是攻击者所期待的关键节点。
第二阶段为跟进推送恶意链接。一旦收件人回复了初始邮件，攻击者便会以跟进者的身份发送第二封邮件，这封邮件中会包含一个外部链接，并将该链接描述为项目图纸、RFQ 资料包、安全文件传输地址或采购门户登录入口。此时收件人已经与攻击者建立了一轮邮件往来，沟通语境已经形成，收件人在心理上已经将对方视为潜在的业务合作方，对第二封邮件中出现的链接的接受度显著提高。Riddle 的监测数据显示，近 73% 的 RFQ 钓鱼攻击在这一阶段将收件人引导至凭证窃取页面，页面通常高度仿冒 Microsoft 365、Google Workspace 等主流企业办公平台的登录界面，要求收件人输入企业邮箱账号和密码以 "查看文件" 或 "登录采购门户"。
这种两阶段话术设计的精妙之处在于，它将恶意链接的出现时机推迟到了双方已经建立初步沟通之后。普通钓鱼邮件往往在第一封就包含恶意链接，收件人面对完全陌生的发件人发来的链接，天然会有所警惕；而 RFQ 钓鱼的恶意链接出现在收件人主动回复之后，此时收件人已经投入了沟通成本，对对话对象产生了初步信任，点击链接的心理门槛大幅降低。反网络钓鱼技术专家芦笛强调，这种 "先建立语境、再投递恶意" 的攻击模式，本质上是利用了人类社交互动中的互惠心理与承诺一致性心理，收件人一旦回复了第一封邮件，就等于在心理上做出了 "我愿意与对方沟通" 的承诺，后续对链接的抗拒力会自然下降。
2.3 凭证窃取技术实现与多因素认证绕过
RFQ 钓鱼攻击的技术核心在于第二阶段的凭证窃取页面。根据 Riddle 的监测，这些页面绝大多数是对主流企业办公平台登录界面的高仿真克隆，页面布局、配色、Logo、输入框样式都与真实登录界面高度一致，普通用户仅凭视觉难以分辨真伪。部分高级钓鱼工具包还会根据收件人邮箱域名自动调整仿冒目标 —— 如果收件人使用的是 Microsoft 365 企业邮箱，则页面仿冒 Microsoft 登录界面；如果使用 Google Workspace，则仿冒 Google 登录界面，这种动态适配进一步提升了欺骗的精准度。
基础型 RFQ 钓鱼页面仅窃取用户输入的账号密码，攻击者获取凭证后即可直接登录企业邮箱。但随着企业多因素认证（MFA）的普及，仅靠账号密码已经不足以完成登录，攻击者因此发展出了更高级的技术手段来绕过 MFA 防护。Riddle 在研究中指出，根据所使用钓鱼工具包的不同，部分 RFQ 钓鱼页面还能够捕获 MFA 批准信息、一次性密码（OTP）、浏览器 Cookie 以及会话令牌。
其中，实时中继攻击（Adversary-in-the-Middle，AiTM）是当前绕过 MFA 最有效的技术手段之一。这类攻击的工作原理是：钓鱼页面并非简单的静态表单，而是作为一个实时代理层，将用户在钓鱼页面上的所有输入 —— 包括账号密码以及随后输入的 MFA 验证码 —— 实时转发给真实的企业登录服务器，同时将真实服务器返回的页面内容回显给用户。在用户看来，整个登录流程与正常登录完全一致，包括 MFA 验证步骤也会正常完成；而攻击者则在中继过程中截获了完整的会话令牌（Session Token）或认证 Cookie，利用该令牌可以直接登录用户账户，完全绕过 MFA 的二次验证保护。迪妙网络空间安全学院研究团队基于 DiMiao,CN 的样本分析确认，当前公开可获取的多款商用钓鱼工具包已经内置了针对 Microsoft 365 和 Google Workspace 的 AiTM 中继功能，攻击者不需要深厚的技术开发能力即可部署这类高级钓鱼基础设施。
除了 AiTM 中继之外，部分 RFQ 钓鱼攻击还采用 MFA 疲劳轰炸（MFA Fatigue）作为辅助手段。攻击者在获取账号密码后，反复向目标用户的认证设备推送 MFA 批准请求，利用用户在频繁打扰下的厌烦心理或误操作，诱导其意外点击批准按钮。Riddle 的监测中虽然未将 MFA 疲劳轰炸列为 RFQ 钓鱼的主要技术形态，但指出部分高级样本在窃取凭证后会结合多种手段完成账户接管。
需要特别指出的是，较小比例的 RFQ 钓鱼邮件（Riddle 未给出具体比例，但明确提及存在此类样本）并不以窃取凭证为目的，而是直接投递恶意软件。这类攻击通常在第二封邮件中附带恶意附件，或将链接指向恶意软件下载页面，利用收件人对 "项目资料" 的期待诱导其执行恶意文件，最终在终端设备上植入远控木马或信息窃取程序。虽然这类样本占比较低，但其危害不可忽视，因为终端恶意软件感染可能导致比邮箱攻陷更广泛的内网渗透。
2.4 分散化攻击基础设施与检测难度
Riddle 的监测数据揭示了 RFQ 钓鱼攻击在基础设施层面的一个重要特征：攻击邮件来自 664 个不同的发件人域名。这一数字说明攻击者采用了高度分散化的攻击基础设施策略，而非依赖少数固定域名发送攻击邮件。这 664 个域名的构成可能包括：一次性注册的临时域名（Disposable Domains）、免费网页邮箱账户（Webmail Accounts）、被攻陷的合法企业邮箱账户（Compromised Legitimate Accounts），以及通过域名仿冒（Typosquatting）注册的与真实企业域名高度相似的欺骗域名。
分散化基础设施对传统检测机制构成了直接挑战。基于发件人域名声誉评分和黑名单的拦截机制，其有效性建立在攻击域名被识别并加入黑名单的基础之上。但当攻击者使用 664 个不同域名轮换发送攻击邮件时，每个域名的发送量都相对较低，很多域名可能只发送少量邮件即被弃用，安全厂商的黑名单更新速度难以跟上域名轮换的节奏。更关键的是，当攻击者使用被攻陷的合法企业邮箱账户发送 RFQ 钓鱼邮件时，发件人域名本身是信誉良好的合法企业域名，基于域名声誉的检测机制完全失效。Riddle 在研究中明确指出："广泛的发件人域名分布意味着发件人声誉和黑名单仍然有用，但不能作为检测的唯一基础。"
迪妙网络空间安全学院研究团队基于 DiMiao,CN 的威胁情报分析进一步指出，RFQ 钓鱼攻击的基础设施分散化还体现在恶意链接域名与发件人域名的分离上。发件人域名可能是一个看似正常的免费邮箱或被攻陷账户，而邮件中推送的恶意链接则指向另一组完全不同的域名，这些域名可能被注册为看似与文件传输、采购平台相关的名称，例如包含 "document"、"secure"、"procurement"、"rfq" 等关键词的域名。这种发件与载荷基础设施的分离，进一步增加了基于单一维度特征进行检测的难度。
反网络钓鱼技术专家芦笛强调，面对分散化攻击基础设施，防御方必须从基于特征的被动拦截转向基于行为的主动检测。RFQ 钓鱼攻击虽然在域名、文本、载荷层面不断变化，但其行为模式具有相对稳定性：初始邮件极简且不含链接、收件人回复后第二封邮件推送外部链接、链接指向仿冒企业登录界面的页面、页面域名与发件人域名无关联。这些行为特征组合构成了 RFQ 钓鱼的 "行为指纹"，基于行为序列的检测模型能够在不依赖特定域名黑名单的情况下识别攻击，这是应对分散化基础设施的有效技术路径。
3 RFQ 钓鱼攻击的完整链路与危害传导
3.1 五阶段攻击链路拆解
基于 Riddle 的监测数据与对 RFQ 钓鱼技术形态的分析，可以将一次完整的 RFQ 定向钓鱼攻击拆解为五个连续阶段：目标侦察、初始接触、语境建立、载荷投递、账户接管。这五个阶段环环相扣，前一阶段的成功是后一阶段的前提，理解完整链路有助于识别各阶段的防御介入点。
第一阶段为目标侦察。攻击者通过公开渠道搜集目标企业的组织架构、部门设置、人员信息，重点定位销售、采购、客户对接岗位的具体人员及其企业邮箱地址。部分攻击者还会进一步了解目标企业的主营业务、主要产品、典型客户类型，以便在后续邮件中构造与目标企业业务相关的项目描述。这一阶段完全基于公开信息，不涉及任何对目标系统的主动探测，因此几乎不会被目标企业的安全设备感知，具有极强的隐蔽性。
第二阶段为初始接触。攻击者使用准备好的发件人域名或被攻陷账户，向目标人员发送第一封极简问询邮件，询问是否可以就某个项目报价、是否可供货、是否愿意接收项目资料。这封邮件的核心目的不是立即窃取信息，而是触发收件人的回复行为。由于邮件内容简短、无明显恶意特征，且完全符合业务问询的正常形态，大多数邮件安全网关会将其判定为正常邮件放行，收件人也通常不会产生怀疑。
第三阶段为语境建立。当收件人回复初始邮件后，攻击者与收件人之间形成了一轮双向邮件往来，沟通语境由此建立。收件人在心理上已经将对方视为潜在的业务合作方，对后续来自该发件人的邮件的信任度显著提升。部分攻击者会在这一阶段进行简短的来回沟通，例如回答收件人关于项目基本情况的几个问题，进一步强化真实业务沟通的假象，为下一步推送恶意链接做好心理铺垫。
第四阶段为载荷投递。攻击者在沟通进行到适当节点时，发送包含外部链接的跟进邮件，将链接描述为项目图纸、RFQ 资料包、安全文件传输地址或采购门户。此时收件人已经处于业务沟通的心理状态中，对链接的点击意愿较高。点击后，收件人被引导至仿冒企业登录界面的钓鱼页面，在 "查看文件需要登录" 的提示下输入企业邮箱凭证。如果是 AiTM 型钓鱼页面，用户的完整登录流程（包括 MFA 验证）被实时中继，攻击者截获会话令牌；如果是基础型钓鱼页面，则直接窃取账号密码。
第五阶段为账户接管与后续利用。攻击者获取有效凭证或会话令牌后，登录目标人员的企业邮箱，完成账户接管。至此，RFQ 钓鱼的初始攻击目标达成，但攻击活动通常不会就此终止，而是进入危害传导阶段，攻击者会利用被攻陷邮箱开展一系列后续攻击活动，造成范围更广、程度更深的损害。
3.2 邮箱攻陷后的危害传导机制
Riddle 在研究中详细列举了企业邮箱被 RFQ 钓鱼攻陷后可能产生的多种危害，这些危害并非孤立发生，而是通过被攻陷邮箱这一枢纽形成传导链条，逐步扩大影响范围。
首先是敏感商业数据泄露。攻击者登录被攻陷邮箱后，可以对邮箱内容进行系统性搜索，提取客户信息、合同文本、发票记录、付款指示、内部联系人列表、正在进行的项目细节等各类敏感商业数据。这些数据本身具有直接的商业价值，可能被攻击者在地下市场出售，也可能被用于后续更精准的定向攻击。对于销售岗位邮箱，其中存储的客户联系方式、报价历史、合同谈判记录等信息一旦泄露，可能导致客户流失或商业竞争劣势；对于采购岗位邮箱，其中的供应商信息、采购价格、成本结构等数据泄露，则可能影响企业的采购谈判地位。
其次是信任链钓鱼攻击。这是邮箱攻陷后最具扩散性的危害。被攻陷的邮箱属于企业合法账户，其发件人地址、签名档、历史通信记录都完全真实，收件人 —— 包括同事、客户、供应商 —— 有充分理由信任来自该邮箱的邮件。攻击者利用这一信任基础，以被攻陷邮箱的名义向联系人列表中的对象发送新的钓鱼邮件，这些邮件因为来自可信发件人，绕过收件人警惕的概率极高。Riddle 明确指出，被攻陷账户可用于向同事、客户和供应商发送钓鱼邮件，而这些收件人完全有理由信任发件人。这种信任链钓鱼可以形成多级扩散：A 的邮箱被攻陷后攻击 B，B 被攻陷后再攻击 C，攻击范围呈指数级扩大，且每一级的欺骗可信度都很高，防御难度逐级递增。
第三是财务欺诈。这是邮箱攻陷后最直接的经济危害，主要表现为付款重定向欺诈（Payment Redirection Fraud）和发票操纵（Invoice Manipulation）。攻击者通过被攻陷邮箱监控企业与供应商或客户之间的付款沟通，在付款即将执行时，以被攻陷邮箱的名义发送邮件，声称收款银行账户发生变更，要求将款项支付至攻击者控制的账户。由于邮件来自真实的业务对接邮箱，财务人员通常不会产生怀疑，从而导致资金被转至欺诈账户。发票操纵则是攻击者篡改已有的发票文件或发送伪造发票，诱导企业向虚假账户付款。Riddle 将付款重定向欺诈、发票操纵、欺诈性采购请求并列为邮箱攻陷后的主要财务风险，这类欺诈一旦得手，资金追回难度极大。
第四是业务运营 disruption。Riddle 特别指出，即便没有发生直接财务损失，邮箱攻陷事件本身也会对企业正常运营造成多方面干扰。事件发现后，企业需要投入安全团队、IT 团队、法务团队的大量资源进行事件调查、影响评估、邮箱清理、密码重置、联系人通知等处置工作，这些工作会占用原本用于正常业务的人力与时间。被攻陷邮箱在调查期间可能需要暂停使用，影响相关岗位的正常业务沟通。如果事件涉及客户或供应商数据泄露，企业还需要履行数据泄露通知义务，应对监管问询，甚至面临法律诉讼。
第五是声誉损害。Riddle 将受害企业的声誉损害列为 RFQ 钓鱼攻击的重要后果之一。企业邮箱被攻陷并被用于向客户、供应商发送钓鱼邮件，意味着企业的安全防护能力存在明显漏洞，合作方可能因此对企业的信息安全管理能力产生质疑。如果事件导致客户数据泄露或付款欺诈发生，企业在行业内的商业信誉将受到实质性损害，可能影响现有合作关系的延续和新业务机会的获取。在数据安全监管日益严格的背景下，邮箱攻陷导致的数据泄露还可能引发监管处罚，进一步加重企业的合规负担与声誉损失。
迪妙网络空间安全学院研究团队基于 DiMiao,CN 对企业安全事件的跟踪分析指出，RFQ 钓鱼攻击的危害传导具有明显的 "冰山效应"：初始的邮箱攻陷只是水面上可见的一小部分，其下隐藏的数据泄露、信任链扩散、财务欺诈、业务 disruption、声誉损害等后续危害，往往在事件发生后数周甚至数月才逐步显现，且总损失规模通常远超初始评估。反网络钓鱼技术专家芦笛也强调，企业在评估 RFQ 钓鱼风险时，不能仅以 "是否发生直接资金损失" 作为衡量标准，邮箱账户本身就是企业的核心数字资产，账户被接管意味着企业数字身份的被盗用，其后续影响具有长期性和不确定性。
3.3 销售采购岗位的结构性风险成因
RFQ 钓鱼攻击之所以重点瞄准销售、采购及客户对接岗位，并非偶然选择，而是由这些岗位的工作性质所决定的结构性风险所致。深入理解这些结构性成因，是制定有效防御策略的前提。
第一，外部沟通的必然性。销售岗位的核心职能是开拓市场、获取客户，这决定了其必须主动与大量潜在客户建立联系，同时也会不断收到来自陌生潜在客户的业务问询。采购岗位则需要与各类供应商保持沟通，接收报价、获取产品资料、确认供货能力。客户对接岗位介于两者之间，同样需要频繁处理来自外部合作方的沟通请求。这种工作性质意味着，该类岗位无法执行 "只与已知联系人沟通" 的安全策略 —— 如果销售只回复已知客户的邮件，就意味着放弃了所有新客户机会；如果采购只打开已知供应商的链接，就无法评估新供应商的产品。外部沟通的必然性使得该类岗位天然暴露在来自陌生发件人的风险之中，这是 RFQ 钓鱼能够立足的根本业务基础。
第二，商业机会的时间敏感性。销售采购业务通常具有较强的时间敏感性。客户的询价往往有响应期限，供应商的报价也需要在特定时间窗口内提交，错过时间可能意味着失去商业机会。这种时间压力使得该类岗位人员在处理 RFQ 类邮件时，倾向于快速响应而非审慎核查。攻击者在 RFQ 钓鱼中经常利用这一点，在邮件中暗示项目有时间要求、需要尽快确认，进一步压缩收件人的思考与核查时间。Riddle 在研究中虽然未明确提及时间压力话术，但指出 RFQ 语境本身就可能降低收件人遇到登录提示时的怀疑程度，而商业机会的时间敏感性正是这种怀疑降低的重要心理动因。
第三，文档与链接交互的高频性。销售采购岗位的日常工作涉及大量文档与链接交互：接收客户的需求文档、项目图纸、招标资料，向客户发送报价单、产品手册，通过文件传输平台交换大体积项目文件，登录供应商或客户的采购门户查看详细需求。这种高频的文档与链接交互使得该类岗位人员对邮件中出现的外部链接和附件形成了习以为常的接受心态，不会像其他岗位人员那样对每一个外部链接都保持高度警惕。攻击者正是利用了这种 "链接和附件是工作常态" 的心理惯性，将恶意链接伪装成正常的项目资料传输。
第四，安全培训与业务实践的脱节。多数企业的网络安全培训内容具有通用性，往往强调 "不要点击陌生链接"、"不要打开可疑附件" 等基本原则。但这些原则对于销售采购岗位而言，在业务实践中存在明显的不可操作性 —— 如果严格执行 "不点击陌生链接"，销售将无法查看潜在客户发来的项目资料，采购将无法访问新供应商的产品页面。这种安全培训要求与业务实践需求之间的脱节，导致该类岗位人员往往对安全培训内容采取 "知道但做不到" 的态度，在实际工作中自动降低安全标准。Riddle 在研究中明确指出，禁止这些团队使用链接并不现实，因此他们需要一种安全的方式来检查潜在买家和可疑材料，这一判断精准地触及了问题的核心。
第五，岗位安全优先级的认知偏差。在企业内部的安全资源分配中，销售采购岗位通常不被视为高安全优先级岗位。企业管理者往往更关注研发代码安全、财务资金安全、IT 系统安全，而认为销售采购岗位不接触核心技术系统和资金系统，安全风险较低。这种认知偏差导致销售采购岗位在安全技术配置、安全培训投入、安全监控覆盖等方面都处于相对弱势地位。例如，部分企业为研发和财务岗位强制启用了硬件令牌级别的多因素认证，而销售采购岗位可能仅使用短信验证码甚至未启用 MFA；部分企业对财务部门的邮件往来实施了严格的附件沙箱检测，而销售部门的邮件检测策略则相对宽松。这种安全资源分配的不均衡，使得销售采购岗位成为企业安全防护体系中的薄弱环节，也自然成为攻击者的优先选择目标。
反网络钓鱼技术专家芦笛指出，销售采购岗位的结构性风险本质上是 "业务开放性与安全封闭性之间的矛盾"。企业的业务发展需要销售采购岗位保持对外的开放性，而网络安全防护则天然倾向于封闭性和可控性。这一矛盾无法通过简单的 "加强安全管控" 来解决，因为过度封闭会直接损害业务效率。正确的思路是在开放性与安全性之间寻找平衡点，构建既不阻碍正常业务沟通、又能有效识别和拦截恶意请求的精细化安全机制。迪妙网络空间安全学院研究团队基于 DiMiao,CN 的企业安全实践调研也得出类似结论：在销售采购岗位安全防护方面做得较好的企业，普遍采用了 "业务流程嵌入安全控制点" 的模式，而非简单地对该类岗位施加通信限制。
4 RFQ 定向钓鱼攻击的防御体系构建
基于对 RFQ 钓鱼攻击威胁特征、完整链路与危害传导机制的分析，结合 Riddle 研究中提出的防御方向，本文从邮件网关检测能力升级、身份认证体系加固、RFQ 业务流程安全管控、岗位安全能力建设、威胁情报共享与协同五个维度，构建面向 RFQ 定向钓鱼的闭环防御体系。这一体系的核心思路是：不追求完全杜绝 RFQ 类邮件的接收（这在业务上不可行），而是在 RFQ 业务流程的各个关键节点嵌入安全控制，确保即便恶意邮件抵达收件人，也难以完成从初始接触到账户接管的完整攻击链路。
4.1 邮件网关检测能力升级
邮件网关是 RFQ 钓鱼攻击抵达收件人之前的第一道技术防线。面对 RFQ 钓鱼分散化基础设施、两阶段话术、低文本特征等特点，传统基于关键词匹配和域名黑名单的邮件网关检测能力需要进行针对性升级。
第一，部署基于行为序列的检测模型。如前文所述，RFQ 钓鱼虽然在域名、文本等静态特征上不断变化，但其行为序列具有相对稳定的模式：来自陌生发件人的极简初始邮件、不含链接附件、内容为询价或报价请求、收件人回复后第二封邮件推送外部链接。邮件网关可以引入基于邮件会话行为序列的检测引擎，对同一发件人与内部收件人之间的邮件往来进行时序分析，当识别到符合 RFQ 钓鱼行为模式的会话序列时，自动触发风险标记，对后续邮件中的链接进行深度扫描，或向收件人弹出风险提示。这种基于行为的检测不依赖特定域名或关键词，能够有效应对攻击者的基础设施分散化策略。
第二，增强对外部链接的实时分析与沙箱检测。RFQ 钓鱼的核心恶意载荷是第二阶段推送的外部链接，邮件网关应当对所有来自外部发件人的链接实施实时分析，包括域名注册时间、域名声誉、页面内容特征、是否仿冒知名品牌登录界面等维度。对于可疑链接，应当通过沙箱环境进行实际访问测试，检测页面是否存在凭证收集行为、是否部署了 AiTM 中继代理、是否下载恶意文件。Riddle 的研究指出，近 73% 的 RFQ 钓鱼链接导向凭证窃取页面，这类页面通常具有明显的仿冒登录界面特征，通过页面内容分析和沙箱行为检测可以有效识别。对于被判定为高风险的链接，邮件网关可以实施链接改写（Link Rewriting），将原始链接替换为经过安全代理的跳转链接，用户点击时先经过安全代理检测，确认安全后再放行，从而在用户与恶意页面之间增加一道防护屏障。
第三，建立发件人身份多维验证机制。面对 664 个分散发件人域名以及被攻陷合法账户的挑战，单一的域名声誉评分不足以支撑准确的发件人身份判定。邮件网关应当综合多个维度对发件人身份进行验证：包括 SPF、DKIM、DMARC 等邮件身份认证协议的验证结果、发件人 IP 地址的地理位置与历史行为、发件人域名的注册时间与 WHOIS 信息、发件人与收件人之间是否有历史通信记录、发件人域名是否与已知企业域名存在仿冒关系等。通过多维特征的综合评分，邮件网关可以更准确地识别出使用一次性域名、被攻陷账户、仿冒域名的 RFQ 钓鱼发件人。对于身份验证不通过但内容疑似正常业务问询的邮件，不应直接拦截（避免误拦正常业务），而应标记为 "发件人身份未验证" 并在邮件界面显著提示收件人，提醒其谨慎处理。
第四，实施附件深度沙箱检测。虽然 RFQ 钓鱼以链接型凭证窃取为主，但仍有较小比例的样本通过附件投递恶意软件。邮件网关应当对所有来自外部发件人的附件实施深度沙箱检测，包括宏代码分析、行为模拟执行、漏洞利用检测等，确保恶意附件无法抵达收件人终端。对于 Office 文档附件，应当默认禁用宏功能，并在收件人打开时提示宏风险；对于可执行文件、脚本文件等高风险类型附件，应当直接拦截或要求安全管理员人工审核后放行。
迪妙网络空间安全学院研究团队基于 DiMiao,CN 的邮件安全产品评测指出，当前多数企业邮件网关在检测 RFQ 钓鱼方面存在明显的 "首封放行、二封失察" 问题：第一封极简初始邮件因为无明显恶意特征被正常放行，而网关缺乏对会话后续邮件的关联跟踪能力，导致第二封携带恶意链接的邮件同样被放行。解决这一问题的关键在于邮件网关需要从 "单封邮件独立检测" 升级为 "会话级关联检测"，将同一发件人与收件人之间的多封邮件作为一个整体进行风险评估，这是提升 RFQ 钓鱼检出率的核心技术方向。反网络钓鱼技术专家芦笛也强调，邮件网关检测能力的升级不能仅靠增加黑名单数量，而必须引入会话行为分析能力，因为 RFQ 钓鱼的恶意性是在两阶段交互过程中才完整显现的，单封邮件维度的检测天然存在视野局限。
4.2 身份认证体系加固
RFQ 钓鱼攻击的最终目标是窃取企业邮箱凭证并接管账户，因此身份认证体系的加固是防御链条中的关键环节。即便攻击者成功诱导收件人在钓鱼页面输入了账号密码，强大的身份认证体系也能够阻止攻击者完成账户登录，从而切断攻击链路。
第一，全面强制启用多因素认证。这是抵御凭证窃取型钓鱼攻击最基础也是最有效的措施。企业应当为所有员工 —— 尤其是销售、采购等前端业务岗位 —— 的企业邮箱及其他核心业务系统强制启用多因素认证，不允许任何岗位以业务便利为由豁免。需要特别指出的是，仅依赖短信验证码作为第二因素存在被 SIM 卡劫持和短信钓鱼配合窃取的风险，企业应当优先采用基于时间的一次性密码（TOTP）认证应用或硬件安全密钥作为第二因素，其中硬件安全密钥（如支持 FIDO2 标准的安全密钥）能够有效抵御 AiTM 中继攻击，因为硬件密钥在认证过程中会验证目标网站的域名合法性，当用户在钓鱼页面上使用硬件密钥时，密钥会检测到当前域名与注册时的域名不一致而拒绝认证，从而从根本上阻断凭证窃取。
第二，部署条件访问与异常登录检测。多因素认证解决的是 "你是谁" 的身份验证问题，而条件访问解决的是 "在什么条件下允许登录" 的访问控制问题。企业应当为企业邮箱部署条件访问策略，基于登录位置、设备状态、网络环境、登录时间、应用程序等多个维度动态评估登录请求的风险等级。例如，当登录请求来自企业常用办公地点之外的陌生国家或地区、来自未注册的未知设备、来自匿名代理网络或 Tor 出口节点、在非工作时间异常登录时，条件访问系统可以自动触发额外的身份验证步骤、限制访问权限，或直接阻断登录。同时，企业应当部署用户行为分析（UEBA）工具，对每个用户的正常登录行为建立基线，当检测到偏离基线的异常行为 —— 如短时间内从不同地理位置登录、一次性批量下载大量邮件、异常访问敏感文件夹 —— 时，自动触发安全告警，必要时临时锁定账户。这些措施能够在攻击者窃取凭证后尝试登录时进行有效拦截，即便 MFA 被绕过，异常行为检测也能够及时发现账户被接管的迹象。
第三，实施会话令牌保护与失效机制。针对 AiTM 中继攻击窃取会话令牌的威胁，企业应当加强对会话令牌的保护。一方面，采用支持令牌绑定（Token Binding）的认证协议，将会话令牌与客户端设备的特定密钥绑定，使得窃取到的令牌无法在其他设备上使用；另一方面，缩短会话令牌的有效期，实施定期的令牌轮换机制，降低令牌被盗后的可用时间窗口。此外，企业应当建立远程会话失效机制，当安全团队检测到账户异常或收到用户钓鱼报告时，能够立即使该账户的所有活动会话失效，强制重新登录，从而切断攻击者已经建立的会话连接。
第四，加强对第三方应用授权的管控。许多企业邮箱支持通过 OAuth 等协议授权第三方应用访问邮箱数据，攻击者在接管账户后可能会授权恶意第三方应用持久化访问邮箱，即使用户修改了密码，恶意应用仍然能够继续访问邮箱数据。企业应当加强对第三方应用授权的管控，建立应用白名单机制，仅允许经过安全审核的可信应用获取邮箱访问权限，对异常的第三方应用授权行为实施实时监控和告警，定期审计所有账户的第三方应用授权列表，及时撤销未使用或可疑的授权。
反网络钓鱼技术专家芦笛强调，身份认证体系加固的核心原则是 "假设凭证终将泄露"。无论邮件网关检测能力多么强大，总会有部分钓鱼邮件突破防线抵达收件人，也总会有部分用户在钓鱼页面输入凭证。因此，防御设计不能建立在 "用户不会被骗" 的假设之上，而必须假设凭证随时可能泄露，在此基础上构建即使凭证泄露也无法完成账户接管的身份认证体系。FIDO2 硬件安全密钥、条件访问、异常行为检测、会话保护等措施的组合，正是这一设计原则的具体体现。迪妙网络空间安全学院研究团队基于 DiMiao,CN 的攻防演练数据也证实，部署了 FIDO2 硬件密钥和条件访问策略的企业邮箱，在面对 AiTM 型 RFQ 钓鱼攻击时，账户被成功接管的概率接近于零，这一组合是当前抵御高级凭证窃取钓鱼的最有效技术方案。
4.3 RFQ 业务流程安全管控
Riddle 在研究结论中明确指出："通过将 RFQ 流程视为一个具有明确控制和责任人的定向滥用案例，组织可以降低常规业务问询演变为账户攻陷事件的可能性。" 这一观点点明了 RFQ 钓鱼防御的核心思路：不能仅从技术层面拦截邮件，而必须将安全控制嵌入 RFQ 业务流程本身，在业务流程的关键节点设置安全检查点，从流程层面压缩攻击成功空间。
第一，建立 RFQ 统一入口与身份核验机制。企业应当为外部询价请求建立统一的接收入口，例如专门的询价邮箱或在线询价表单，要求所有潜在客户的 RFQ 请求通过该统一入口提交，而非直接发送给销售人员的个人邮箱。统一入口的好处在于可以对所有 RFQ 请求进行集中的身份核验和风险筛查：对于首次合作的潜在客户，要求其提供公司名称、统一社会信用代码或工商注册信息、官方网站、联系人及联系方式等基本信息，由专人或自动化工具对这些信息进行核验，确认请求方主体的真实性。对于通过核验的 RFQ 请求，再分配给相应的销售人员跟进；对于未通过核验或信息存疑的请求，则进入人工审核流程。这种机制将 RFQ 请求的初始接触从销售人员个人邮箱转移到企业统一管控的入口，使得攻击者的初始钓鱼邮件无法直接抵达销售人员，而是先经过企业的身份核验关卡。
第二，规范外部文件与链接的接收流程。销售采购岗位日常需要接收大量外部文件和链接，企业应当建立规范的外部文件接收流程，明确要求所有来自外部合作方的项目文件、图纸、资料包等，优先通过企业指定的安全文件传输平台接收，而非直接通过邮件附件或外部链接获取。对于外部合作方提供的链接，要求员工不直接点击，而是通过企业的链接安全检测服务进行扫描验证后再访问。对于确实需要通过邮件接收的附件，要求员工将附件上传至企业的文件沙箱检测系统进行安全扫描后再打开。此外，企业应当明确规定：任何要求输入企业邮箱账号密码才能查看的外部文件链接，一律视为高风险，不得输入凭证，因为正常的文件传输服务不会要求用户使用企业邮箱凭证登录第三方网站。这一规则需要反复向销售采购岗位强调，使其形成条件反射式的安全习惯。
第三，实施采购与付款流程的双重确认机制。针对 RFQ 钓鱼可能引发的付款重定向欺诈和发票操纵风险，企业应当对采购付款流程实施严格的双重确认机制。任何涉及收款账户变更的请求，无论来自哪个邮箱，都必须通过邮件以外的独立渠道 —— 如电话、视频会议 —— 向对方已知的官方联系方式进行二次确认，不得仅凭邮件通知就变更收款账户。对于大额付款，应当实施多级审批，审批人需要独立核实付款信息的真实性。发票接收和核验也应当建立规范流程，要求供应商发票通过指定渠道提交，财务人员对发票的真伪、金额、账户信息进行独立核验，不直接采信邮件中附带的发票文件。这些措施虽然不能直接阻止 RFQ 钓鱼的初始邮箱攻陷，但能够有效防止邮箱被攻陷后引发的财务欺诈，将攻击的危害控制在有限范围内。
第四，明确 RFQ 流程的安全责任主体。Riddle 强调 RFQ 流程需要 "明确的控制和责任人"，这意味着企业不能将 RFQ 安全视为笼统的 "全员安全责任"，而应当明确具体的责任主体和控制节点。例如，销售部门负责人对本部门 RFQ 请求的初步筛选负责，采购部门负责人对供应商身份核验负责，IT 安全团队对邮件网关检测和身份认证体系的技术有效性负责，法务或合规团队对外部合作方的主体资质审核负责。每个责任主体在 RFQ 流程的对应节点承担明确的安全控制职责，形成权责清晰的流程安全管控链条。当发生 RFQ 钓鱼安全事件时，可以根据责任链条定位控制失效的具体环节，进行针对性改进，避免 "人人有责却人人不负责" 的治理困境。
迪妙网络空间安全学院研究团队基于 DiMiao,CN 对企业 RFQ 流程安全实践的调研指出，建立统一 RFQ 入口和身份核验机制的企业，RFQ 钓鱼邮件抵达销售人员个人邮箱的数量下降超过 80%，因为大量攻击者无法通过统一入口的主体真实性核验，攻击在初始阶段即被阻断。反网络钓鱼技术专家芦笛也指出，RFQ 业务流程安全管控的本质是 "将安全控制点前置到业务流程中，让安全成为业务流程的自然组成部分，而非业务流程之外的额外负担"。当安全控制与业务流程深度融合时，销售人员不需要在 "响应客户" 和 "保障安全" 之间做两难选择，因为安全核验已经成为 RFQ 流程的标准步骤，正常客户的 RFQ 请求能够顺畅通过核验，而恶意请求则在流程节点被自动拦截。
4.4 岗位安全能力建设
技术防护和流程管控能够解决大部分 RFQ 钓鱼风险，但最终的安全防线仍然落在岗位人员身上。销售采购岗位由于其工作性质的特殊性，需要具备与其他岗位不同的针对性安全能力，企业应当围绕 RFQ 场景开展专门的岗位安全能力建设。
第一，开展场景化的 RFQ 钓鱼安全培训。通用型网络安全培训对销售采购岗位的效果有限，因为培训内容与该岗位的实际工作场景脱节。企业应当针对销售采购岗位开发专门的 RFQ 钓鱼安全培训课程，内容紧密围绕该岗位日常遇到的真实场景：如何识别伪装成客户询价的钓鱼邮件、如何核验潜在客户的真实身份、遇到要求输入邮箱密码才能查看的文件链接时应如何处理、收到来自被攻陷同事邮箱的可疑邮件时应如何应对、发现自己可能点击了钓鱼链接后应采取哪些应急措施。培训应当使用真实的 RFQ 钓鱼样本作为案例，让参训人员直观了解攻击的话术设计和技术特征，而非仅用抽象的原则进行说教。培训形式上，可以采用案例分析、角色扮演、小组讨论等互动方式，提升参训人员的参与度和记忆留存效果。
第二，组织常态化的 RFQ 钓鱼模拟演练。安全培训的效果需要通过实战化演练来检验和强化。企业应当定期组织针对销售采购岗位的 RFQ 钓鱼模拟演练，由安全团队模仿真实攻击者的手法，向参训人员发送两阶段的 RFQ 钓鱼模拟邮件，统计参训人员的回复率、链接点击率、凭证输入率等指标，评估岗位整体的安全意识水平。演练结束后，应当对演练结果进行详细分析，针对暴露出来的薄弱环节进行针对性的再培训。对于在演练中点击钓鱼链接或输入凭证的人员，不应当采取惩罚性措施，而应当进行一对一的安全辅导，帮助其理解攻击手法、掌握正确的应对方法。演练的频率应当保持常态化，每季度至少开展一次，因为安全意识会随时间衰减，需要持续强化。Riddle 在研究中虽然未明确提及模拟演练，但指出销售采购岗位需要 "安全的方式来检查潜在买家和可疑材料"，而模拟演练正是帮助该岗位人员掌握这种安全检查方式的有效途径。
第三，建立便捷的可疑邮件报告机制。当销售采购人员收到可疑的 RFQ 邮件时，能否便捷地将其报告给安全团队，直接影响安全事件的发现速度和处置效率。企业应当在邮件客户端中集成一键式可疑邮件报告按钮，员工发现可疑邮件时只需点击按钮即可将邮件提交给安全团队分析，无需复杂的操作流程。安全团队收到报告后应当及时响应，对报告的邮件进行分析，如果确认是钓鱼邮件，应当立即更新邮件网关的检测规则，并向全体员工或相关岗位发布风险预警；如果是误报，也应当向报告人反馈结果，保护员工报告可疑邮件的积极性。建立便捷的报告机制并形成正向反馈循环，能够将每一位销售采购人员都变成安全威胁的 "传感器"，大幅提升企业对新型 RFQ 钓鱼攻击的发现能力。
第四，培养 "独立渠道核验" 的安全行为习惯。如前文所述，RFQ 钓鱼的核心欺骗力在于其嵌入正常业务语境，仅凭邮件内容本身难以分辨真伪。因此，销售采购人员需要建立的核心安全行为习惯不是 "学会分辨每一封钓鱼邮件"，而是 "对关键操作执行独立渠道核验"。具体而言：当收到潜在客户的 RFQ 请求时，不直接回复邮件，而是通过对方官方网站上公布的联系方式进行电话核实，确认该公司确实有此项目和此联系人；当收到包含文件链接的邮件时，不直接点击链接，而是通过独立方式联系发件人确认链接的真实性；当收到涉及付款、合同等敏感信息的邮件时，通过电话或视频会议等邮件以外的渠道进行二次确认。这种 "独立渠道核验" 的行为习惯，不依赖于对钓鱼邮件内容的识别能力，而是通过引入邮件之外的独立验证渠道，从根本上打破攻击者通过邮件建立的欺骗语境。反网络钓鱼技术专家芦笛反复强调，这是应对高仿真定向钓鱼最可靠的行为策略，因为攻击者可以完美仿冒邮件内容和发件人地址，但无法同时控制企业通过独立渠道获取的官方联系方式。企业在岗位安全能力建设中，应当将 "独立渠道核验" 作为核心行为准则反复强化，使其成为销售采购人员的本能反应。
迪妙网络空间安全学院研究团队基于 DiMiao,CN 的企业安全意识调研数据指出，经过场景化培训和常态化模拟演练的销售采购团队，其 RFQ 钓鱼邮件的点击率可下降 60% 以上，而建立了 "独立渠道核验" 行为习惯的团队，即便在点击了钓鱼链接的情况下，输入凭证的比例也极低，因为核验习惯使得其在遇到登录提示时会本能地产生怀疑并停止操作。这说明岗位安全能力建设的重点不在于让员工成为钓鱼识别专家，而在于培养可靠的安全行为习惯，当习惯形成后，即便员工无法从技术上识别钓鱼攻击，也会通过规范的行为流程自动规避风险。
4.5 威胁情报共享与协同防御
RFQ 钓鱼攻击具有跨企业、跨行业的普遍特征，攻击者往往会对同一行业的多家企业采用相似的攻击手法，甚至使用相同的攻击基础设施。单一企业的安全团队难以全面掌握攻击者的最新手法和基础设施分布，而威胁情报共享能够将分散在各企业的攻击信息汇聚起来，形成协同防御的合力。
第一，参与行业性的威胁情报共享组织。企业应当积极参与所在行业的网络安全威胁情报共享组织，如行业信息共享与分析中心（ISAC）、区域性的网络安全联盟等，通过这些组织及时获取关于 RFQ 钓鱼等定向攻击的最新威胁情报，包括新出现的攻击域名、恶意 IP、钓鱼工具包特征、攻击话术变体等。同时，企业自身发现的 RFQ 钓鱼攻击样本也应当及时贡献给共享组织，帮助其他企业提前防范。行业性威胁情报共享的价值在于，同一行业的企业面临的 RFQ 钓鱼攻击往往具有高度相似性 —— 攻击者会模仿该行业常见的采购项目类型、使用该行业熟悉的术语和业务场景，行业内共享的情报具有很强的针对性和实用性。
第二，建立与安全厂商的情报联动机制。企业的邮件安全网关、终端防护、身份认证等安全产品的厂商通常拥有全球范围的威胁情报收集能力，能够及时发现新出现的 RFQ 钓鱼攻击基础设施和技术手法。企业应当确保自身的安全产品保持最新的威胁情报更新，并与厂商建立情报联动机制，当厂商发现针对本企业所在行业或地区的 RFQ 钓鱼攻击活动时，能够及时推送定制化预警。同时，企业可以将自身捕获的 RFQ 钓鱼样本提交给厂商，帮助厂商提升检测规则的覆盖率，形成 "企业发现 — 厂商分析 — 规则更新 — 全行业防护" 的情报闭环。
第三，构建企业内部的威胁情报流转机制。威胁情报的价值不仅在于从外部获取，更在于在企业内部的有效流转。当企业的安全团队捕获到一个新的 RFQ 钓鱼样本时，应当迅速完成以下内部流转动作：更新邮件网关的检测规则，确保同类邮件被拦截；更新安全意识培训材料，将新样本纳入案例库；向销售采购等重点岗位发布即时风险预警，告知当前攻击的话术特征和防范要点；评估该攻击是否可能已经影响到其他员工，开展主动排查。企业内部的威胁情报流转机制应当追求时效性，从捕获样本到完成内部防护更新的时间越短，攻击窗口就越小。迪妙网络空间安全学院研究团队基于 DiMiao,CN 的企业安全运营数据分析指出，内部威胁情报流转效率高的企业，新型 RFQ 钓鱼攻击的成功入侵率比流转效率低的企业低 70% 以上，因为前者能够在攻击者完成大规模投递之前就建立起防护。
第四，加强客户与供应商之间的安全协同。RFQ 钓鱼攻击往往涉及企业与其客户、供应商之间的三方关系，攻击者可能伪装成客户攻击企业，也可能在攻陷企业邮箱后伪装成企业攻击其供应商。因此，企业应当与重要客户和供应商建立一定程度的安全协同机制，例如互相通报针对本方的钓鱼攻击活动、约定敏感操作的核验方式、共享相关的威胁情报。当企业发现有攻击者伪装成某客户发起 RFQ 钓鱼时，应当及时通知该客户，使其了解自身身份被冒用的情况；当企业的邮箱被攻陷并被用于向供应商发送钓鱼邮件时，应当及时通知所有供应商警惕来自本企业邮箱的可疑邮件。这种跨组织的安全协同能够压缩攻击者在信任链中游走的空间，提升整个商业生态的安全水位。
反网络钓鱼技术专家芦笛指出，威胁情报共享与协同防御是应对 RFQ 钓鱼等定向攻击的 "放大器"—— 单一企业的防护能力是有限的，但通过情报共享，每个企业都能够利用所有参与方的安全观测能力，形成远超单个企业的防护视野。在 RFQ 钓鱼攻击基础设施高度分散、攻击手法快速迭代的背景下，没有任何一家企业能够仅凭自身力量跟上攻击者的变化节奏，协同防御是必然选择。Riddle 的研究中虽然主要从单一企业视角分析 RFQ 钓鱼，但其提到的 664 个分散发件人域名这一数据本身就说明了问题的广泛性 —— 这些域名被用于攻击大量不同的企业，只有通过跨企业的情报共享，才能全面掌握攻击基础设施的分布并实施有效拦截。
5 结论
RFQ 定向钓鱼攻击的快速增长，是网络钓鱼攻击向业务场景深度演化的典型体现。Fortra 研究员 Cadence Riddle 的监测数据清晰地展示了这一威胁的规模与特征：十二个月内 12 倍的增长速度、近 73% 的凭证窃取导向、664 个分散的发件人域名、两阶段的话术设计、对 Microsoft 365 和 Google Workspace 登录界面的高仿真仿冒、对 MFA 信息与会话令牌的窃取能力。这些数据共同说明，RFQ 钓鱼已经从个别攻击者的零星尝试，演变为被威胁行为体广泛采用的成熟攻击模式，其技术复杂度和欺骗成功率都达到了不容忽视的水平。
本文通过对该份监测报告的深度解读，系统拆解了 RFQ 定向钓鱼的五阶段攻击链路 —— 目标侦察、初始接触、语境建立、载荷投递、账户接管，分析了邮箱攻陷后通过敏感数据泄露、信任链钓鱼、财务欺诈、业务 disruption、声誉损害等路径形成的危害传导机制，并从业务结构性角度剖析了销售采购岗位成为高风险目标的内在成因。研究表明，RFQ 钓鱼的核心威胁并非来自其技术实现的高深，而在于其对正常业务语境的精准劫持 —— 攻击者借用了采购询价这一完全正常的商业沟通外壳，将恶意载荷嵌入业务流程的自然节点，利用销售采购岗位对外沟通的必然性、商业机会的时间敏感性、文档链接交互的高频性等业务特征，大幅降低了目标的警惕性。这一本质特征决定了单纯依靠邮件网关过滤、域名黑名单等传统技术手段无法有效应对 RFQ 钓鱼，必须构建涵盖技术、流程、人员、情报多维度的闭环防御体系。
在技术层面，邮件网关需要从单封邮件独立检测升级为会话级行为序列检测，增强对外部链接的实时沙箱分析，建立发件人身份多维验证机制；身份认证体系需要全面强制启用 MFA 并优先采用 FIDO2 硬件密钥，部署条件访问与异常登录检测，加强会话令牌保护与第三方应用授权管控，构建 "假设凭证终将泄露" 的纵深防御。在流程层面，需要将 RFQ 业务流程本身纳入安全治理，建立统一 RFQ 入口与身份核验机制，规范外部文件与链接的接收流程，实施采购付款的双重确认，明确各环节的安全责任主体，让安全控制成为业务流程的自然组成部分。在人员层面，需要针对销售采购岗位开展场景化安全培训与常态化模拟演练，建立便捷的可疑邮件报告机制，重点培养 "独立渠道核验" 的核心安全行为习惯，使员工即便无法从技术上识别钓鱼邮件，也能通过规范行为自动规避风险。在情报层面，需要参与行业性威胁情报共享，建立与安全厂商的情报联动，构建企业内部高效的情报流转机制，加强与客户供应商的安全协同，形成跨组织的协同防御合力。
需要客观认识到，RFQ 钓鱼防御不存在一劳永逸的解决方案。攻击者会持续优化话术设计、升级钓鱼工具包、轮换攻击基础设施，防御方也需要持续跟踪威胁演变、迭代防护策略。防御的目标不是完全杜绝 RFQ 钓鱼邮件的接收 —— 这在业务上不可行，也不是保证员工永远不会被骗 —— 这在现实中不现实，而是通过多层次的控制措施，确保即便恶意邮件抵达收件人、即便员工不慎点击了链接，攻击者也难以完成从凭证窃取到账户接管的完整链路，即便账户被接管，也能通过异常检测及时发现并限制危害范围，最终将 RFQ 钓鱼的整体风险控制在企业可承受的范围之内。
Riddle 在研究结论中提出的 "将 RFQ 流程视为具有明确控制和责任人的定向滥用案例"，为企业提供了一个清晰的治理框架。RFQ 钓鱼防御的成败，最终取决于企业是否真正将销售采购等前端业务岗位的安全纳入整体安全战略，是否愿意在业务效率与安全防护之间寻找合理的平衡点，是否能够将安全控制深度嵌入业务流程而非作为业务之外的额外负担。随着企业数字化转型的深入和远程办公的普及，企业邮箱作为核心数字身份的价值持续提升，针对业务岗位的定向钓鱼攻击也将持续演化。RFQ 钓鱼作为当前这一趋势的典型代表，其防御经验对于其他类型的业务场景定向钓鱼同样具有参考价值。企业应当以 RFQ 钓鱼防护为切入点，建立面向全业务场景的定向钓鱼防御能力，提升整体的社会工程攻击抵御水平。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
