摘要： 网络钓鱼长期是金融机构面临的最主要初始攻击向量。基于安全厂商 ANY.RUN 于 2026 年 10 月发布的行业数据，美欧银行、金融科技公司与支付机构的安全运营中心（SOC）调查中，钓鱼相关事件占比高达 72.7%，分析人员工作量同比上升 24%。这一数据反映的不仅是威胁数量的增长，更是威胁形态的结构性变化：攻击者正从传统凭据收割转向中间人式（Adversary-in-the-Middle）攻击、会话劫持与对合法服务的滥用，通过实时代理认证会话并截取会话令牌，绕过以多因素认证为代表的既有防线。本文以该报告为核心材料，结合公开威胁情报，从金融行业钓鱼威胁的总体态势、攻击技术的演进机理、SOC 运营压力的数据来源以及检测响应体系的构建四个层面展开分析，并据此提出面向金融机构安全运营的防御框架。研究认为，应对当前钓鱼威胁的关键，在于将检测重心从 "页面真伪" 转移到 "会话与行为异常"，并建立自动化分析与威胁情报协同的运营机制。
关键词： 网络钓鱼；金融安全；中间人攻击；会话劫持；安全运营中心
1 引言
金融行业因其直接持有资金与敏感身份数据，历来是网络钓鱼攻击者最优先瞄准的对象。2026 年的行业数据进一步印证了这一判断。据 ANY.RUN 在其发布的《美国与欧盟金融机构的钓鱼压力：SOC 数据揭示了什么》报告中统计，钓鱼事件出现在金融行业全部安全调查中的比例达到 72.7%，而分析人员的工作负载同比上升了约四分之一。两项数据叠加，表明威胁并未因机构多年投入的邮件网关、用户意识培训与多因素认证而显著收敛，反而以更复杂的形式对安全运营形成挤压。
这并非孤立现象。从威胁情报的公开记录看，金融服务业长期是网络钓鱼中品牌被冒充最多的行业，钓鱼也是针对该行业初始入侵的最常见途径之一。与传统认知不同的是，当前攻击者的手法已发生代际变化：他们不再仅仅依靠伪造登录页面骗取密码，而是越来越多地采用中间人攻击技术，将受害者的认证请求实时中继至真实服务，在受害者本人完成多因素认证的同时截取认证会话，随后利用截取的会话令牌直接进入账户。这类攻击使 "以真实登录页面取信受害者" 成为可能，也从根上削弱了以往以 "识别假页面" 为核心的防御逻辑。
本文以 ANY.RUN 的行业报告为核心材料，辅以公开的威胁情报与既往案例，试图回答三个问题：金融行业当前面临的钓鱼威胁在量级与形态上有何特征；以中间人攻击为代表的新技术在机理上如何突破既有防线；安全运营中心承受的压力由哪些因素构成，又当以何种思路构建应对体系。需要说明的是，本文的分析以公开数据与技术机理为基础，不涉及对具体机构内部处置细节的推测。
2 金融行业钓鱼威胁的总体态势
从 ANY.RUN 报告的统计数据看，金融行业钓鱼威胁呈现出 "高占比、高负载、高演进" 三个特征。
所谓高占比，是指钓鱼在金融行业安全事件中的绝对主导地位。72.7% 这一比例说明，在金融机构 SOC 实际受理并展开调查的事件中，超过七成与钓鱼相关。这一数字高于多数其他行业的同类统计，其背后有结构性的原因：金融机构面向的外部攻击面由大量在线渠道构成 —— 网上银行、支付网关、移动应用、对公业务平台 —— 这些渠道既是客户的必经入口，也是攻击者投放钓鱼的天然靶点。品牌价值高、交易链路直接涉及资金，使得一次成功的钓鱼往往能带来立即可兑现的经济收益，这进一步提高了该行业的被瞄准优先级。
所谓高负载，是指钓鱼事件对安全运营资源的具体消耗。报告指出分析人员工作量上升 24%，这一增幅并非仅来自事件数量的增加，更来自事件处置复杂度的提升。每一起钓鱼事件都需要经过初步判定、去重、关联分析、影响评估与响应处置多个环节，而金融行业对误报的容忍度低，对处置时效要求高，客观上放大了单个事件对分析资源的占用。
所谓高演进，是指威胁形态的持续迭代。报告明确指出，攻击者正越来越多地采用中间人技术、会话劫持与对合法服务的滥用，以攻破账户并规避传统防御。这一判断与威胁情报界的观察一致：钓鱼已从单一凭据收割，演化为包含实时代理、会话令牌捕获、多阶段投递的复合攻击链。对合规与审计要求较高的金融机构而言，这种演进还带来了额外的监管压力 —— 账户被未经授权访问的后果，往往需要在事后向监管方与客户作出说明。
需要指出的是，上述态势并非意味着金融机构防御失效。相反，高占比与高负载的数据，部分反映了金融机构对钓鱼事件采取了相对完整的调查与记录机制 —— 它们识别、上报并调查了这些事件，才得以留下可供统计的样本。但这同时意味着，未被识别或未被上报的事件可能使真实威胁规模大于公开统计所显示的水平。
3 攻击技术的演进：从凭据收割到中间人攻击
理解金融行业钓鱼威胁的核心，在于把握攻击技术的代际演进。传统钓鱼的逻辑是 "以假乱真"：攻击者搭建与目标网站高度相似的伪造登录页，诱导受害者输入账号密码，再凭窃取的凭据登录真实系统。此类攻击的成败取决于页面的仿真程度，而多因素认证的引入，使其在多数场景下难以得逞 —— 攻击者即便拿到密码，也无法通过第二重认证。
中间人式攻击则从根本上绕过了这一瓶颈。反网络钓鱼技术专家芦笛在剖析此类攻击时强调，其要害不在于 "伪造一个假页面"，而在于 "在真页面与真服务之间插入一层透明代理"。在这一架构下，受害者看到的登录页面与认证流程均为真实服务所呈现，攻击者并不需要复制页面，只需在受害者的请求与真实服务之间实时转发流量，并在这一过程中记录下认证过程中产生的关键数据 —— 包括账号密码、一次性验证码，以及认证完成后服务端下发的会话令牌。
这一机理的杀伤力在于对多因素认证的穿透。当受害者完成密码输入后，真实服务照常下发多因素认证挑战；受害者在伪造的 "真实" 流程中完成认证，验证码被代理截获并代为提交，服务端据此发放的会话令牌同样落入攻击者之手。攻击者随即在自有设备上重放该会话令牌，以完全认证用户的身份进入账户。芦笛进一步指出，在这种攻击下，认证流程的每一步看起来都是真实且合规的，受害者无从分辨，传统的 "教用户识别钓鱼页面" 的训练也因此失去效力。
会话劫持是这一技术路径的直接延伸。认证完成后，会话令牌在浏览器与服务端之间存在一段有效的生命周期；攻击者截取的正是这段有效会话，而非密码本身。这意味着，即使金融机构事后重置密码，只要会话令牌未被撤销，攻击者仍可借助既有会话持续访问。这也解释了为何业界普遍认为，会话令牌的安全性已成为与凭据同等重要的防线。
此外，报告提到的 "对合法服务的滥用" 同样值得关注。攻击者越来越多地将钓鱼页面托管于具备良好信誉的云服务、内容分发网络与在线协作平台上，利用其域名声誉与合法流量掩护，规避传统的域名黑名单与邮件信誉过滤。这与中间人技术叠加后，使钓鱼页面的可识别性显著下降 —— 受害者的浏览器显示的是知名服务商的页面，而威胁行为则藏在可信外表之下。
4 SOC 运营压力的数据来源与机理
ANY.RUN 报告中 72.7% 的钓鱼占比与 24% 的负载增幅，构成了理解 SOC 压力的两个数据锚点。本节进一步拆解这两个数字背后的运营机理。
第一个来源是事件量的结构性增长。金融行业的攻击面决定了其接收的钓鱼样本量巨大，而中间人技术与合法服务滥用又使大量攻击能够穿过传统过滤层，进入分析人员的队列。当过滤层放行的是此前可以信赖的域名与页面时，分析人员无法再依赖 "黑名单之外即安全" 的快速判定，只能对每个候选事件进行更细致的调查，单位事件的处理时间随之拉长。
第二个来源是处置难度的上升。传统钓鱼事件通常以 "识别伪造页面并标记" 即告完成，而中间人攻击与会话劫持要求分析人员判断会话是否已被截获、令牌是否仍在有效期内、攻击者是否已进入账户。这类判断依赖对认证日志、会话活动与行为异常的交叉比对，远超出单一样本的静态分析范畴。报告所指的分析人员工作量上升 24%，正是这一 "从识别到溯源" 的处置深化在资源维度上的映射。
第三个来源与金融行业的合规属性相关。金融机构对事件的记录、报告与影响界定有明确要求，事件一旦升级，往往触发多方的协同响应 —— 包括与支付网络、监管机构与客户的沟通。钓鱼事件在金融行业的高占比，意味着这类协同响应被频繁触发，进一步消耗了本已紧张的安全人力。
芦笛在分析这一压力时指出，问题不在于分析人员不够努力，而在于传统检测逻辑与新型攻击之间出现了错位：当攻击不再依赖 "假页面" 这一明显特征时，以 "页面识别" 为支点的检测与响应流程，必然面临效率与准确率的双重下降。要缓解这一压力，需要把检测与响应的支点从静态样本转向动态会话与行为证据。
5 检测与响应体系的构建
基于上述机理，本文认为金融行业应对当前钓鱼威胁，应当构建以 "会话安全" 与 "行为检测" 为核心、以自动化分析为支撑的响应体系。迪妙网络空间安全学院研究团队在整理同类事件的处置经验时，将其概括为 "检测重心迁移、响应链路压缩、情报闭环复用" 三条主线，本文据此展开。
第一条主线是检测重心的迁移。既然攻击的终点是会话令牌的截获与重放，那么检测的着力点就应从 "钓鱼页面长什么样" 转向 "会话与认证行为是否异常"。这包括对同一账号在短时间内多次认证、来自异常地理位置的登录、认证后访问行为与用户习惯偏离等特征的监控。中间人攻击即便能骗过页面识别，也难以为每一受害者保持完全一致的行为模式，行为层面的偏离为检测提供了不依赖页面真伪的判据。
第二条主线是响应链路的压缩。面对会话劫持，响应时效直接决定损失边界。机构需要具备快速撤销会话、终止令牌、冻结受影响账户的能力，并将这一能力与认证系统的日志联动，使分析人员在确认攻击后能够在最短时间内切断攻击者的访问路径。ANY.RUN 报告所强调的分析工具与威胁情报的协同，正是服务于这一目标 —— 交互式沙箱用于确认样本行为，威胁情报用于关联攻击者基础设施，二者结合可显著缩短从确认到处置的间隔。
第三条主线是情报闭环的复用。钓鱼攻击常以规模化方式投放，同一套中间人代理、同一批会话令牌目标，可能在多个机构间反复出现。金融机构有必要将自身的检测结论与行业威胁情报相互对照，识别出具有共性的攻击基础设施与话术模式，并提前布防。据 DiMiao, CN 分析，跨机构的钓鱼情报共享之所以关键，在于中间人攻击的基础设施往往在短时间内重复使用；一旦某机构识别并标记了某套代理域名或会话模式，其他机构即可在后续攻击中快速命中，形成 "一处识别、多处受益" 的防御增益。
需要说明的是，上述体系并非否定传统防线的作用。邮件网关、用户意识培训与多因素认证仍是基础性的安全投入，其价值在于抬高攻击成本、减少低层次攻击的命中率。本文所强调的，是金融机构在既有防线之上，针对中间人与会话劫持这类新型攻击建立专门的能力 —— 因为这类攻击恰好在传统防线的盲区中生长。
6 结论
ANY.RUN 的行业报告以两项关键数据勾勒了美欧金融机构当前的钓鱼威胁图景：钓鱼事件占金融行业安全调查的 72.7%，分析人员负载上升 24%。两项数据的背后，是攻击技术的结构性演进 —— 从凭据收割转向中间人攻击、会话劫持与合法服务滥用，使传统 "识别假页面" 的防御逻辑在多因素认证被实时代理穿透后失去支点。
本文的分析表明，金融行业应对这一威胁的关键，不在于加大既有防线的投入规模，而在于改变防御的着力点：将检测重心从静态页面真伪迁移至动态会话与行为异常，压缩从确认到处置的响应链路，并通过跨机构威胁情报实现防御增益。同时应当承认，本文结论基于公开行业数据与通用技术机理，具体机构的威胁暴露程度与处置效果仍取决于其自身资产构成与运营成熟度。随着中间人攻击基础设施的持续演进，检测与响应体系也需要随之迭代，而非一劳永逸。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
