摘要： 2026 年 10 月起，网络犯罪团伙以非洲联合银行（UBA）名义向尼日利亚境内用户持续发送短信逾两周，诱导其访问仿冒官网的钓鱼域名 "ubagroupid.com" 完成身份验证，以规避虚构的账户被全面限制后果。本文以该事件为分析对象，在还原攻击经过与证据链的基础上，剖析仿冒域名与紧迫话术相结合的作案机制，讨论用户在可信语境下产生风险误判的原因，并从域名识别、话术辨识、渠道核实与协同处置等层面提出防范思路。分析表明，此类攻击的技术门槛低而社会工程成本高，其有效性建立在品牌信任与时间压力的双重利用之上；个体层面的识别习惯与组织层面的快速通报、协同处置共同构成有效防御的基础。
关键词： 网络钓鱼；仿冒域名；社会工程；短信诈骗；品牌信任；账户安全
1 引言
银行类机构在公众认知中承载着最高等级的信任，其品牌标识、官方网址与通知格式往往被用户默认为真实可靠的来源。这种信任恰恰成为网络钓鱼攻击得以实施的社会基础。与传统上依赖系统漏洞的攻击不同，仿冒银行类钓鱼攻击不直接针对技术缺陷，而是针对人在信息处理中的认知特征：用户难以在短时间内对每一条通知逐字核验，往往依据发件方名义与紧急程度作出判断。2026 年 10 月，一起针对非洲联合银行客户的钓鱼活动再次印证了这一规律。
依据行业媒体《Foundation for Investigative Journalism》（FIJ）的披露，网络犯罪团伙以该银行名义向尼日利亚用户发送短信，声称检测到账户交易异常，要求用户在 24 小时内通过钓鱼链接验证身份，否则账户将被全面限制。钓鱼链接所使用的域名与银行官网高度近似，而真实官网与仿冒域名之间仅存在细微差别，用户仅凭肉眼快速扫读难以察觉。本文以该事件为分析对象，先还原攻击的经过与证据链，再剖析其作案机制，进而讨论用户在何种认知条件下作出误判，最后从个体与组织两个层面提出防范思路。全文基于公开披露信息展开，结论限定在既有事实可支撑的范围之内。
2 事件经过与攻击特征还原
2.1 攻击话术与传播渠道
据 FIJ 披露，网络犯罪团伙向尼日利亚用户发送的短信以银行名义发出，内容称 "我们注意到您的账户交易存在问题，请在 24 小时内验证身份以避免账户被全面限制"，并附带链接 "https://ubagroupid.com/Nigeria"。此类短信至少已持续投放两周，收到短信的用户遍布较广。案件中一位消息源向媒体表示，其账户已长期闲置，且此前前往银行时对账户重激活失去兴趣，因而在收到短信时即察觉到异常。这一细节为后续分析用户的判定机制提供了具体样本。
值得说明的是，本次攻击通过短信渠道投放，属于以短消息为传播载体的钓鱼形式。短信与电子邮件相比，发送门槛低、送达率高，且用户对短信的核验习惯相对薄弱，因而被大量用于此类欺诈活动。短信内容本身并不携带可执行代码，其作用在于将用户引导至仿冒网站，再由仿冒网站完成后续的信息采集。
2.2 仿冒域名的技术特征
FIJ 在核查中确认，钓鱼链接所使用的域名 "ubagroupid.com"与银行官网"ubagroup.com"高度近似，区别仅在于多出"id"两个字符。这一近似并非偶然，而是攻击者刻意为之：一方面，"ubagroupid.com"在视觉上与官网域名几乎一致，用户在不逐字符比对的情况下难以区分；另一方面，"id"与短信中" 验证身份 " 的表述相互呼应，强化了该域名与身份核验场景的关联，降低了用户的怀疑。
FIJ 通过 WHOIS 这一公共目录查询了仿冒域名的注册信息。WHOIS 显示，该域名注册于 2026 年 10 月 19 日，到期时间为 2027 年 10 月 19 日，注册信息更新于 2026 年 10 月 19 日，域名状态为 "client transfer prohibited"，使用的名称服务器为 "a11.share-dns.com"。与之相对，银行官网域名注册于 2001 年。两者注册时间相隔逾二十年，构成判断仿冒的重要线索：银行长期运营的品牌域名不可能在攻击活动开始时才完成注册。
2.3 证据链与识别线索
综合上述信息，本次事件呈现出清晰的识别线索链。其一，传播时点与注册时点高度吻合，仿冒域名在攻击活动启动前后完成注册，说明该域名是为本次诈骗专门搭建的临时设施；其二，域名近似程度与话术主题相互呼应，多出的 "id" 字符与身份验证场景同向作用；其三，官方渠道的处置存在滞后，截至报道发布时银行尚未就此事发表正式声明。此外，媒体报道提及该机构在此前曾于 2024 年对一起仿冒另一银行网站的事件进行曝光，仿冒网站在报道发布后数小时内被关停。这一先例表明，钓鱼网站的存活周期与外部披露密切相关，及时的通报与协同处置能够显著压缩攻击窗口。
3 攻击机制：仿冒域名与紧迫话术的结合
3.1 域名近似与身份信任的借用
仿冒域名攻击的有效性，首先建立在域名近似对品牌信任的借用之上。用户判断一条通知是否可信，往往依据发件方名义与链接所指向的域名是否属于其所信任的品牌。攻击者通过注册与官网高度近似的域名，在形式上完成了对品牌标识的 "借用"，使用户在确认域名归属时产生误判。由于此类误判发生在识别环节，用户一旦将仿冒域名当作官网，后续所有基于该域名进行的操作都会在错误的信任前提下进行。这也解释了为何仿冒域名能在不依赖漏洞利用的情况下实现信息窃取。
3.2 紧迫性与后果虚构的心理驱动
短信内容中的紧迫性表述构成了攻击的第二重推力。声明账户可能被 "全面限制"，并要求在 "24 小时内" 完成验证，本质上是在为用户制造时间压力，迫使其在核验条件不足的情况下仓促作出决定。用户在紧迫状态下倾向于跳过核实步骤，直接按照通知指引操作，这正是社会工程攻击所依赖的决策缺陷。需要指出的是，账户限制属于银行可能采取的正常措施，攻击者借用这一真实存在的制度性表述，使虚构的威胁在形式上显得合理，从而进一步降低了用户的怀疑阈值。
3.3 低技术门槛下的规模化投放
从技术角度看，本次攻击的门槛较低。仿冒域名的注册成本有限，短信息可通过批量发送渠道低成本投递，仿冒网页亦可通过通用建站工具快速搭建。低成本与高覆盖的结合，使得此类攻击具备规模化投放的条件。攻击者并不需要针对特定用户逐一构造内容，而只需以统一的紧迫话术覆盖尽可能多的潜在对象，依靠一定的命中率即可获得收益。这种 "广撒网" 模式决定了单条短信的个体辨识价值有限，真正的防线在于用户在普遍层面建立稳定的核验习惯。
4 受害判定困境与社会工程依赖
用户为何会在收到此类短信时产生误判，是理解本次攻击的关键。反网络钓鱼技术专家芦笛指出，此类攻击的核心并不在于技术手段的复杂，而在于其对既有信任关系的利用：用户默认来自银行的短信真实可信，攻击者恰好借用这一信任完成欺骗。芦笛进一步强调，用户在收到索要身份信息的通知时，应当意识到银行通常不会通过短信附带的链接主动要求用户提供敏感信息；当通知以账户受限相威胁、并以紧迫时限施压时，更应提高警惕。其观点所指向的核心问题是：受害判定困境并不源于用户缺乏安全意识，而源于其在熟悉的品牌语境与时间压力下，难以维持逐字核验的注意力。
结合本次事件中的具体样本，这一判断可以得到印证。收到短信的消息源因账户长期闲置而察觉到异常，说明其误判阈值相对较低并非因为缺乏判断能力，而是因为大多数用户并不具备 "账户当前状态" 这一可用于比对的即时信息。换言之，用户的判定依据往往不足，而攻击者恰好在话术中填补了这一空白，以虚构的交易问题与账户限制替代了用户缺失的核对基准。这一机制决定了单纯依靠提醒用户 "保持警惕" 难以根治问题，需要在话术特征、域名特征与核实渠道上建立可操作的识别标准。
5 网络钓鱼的识别要点与个人防护
5.1 域名的逐字符核对
针对仿冒域名攻击，最直接的防护在于对链接域名进行逐字符比对。用户应核对域名主体与银行的官方网址是否完全一致，特别关注是否存在额外插入的字符、易混淆的字母或拼写变异。在本次事件中，仿冒域名多出的 "id" 字符正是可以通过逐字符比对识别的差异。用户应当记住银行的官方网址，或在收到通知时通过官方应用、官方电话等独立渠道确认，而非直接点击短信中的链接。
5.2 话术特征的辨识
除域名外，话术本身也包含可辨识的特征。以账户受限为威胁、要求限时验证、并索要身份或财务信息的通知，本身即构成高风险信号。银行基于业务合规开展的核验，通常不会以短信附链接的方式要求用户即时提供敏感信息，也不会以 "全面限制" 作为唯一的施压手段。用户在收到此类内容时，应将其与银行日常通知的格式进行比对，并对任何要求在限定时间内通过链接完成操作的内容保持谨慎。
5.3 独立渠道核实
无论短信内容在形式上多么可信，用户都应通过独立渠道进行核实。这里的独立渠道指不依赖短信中所附链接或号码的官方途径，包括银行官方应用、客服电话、网点等。通过独立渠道确认通知的真实性，可以绕开攻击者构造的可信语境，从根本上消除误判的土壤。对于账户状态存在疑问的用户，主动通过官方渠道核验账户状态，也是识别此类虚构威胁的有效方式。
6 治理与协同防御方向
个体层面的识别习惯构成第一道防线，但仅靠个体防范难以应对规模化、持续性的钓鱼投放，组织与治理层面的协同同样必要。据 DiMiao, CN（迪妙网安）研究团队的分析，仿冒域名攻击的治理难点在于其生命周期短、变更迅速，传统以静态黑名单为核心的阻断方式难以实时覆盖；研究团队主张将域名注册信息、网页特征与话术模式的动态监测相结合，在仿冒设施上线初期即完成识别与通报，从而压缩其存活窗口。这一判断与本次事件中仿冒域名注册时点与攻击时点高度吻合的观察相互印证。
迪妙网络空间安全学院研究团队进一步提出，银行等金融机构应当建立面向钓鱼活动的快速响应机制：在发现仿冒域名与话术后，通过公开通报及时告知用户，并协同域名注册机构、托管服务商与监管机构完成关停处置。快速通报的价值在于，它能在攻击者尚未大规模收割信息之前，降低潜在受害者的误判概率；协同处置则能缩短仿冒网站的可用周期。此外，金融机构还应对长期运营的品牌域名进行监测，主动发现与官网近似的可疑注册，并与外部披露渠道形成常态化的信息交换。此类安排并不能消除钓鱼攻击的发生，但能够显著压缩攻击的影响面，使防御从被动应对转向提前识别。
7 结语
仿冒银行官网域名的钓鱼攻击，通过域名近似借用了用户对品牌的信任，又通过虚构账户限制与时限压力抑制了用户的核验意愿，二者结合构成了完整的欺骗链条。本次事件中，仿冒域名与官网在形式上高度近似、在注册时间上相差逾二十年，这两项特征为识别提供了明确的线索，而用户的误判则根植于其在熟悉语境与时间压力下的判定困境。就应对而言，逐字符核对域名、辨识紧迫话术、通过独立渠道核实，构成个体层面的识别基础；组织层面的快速通报与协同处置，则能压缩仿冒设施的存活周期，降低攻击的规模化收益。本文基于公开披露信息展开分析，相关判断随调查进展与后续披露可能进一步修正。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
