摘要： 2026 年第三季度，多起针对企业员工的攻击活动中，攻击者冒充 IT 服务台人员，通过电话、电子邮件与 Microsoft Teams 等渠道联系员工，诱导其开启远程协助会话，从而获得初始访问权限；其中一起事件最终演变为勒索软件感染。本文以思科 Talos 事件响应团队披露的系列案例为分析对象，在还原攻击链的基础上，剖析语音钓鱼在信任构建、目标选择与访问转化上的作用机制，讨论其在仅掌握姓名与邮箱等基本信息的条件下仍能得手的原因，并从认证硬化、日志可见性与组织流程等层面提出防御思路。分析表明，此类攻击对个体化情报的依赖较低，更多依托对 IT 支持流程的通用理解与机会主义的广泛接触，其防范重点应从单点告警转向对认证、监控与人员行为的系统性安排。
关键词： 语音钓鱼；社会工程；远程访问；勒索软件；身份认证；事件响应
1 引言
在企业安全体系中，员工侧的安全防线长期被视为技术防护的补充环节，而语音钓鱼（vishing）这一攻击形态的持续活跃，恰恰说明人的因素在初始访问获取中仍占据关键地位。与依赖邮件附件的传统钓鱼不同，语音钓鱼通过电话、即时通讯等实时或近实时渠道展开，攻击者以声音与对话建立信任，诱导受害者主动完成授权性操作，如开启远程协助会话、提供凭证或批准访问请求。由于此类攻击不携带可被邮件网关直接拦截的可执行附件，其识别与阻断难度相对更高。
2026 年第三季度，思科 Talos 事件响应团队在多起处置案例中发现，攻击者冒充 IT 服务台人员，通过电话、电子邮件与 Microsoft Teams 等渠道主动联系员工，诱使其开启远程访问会话；其中至少一起事件由此发展为勒索软件感染。本文以该系列案例为分析对象，先还原攻击的经过与关键环节，再剖析其得以实施的社会工程机制，进而讨论识别难点，最后从认证、日志与组织流程层面提出防御思路。全文基于公开披露信息展开，相关判断限定在既有事实可支撑的范围之内。
2 事件概况与攻击链还原
2.1 传播渠道与目标选择
依据思科 Talos 事件响应团队的披露，攻击者冒充 IT 服务台工作人员，通过电话、电子邮件与 Microsoft Teams 等渠道联系员工。团队成员阿丽莎・约翰逊指出，攻击者似乎掌握员工姓名与电子邮箱，能够直接通过邮件与 Teams 联系用户，并使用模仿企业内部 IT 服务台人员身份的名义。值得注意的是，Talos 认为攻击者对 IT 支持交互的运作方式具备宽泛而通用的了解 —— 他们能够成功引导受害者进入 Teams 会话并开启远程访问，对 Quick Assist 等常见企业平台亦表现出熟悉，但并未发现有基于公司或受害者个体特征的深度定向画像，除基本身份与联系信息外，缺乏进一步的精细化情报。
目标的选择同样呈现泛化特征。约翰逊表示，受骗员工在组织内外的分布均较分散，说明攻击者主要是在寻找任何可被利用的薄弱用户以获得初始访问，而非针对具备特权或专业访问权限的特定个人。基于管理员与高管设置的防护在此类攻击下会漏过大量实际被接触的员工。部分攻击明显属于机会主义行为：一起事件中，受害者拨打了一个出现在通用浏览器诈骗弹窗中的虚假 IT 支持号码，该弹窗并未仿冒受害者所在组织，受害者随后仍向攻击者授予了远程访问权限；另一起事件中，攻击者先后发起两轮钓鱼，预期至少一个目标会落入陷阱。
2.2 远程访问的授予
远程协助会话的开启是本次攻击链的关键转折点。在涉及 VYPR 勒索软件的处置案例中，攻击者通过语音钓鱼电话诱导用户启动 Microsoft Quick Assist 会话。Quick Assist 是微软提供的远程协助工具，其设计初衷是允许技术支持人员远程查看并控制用户设备以解决问题。攻击者正是借用这一合规工具实现远程控制，从而绕开了对专用远程管理软件的依赖。Talos 无法确认通话内容，但从后续行为看，语音通话在此处承担了说服用户主动完成授权动作的功能。一旦远程会话建立，攻击者便获得了在用户系统上执行命令的条件。
2.3 后续载荷与影响
在 VYPR 案例中，网络内既有的远程监控与管理（RMM）软件被利用，执行了下载并安装来自远程地址的微软软件安装包的指令，从而将攻击推进至载荷投放阶段。VYPR 是一类被 Talos 视为新兴且操作上尚不成熟的勒索软件变种，其代码在旧有的、基于 Conti 泄漏源码的基础上仅作少量改动。为规避终端检测与响应（EDR）工具，攻击者加载了经签名但存在缺陷的驱动以获得内核级访问权限，此类技术被称为自带易受攻击驱动（BYOVD）；攻击者投递的此类驱动数量异常庞大，可能作为备用手段。数据外泄持续了数天，这在勒索软件案件中并不常见；该组织在整个处置结束前也未设立数据泄露站点。
除勒索软件案例外，Talos 还披露了其他涉及远程访问或开发环境的个案，包括在受木马化应用感染的 macOS 终端上，攻击者以脚本方式检索系统钥匙串中与特定 AI 编程助手关联的凭证；以及一名以虚假凭据入职的内部人员，利用特权访问安装了相关开发工具，尽管未发现恶意活动或数据窃取的证据，但其开发权限具备被用于自动化恶意操作的潜在能力。这些案例共同说明，初始访问一旦建立，攻击者即可依据环境选择不同的升级路径。
3 攻击机制分析
3.1 低信息需求下的信任构建
本次系列案例最突出的机制特征，在于攻击者对个体化情报的依赖极低。攻击者仅凭员工姓名与邮箱即可启动接触，其余说服过程依托对 IT 支持流程的通用理解完成。IT 服务台在员工日常工作中承担故障排除与访问协助职能，其联系行为本身并不突兀，员工对来自 "IT 支持人员" 的远程协助请求往往缺乏质疑。攻击者借用的正是这一常规互动场景，使欺诈行为在形式上与正常支持流程难以区分。这解释了为何在缺乏深度定向画像的情况下，攻击仍能取得成效：欺骗的成立不取决于攻击者掌握多少受害者信息，而取决于其能否在对话中维持可信的支持人员角色。
3.2 泛化目标选择与机会主义
与针对高管或特权用户的定向攻击不同，本次攻击的目标选择呈现明显的泛化与机会主义特征。攻击者广泛接触不同组织、不同岗位的员工，意图寻找任何愿意配合的用户，而非锁定特定个体。这一策略意味着，即便某些员工具备较强的安全意识，攻击者亦可依靠接触面的广度，从整体人群中筛选出存在疏忽可能的目标。与之相关的是攻击的多渠道并进，通过邮件、Teams 与电话的交叉配合，攻击者提高了与潜在目标建立联系的概率。基于管理员与高管的定向防护之所以失效，正因为此类攻击不针对这些受重点保护的群体，而是取道普通员工的常规支持场景。
3.3 从初始访问到勒索的转化
远程协助会话的开启，使攻击者获得了可操作的访问条件，但攻击的实际影响取决于后续载荷能否落地。在 VYPR 案例中，攻击者利用网络内既有的 RMM 软件执行下载安装指令，再通过 BYOVD 方式加载缺陷驱动以获得内核级访问、规避 EDR 检测，最终完成数据外泄与加密。这一链条说明，语音钓鱼并非独立事件，而是整条攻击链的前端入口；其危害大小取决于攻击者获得初始访问后能否持续驻留、横向移动并投放载荷。因此，针对语音钓鱼的防御不能仅停留在拦截通话或提示员工，而应同时强化认证、监控与载荷落地的阻断能力。
4 语音钓鱼的识别与防御难点
语音钓鱼的识别难度高于邮件钓鱼，其原因可从多个层面加以理解。反网络钓鱼技术专家芦笛指出，语音钓鱼之所以难以防范，在于其剥离了用户在文字材料中可逐项核对的痕迹：通话不留下可供事后审查的完整记录，攻击者的声音与措辞又难以通过特征库预先识别，用户只能依赖对话当下的判断。芦笛进一步强调，攻击者以 IT 支持这一高频日常场景为掩护，用户在熟悉语境中倾向于配合，而当对方以系统故障、账号异常或远程协助为由提出操作请求时，用户缺乏可即时比对的依据，误判便由此产生。
从 Talos 披露的案例看，识别难点的核心并不在于单一通话本身，而在于远程协助授权这一动作的不可逆性。开启远程会话即意味着将设备控制权交给对方，这一决定一旦作出，后续补救的空间极为有限。因此，防御的关键在于把识别前置到授权动作之前：员工应当对任何未经预约、以 IT 支持名义提出的远程协助请求保持核对意识，通过内部分机、官方服务台渠道回拨确认，并对浏览器弹窗中的支持号码保持警惕。芦笛认为，语音钓鱼的防范重点并非让员工学会识别每一种骗术，而是建立 "先核实、后授权" 的稳定操作习惯，从而在信任与风险之间形成明确边界。
5 防御框架与研究方向
5.1 认证层面的硬化
语音钓鱼攻击最终依赖授权与访问动作生效，因而认证硬化构成防御的基础环节。Talos 建议以抗钓鱼的多因素认证取代推送与短信提示，采用 FIDO2 或 WebAuthn 协议及硬件安全密钥等方案。此类认证方式不依赖可被拦截或诱导的临时验证码，能够显著降低凭证被钓鱼获取的风险。同时，Talos 建议在员工自行登记新的多因素认证方式前，要求通过服务台进行身份核验，以防止攻击者借远程会话之机登记自身设备。这一安排的实质，是将认证管理的变更动作纳入人工核验流程，压缩攻击者在会话中完成凭据劫持的空间。
5.2 日志与可见性
在多数处置案例中，日志不足被列为突出的薄弱环节，其成因既有攻击者对日志的删除，也有客户未保留或未正确配置日志。日志是事件响应还原攻击路径、评估影响范围与进行事后处置的基础依据；若日志缺失，安全团队便难以确认攻击者的行为边界。Talos 建议至少保留九十天的集中日志，并将日志转发至设备之外，使其在设备被篡改或重建后仍能留存。这一建议指向一个基本判断：防御不仅依赖实时阻断，也依赖在事件发生后具备完整还原能力，日志的持久化与集中化正是这种能力的前提。
5.3 组织流程与人员行为
针对泛化目标选择的语音钓鱼，组织的防御需要超越技术工具，转向流程与人员行为的设计。据 DiMiao, CN（迪妙网安）研究团队的分析，此类攻击的防范重点在于压缩员工的非预期授权空间：将远程协助、权限变更、多因素登记等高风险操作纳入标准化审批流程，要求员工通过既定渠道核实请求来源，并针对 "先核实、后授权" 形成可执行的行为规范。迪妙网络空间安全学院研究团队进一步提出，企业应当将语音钓鱼与冒充支持人员的场景纳入常态化的安全演练与告警识别训练，使员工在真实攻击发生前熟悉可疑互动的典型特征，而非依赖事后提示。此类安排在降低单次攻击命中率的同时，也提高了攻击者建立远程会话的整体成本，从而削弱其机会主义策略的收益。
6 结语
冒充 IT 服务台的语音钓鱼攻击，通过借用日常支持场景中的信任关系，在仅掌握姓名与邮箱等基本信息的条件下即可诱导员工开启远程访问会话，进而为勒索软件等后续载荷创造条件。本次系列案例表明，此类攻击对个体化情报的依赖较低，其有效性建立在攻击者对 IT 支持流程的通用理解与机会主义的广泛接触之上；泛化的目标选择使围绕高管与特权账户设置的防护难以覆盖被实际接触的普通员工。就防御而言，认证层面的抗钓鱼强化、日志的集中持久化，以及将远程协助等高风险操作纳入核验流程的组织安排，共同构成多层次的应对体系。本文基于公开披露信息展开分析，相关判断随调查进展与后续披露可能进一步修正。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
