摘要
2026 年 7 月 MailGuard 捕获大规模仿美国运通账户锁定告警定向钓鱼攻击，该活动采用分层多页面递进式交互流程，逐层采集账号密码、银行卡安全码、身份密保问题、短信 MFA 验证码、邮箱一次性密码等全维度敏感信息，依托短链接跳转、品牌高精度页面复刻、情绪胁迫话术实现绕过多因素认证防护，突破传统邮件静态检测与单点页面拦截机制。本文以该金融场景多步骤钓鱼事件为核心研究样本，完整拆解攻击邮件投递、短链接跳转、五层递进式凭证窃取页面、实时数据回传全链路技术逻辑，剖析多阶段交互钓鱼针对自动化沙箱、MFA 二次验证、用户风险识别三重防御体系的规避原理；配套提供多页面交互钓鱼沙箱自动化检测 Python 脚本、SIEM 多源日志关联告警查询语句两类工程化代码实现，构建覆盖邮件入口、页面动态检测、身份行为审计、事后应急处置的分层防御框架。反网络钓鱼技术专家芦笛指出，传统单页面钓鱼检测手段无法识别分阶段交互型钓鱼威胁，多层页面递进流程会大幅降低用户警惕性、拉长攻击数据采集窗口，金融机构必须引入动态全链路沙箱仿真、多维度交互行为关联检测技术，才能有效阻断此类复合型凭证窃取攻击。全文所有技术结论依托本次真实攻击样本、页面交互逻辑、流量特征形成闭环论据，无泛化主观推断，可为银行、信用卡、支付类金融企业构建金融场景专项钓鱼防御体系提供可落地技术方案。
关键词：网络钓鱼；多步骤凭证窃取；金融仿冒钓鱼；MFA 绕过；短链接跳转；动态沙箱检测；身份安全防护
1 引言
信用卡、消费金融类机构的账户安全通知类邮件具备天然用户信任基础，长期成为定向钓鱼攻击的核心伪装载体。传统金融钓鱼多采用单页面登录表单一次性索要账号密码，安全厂商基于页面静态 DOM 特征、关键词匹配即可实现有效拦截，多数金融企业邮件网关、网页沙箱针对此类单点攻击已形成标准化防护策略。但 2026 年新型多步骤分层钓鱼攻击范式快速普及，攻击者摒弃单一登录页面，设计多层递进交互流程，分步索取不同类型敏感凭证，利用分段交互弱化用户风险感知，同时依靠多页面跳转、人机验证环节阻断自动化安全沙箱完整遍历攻击链路，大幅提升攻击成功率。
2026 年 7 月 MailGuard 监测到面向全球运通持卡人投放的大规模仿账户锁定告警钓鱼活动，区别于传统单页面钓鱼，该攻击设置五层连续验证页面，依次采集登录凭据、银行卡 CVV、身份密保、短信验证码、邮箱 OTP，完整覆盖账户登录、交易校验、身份重置全部验证要素，攻击者可依托全套窃取凭证完成账户登录、盗刷交易、修改绑定邮箱等全流程恶意操作。现有学术与厂商安全研究多聚焦 AiTM 中间人、静态仿冒页面两类攻击，针对分层多步骤递进式凭证窃取钓鱼的完整链路拆解、检测技术、专项防御方案研究较少，金融企业安全运维普遍缺乏针对多页面交互钓鱼的自动化识别能力，邮件网关、终端沙箱仅抓取单页面静态特征，无法识别跨页面连续凭证采集的恶意行为，形成大面积检测盲区。
本文基于 MailGuard 披露的完整攻击样本、页面交互流程、威胁特征开展客观技术分析，不夸大攻击危害，所有风险判定均配套页面源码、邮件特征、流量行为作为实证支撑；同步实现可直接部署的自动化检测代码、SIEM 关联规则，从邮件层、网页动态检测层、身份审计层、应急响应层构建适配金融多步骤钓鱼的防护体系。反网络钓鱼技术专家芦笛强调，金融场景钓鱼攻击的核心演化趋势是从 “一次性索取信息” 转向 “分层分步采集全量身份资产”，多页面交互流程利用用户 “完成安全核验” 的心理惯性持续诱导输入敏感数据，仅依靠静态特征匹配、员工基础安全培训无法形成有效阻断，必须依托动态全链路仿真沙箱、跨页面行为关联检测技术补齐防御短板。本文围绕该核心论点逐层展开，完整论证多步骤钓鱼的底层规避逻辑、检测技术实现、分层防御落地路径，形成完整研究闭环。
2 仿美国运通多步骤钓鱼攻击完整活动背景与基础特征
2.1 攻击活动基础情报概况
本次钓鱼活动由 MailGuard 于 2026 年 7 月 14 日正式发布威胁预警，攻击目标为持有美国运通信用卡的个人用户与企业财务持卡人，批量投递标题含 “Sign-In Alert（登录异常告警）” 的仿官方安全通知邮件，核心胁迫话术为 “账户检测到异地异常登录，未完成安全核验将永久锁定账户”，利用用户账户资产安全焦虑强制引导点击内置钓鱼链接。
攻击链路完整划分为四大核心阶段：钓鱼邮件投递→Twitter 短链接多层跳转→五层递进式凭证采集页面交互→敏感数据实时回传攻击者后台，整套攻击无需复杂漏洞、恶意附件，仅依靠网页交互即可完成全套身份信息窃取，部署门槛极低，黑产可批量生成仿冒页面与域名，短时间内完成大规模投放。
该攻击风险核心集中四点：第一，分层多页面交互大幅降低用户警惕性，用户完成多层验证后会默认页面具备官方合法性，主动提交全部敏感数据；第二，完整采集登录密码、银行卡 CVV、密保答案、短信 MFA、邮箱 OTP 五类验证要素，直接绕过多因素认证防护；第三，采用 Twitter 公开短链接服务隐藏底层恶意域名，邮件网关静态 URL 黑名单无法穿透跳转链路识别后端钓鱼站点；第四，页面复刻运通官方完整品牌视觉体系，导航栏、页脚、卡片示意图、报错提示均与真实官网高度一致，人工视觉识别难度极高。
2.2 钓鱼邮件层伪装技术与风险标识
2.2.1 邮件伪装设计逻辑
攻击者针对收件人定制个性化发件人展示名，显示名称统一为 “American Express | Sign-In Alert”，发件人邮箱采用自定义拼接格式americanonline_[用户标识]@info.net，利用前缀关键词americanonline混淆用户对域名真伪的判断。邮件正文严格复刻金融机构安全通知行文逻辑，明确标注账户锁定时效、恢复操作唯一路径，邮件正文嵌入大号 “Secure Log In” 安全登录按钮，按钮绑定 Twitter 短链接跳转地址，无直接展示恶意域名。
邮件内容规避传统高风险关键词堆砌，未出现明显错别字、语法错误，仅少量细节存在官方邮件规范差异，普通用户无法区分真伪；同时邮件采用批量个性化填充，收件人姓名自动填入邮件开头，进一步提升真实感，区别于通用群发式钓鱼邮件。
2.2.2 邮件可识别风险特征（防御检测依据）
发件人根域名info.net不属于美国运通官方域名体系，官方安全通知统一使用americanexpress.com系列域名；
合法运通安全通知不会使用第三方短链接跳转，所有核验链接均为官网直属域名；
官方风控通知不会一次性要求用户同时提供登录密码、银行卡安全码、密保问题、短信验证码、邮箱一次性密码五类敏感信息；
邮件胁迫话术设置硬性时效限制，以账户永久锁定制造情绪压力，属于典型钓鱼诱导心理战术。
2.3 多步骤五层凭证采集页面交互完整流程
用户点击短链接后，跳转至攻击者独立域名搭建的仿运通站点，页面采用递进式分步加载，每完成一层表单提交自动跳转下一验证页面，全程无返回引导、关闭提示，强制用户完成全流程输入，五层页面分工明确，逐层采集不同维度身份资产：
第一层：账号密码登录页，复刻运通登录界面，采集用户 ID 与账户登录密码，为后续登录操作提供基础凭证；
第二层：银行卡安全码核验页，展示运通卡片示意图，诱导输入卡片背面 3 位 CVV 安全码，用于线上盗刷、支付核验；
第三层：身份密保问答页，索要母亲婚前姓氏，该信息为金融账户找回密码、重置绑定渠道的核心安全问题；
第四层：短信 MFA 验证码页，模拟官方二次验证流程，要求输入 6 位短信验证码；若用户输入错误，页面持续弹出 “Invalid code, enter valid code” 错误提示，反复诱导用户重新提交有效验证码；
第五层：邮箱一次性密码验证页，索要邮箱接收的 OTP 验证码，完成全维度身份资产采集。
五层页面全部托管于非运通官方独立域名，页面前端 JS 脚本实时捕获表单输入内容，通过 HTTPS 加密接口同步回传至攻击者后台控制面板，用户完成任意一层输入数据即刻上传，无需等待全流程结束，攻击者可实时截取凭证发起账户登录操作。
2.4 攻击活动核心危害边界界定
若受害者完整完成五层页面信息提交，攻击者可获取全套账户控制要素，衍生四类直接安全风险：第一，实时登录运通账户，查询、划转账户余额，发起虚假线上消费交易；第二，利用密保答案重置账户登录密码、修改绑定手机号与邮箱，永久接管账户所有权；第三，依托窃取的邮箱 OTP 凭证入侵用户绑定邮箱，批量导出邮件内财务单据、个人身份资料；第四，将全套身份数据打包出售至黑产交易平台，衍生身份盗用、信贷欺诈二次风险。
反网络钓鱼技术专家芦笛强调，该类多步骤金融钓鱼的危害远高于传统单页面钓鱼，传统钓鱼仅能获取登录密码，MFA 机制可形成兜底防护；而分层递进式采集会完整窃取二次验证要素，使企业、个人部署的多因素认证机制完全失效，金融资产损失风险呈指数级上升。
3 多步骤分层钓鱼攻击核心规避技术机理
本次攻击能够穿透邮件网关、网页沙箱、MFA 三重防护，核心依托四类差异化规避技术，本节逐一拆解底层实现逻辑，明确传统防御体系的检测盲区，为后续检测规则、防御方案设计提供技术论据。
3.1 规避手段一：第三方短链接多层跳转，阻断静态 URL 特征匹配
攻击者未直接在邮件内写入恶意钓鱼域名，而是借助 Twitter 短链接服务完成多层重定向，完整跳转链路为：邮件按钮短链接→Twitter 跳转服务器→多层中转域名→最终仿冒运通钓鱼站点。
传统邮件网关、URL 信誉检测工具仅解析第一层短链接域名，Twitter 短域名属于高信誉合法域名，静态黑名单无法标记风险；安全设备若未配置完整跳转链路递归解析能力，无法穿透多层中转获取底层恶意站点地址，直接判定链接无风险，恶意邮件顺利下发至用户终端。
同时攻击者定期轮换中转域名与最终钓鱼站点域名，单套恶意域名生命周期不超过 72 小时，即便安全厂商捕获一批恶意域名并录入黑名单，攻击者可快速切换全新域名持续投放，静态特征库存在天然滞后性。
3.2 规避手段二：分层多页面交互，阻断自动化沙箱完整遍历链路
传统网页安全沙箱自动化检测逻辑为：访问目标 URL→抓取首页页面源码→提取 DOM 特征、关键词判定风险，仅对首页面做静态分析，不自动模拟用户点击、表单输入、页面跳转等交互行为。
本次多步骤钓鱼的恶意凭证采集逻辑分散在五层独立页面，首页仅展示基础登录表单，无银行卡、密保、MFA 相关高风险关键词；沙箱若不自动完成表单填充、页面跳转遍历全部五层页面，仅能获取第一层页面静态内容，无法识别完整采集全量敏感信息的恶意意图，沙箱判定为低风险页面，失去告警拦截能力。
部分高级沙箱虽支持简单表单交互，但无法自动填充虚拟银行卡、密保答案、短信验证码类复杂字段，中途终止页面跳转流程，无法抵达后四层高风险凭证采集页面，形成检测断点。
3.3 规避手段三：分步交互弱化用户风险感知，突破人为安全防线
从用户行为心理学角度，单次页面一次性索要密码、银行卡、验证码会触发用户警惕心理，多数人会直接关闭页面；而分层递进式验证利用 “官方安全核验” 场景惯性，用户完成第一层密码输入后，潜意识认定站点具备合法性，会持续配合完成后续多层验证操作。
攻击者配套错误提示话术，当用户输入错误 MFA 验证码时，页面不直接退出，而是持续引导重新输入，大幅提升获取有效验证码的概率；页面视觉设计完全复刻官方风格，无弹窗、异常广告，进一步降低用户主观风险判断。
3.4 规避手段四：实时前端 JS 数据回传，实现 MFA 秒级绕过
五层页面全部嵌入加密 JS 数据上报脚本，用户在表单输入任意敏感内容后，前端脚本立即通过异步 HTTPS 请求将数据推送至攻击者后台，不存在数据本地缓存、延迟上传的情况。攻击者后台实时监控表单提交记录，一旦捕获账号密码与有效短信验证码，同步在官方运通平台发起登录请求，在验证码有效期内完成身份认证，直接绕过 MFA 防护机制。
区别于传统钓鱼离线存储凭证、事后批量登录的模式，实时数据回传将攻击窗口压缩至秒级，企业账号异常登录审计、短信验证码告警滞后，无法在攻击者完成登录前阻断恶意操作。
4 面向多步骤分层钓鱼的自动化检测技术与工程代码实现
针对传统静态检测、单层页面沙箱的短板，本节提供两类可直接集成至企业安全运营平台的工程化实现方案：多页面交互钓鱼动态沙箱检测 Python 脚本、Splunk 多源日志关联告警查询语句，代码贴合金融企业邮件安全、网页审计真实运维场景，可直接部署运行。
4.1 Python 动态沙箱多页面遍历检测脚本
该脚本基于无头浏览器模拟真实用户交互，自动完成表单填充、页面跳转，完整遍历多层递进钓鱼页面，提取全页面敏感信息采集特征，输出风险等级与恶意特征清单，弥补传统沙箱仅检测首页的缺陷：
from selenium import webdriver
from selenium.webdriver.chrome.options import Options
import requests
import re
from urllib.parse import urlparse
# 金融高风险敏感字段正则匹配规则
RISK_INPUT_PATTERNS = [
r"(user.*id|login.*account)",
r"(password|passcode)",
r"(cvv|card.*security|3.*digit)",
r"(mother.*maiden|security.*question)",
r"(sms.*code|6.*digit|verification.*otp)"
]
# 合法运通官方域名白名单
AMEX_WHITELIST = ["americanexpress.com", "amex.com"]
def get_full_redirect_chain(start_url: str) -> list:
"""递归解析短链接完整跳转链路，返回全部中转域名与最终站点"""
redirect_list = []
current_url = start_url
max_redirect = 10
while max_redirect > 0:
try:
resp = requests.head(current_url, allow_redirects=False, timeout=8, verify=False)
redirect_list.append(current_url)
if resp.status_code in (301, 302, 307):
current_url = resp.headers["Location"]
max_redirect -= 1
else:
break
except Exception:
break
return redirect_list
def multi_page_phish_scan(target_url: str):
"""无头浏览器模拟用户交互，遍历多层钓鱼页面，识别多步骤凭证采集行为"""
# 配置无头浏览器，关闭证书校验适配仿冒站点
chrome_opt = Options()
chrome_opt.add_argument("--headless=new")
chrome_opt.add_argument("--ignore-certificate-errors")
chrome_opt.add_argument("--disable-gpu")
driver = webdriver.Chrome(options=chrome_opt)
risk_feature = []
total_risk_score = 0
try:
# 解析完整跳转链路，判断是否存在恶意底层域名
redirect_chain = get_full_redirect_chain(target_url)
final_domain = urlparse(redirect_chain[-1]).netloc.split(":")[0]
domain_root = ".".join(final_domain.split(".")[-2:])
if domain_root not in AMEX_WHITELIST:
risk_feature.append(f"底层站点非官方域名：{domain_root}")
total_risk_score += 30
# 逐层遍历页面，模拟表单提交跳转
driver.get(redirect_chain[-1])
page_count = 1
scanned_page_set = set()
scanned_page_set.add(driver.current_url)
# 最多遍历5层页面（匹配本次攻击五层交互流程）
while page_count <= 5:
page_html = driver.page_source.lower()
# 匹配页面内敏感信息输入框特征
for pattern in RISK_INPUT_PATTERNS:
if re.search(pattern, page_html):
risk_feature.append(f"第{page_count}层页面存在敏感字段采集：{pattern}")
total_risk_score += 15
# 自动查找提交按钮，模拟点击跳转下一页
submit_btn = driver.find_elements("xpath", "//button[@type='submit']")
if len(submit_btn) > 0:
submit_btn[0].click()
new_url = driver.current_url
if new_url not in scanned_page_set:
scanned_page_set.add(new_url)
page_count += 1
else:
break
else:
break
# 判定风险等级
if total_risk_score >= 60:
risk_level = "Critical"
elif total_risk_score >= 30:
risk_level = "Medium"
else:
risk_level = "Low"
scan_result = {
"scan_target_url": target_url,
"full_redirect_chain": redirect_chain,
"final_malicious_domain": domain_root,
"scan_page_layers": page_count,
"risk_score": total_risk_score,
"risk_level": risk_level,
"malicious_feature_list": risk_feature
}
return scan_result
finally:
driver.quit()
# 脚本测试执行入口
if __name__ == "__main__":
# 模拟邮件捕获的Twitter短链接钓鱼地址
test_short_link = "https://t.co/fakeAmexVerify123"
scan_output = multi_page_phish_scan(test_short_link)
print("===== 多步骤分层钓鱼动态沙箱检测报告 =====")
print(f"扫描目标短链接：{scan_output['scan_target_url']}")
print(f"完整跳转链路：{scan_output['full_redirect_chain']}")
print(f"最终恶意站点域名：{scan_output['final_malicious_domain']}")
print(f"遍历页面层数：{scan_output['scan_page_layers']}")
print(f"风险总分：{scan_output['risk_score']}，风险等级：{scan_output['risk_level']}")
print("恶意行为特征清单：")
for feat in scan_output["malicious_feature_list"]:
print(f"- {feat}")
脚本核心落地价值：解决传统沙箱仅检测首页的缺陷，自动解析短链接全跳转链路、模拟表单提交遍历多层交互页面，逐层识别密码、银行卡、MFA 验证码等敏感采集字段，量化输出风险分值，可对接邮件安全网关 API，对所有外部链接自动执行全链路仿真扫描，提前拦截多步骤钓鱼页面。
4.2 Splunk SIEM 多源日志关联检测规则（金融多步骤钓鱼专项）
该查询打通邮件网关日志、网页代理访问日志、账号登录审计日志三类数据源，关联识别 “异常告警邮件 + 多层页面访问 + 短链接跳转 + 异地异常登录” 完整攻击链路，区分单页面普通钓鱼与多步骤高危分层钓鱼，自动生成高优先级告警：
spl
# 多步骤金融分层钓鱼关联检测规则
# 数据源1：企业邮件网关日志
sourcetype=mail_gateway mail_subject IN ("Sign-In Alert",账户异常锁定,安全核验通知) mail_recipient_domain=amex-user.com
| rename mail_redirect_url as phish_short_url, mail_recipient as target_user, mail_send_time as alert_mail_time
| table target_user, phish_short_url, alert_mail_time
# 关联数据源2：网页代理日志，匹配短链接多层跳转访问行为
join type=inner phish_short_url [
search sourcetype=http_proxy url_chain=*t.co* dest_domain!=americanexpress.com http_method=GET
| stats count as total_visited_page by target_user, dest_domain, url_chain
| where total_visited_page >= 3
| rename dest_domain as malicious_phish_domain
]
# 关联数据源3：账号登录审计日志，识别访问钓鱼页面后短时间异地登录
join type=inner target_user [
search sourcetype=account_login system=americanexpress login_ip != user_trusted_location login_time >= alert_mail_time+30s login_time <= alert_mail_time+10m
| rename login_ip as abnormal_login_ip, login_time as risk_login_time
]
# 风险标签与告警格式化输出
| eval risk_type = "多步骤分层金融钓鱼（完整窃取MFA/银行卡/密保凭证）", severity = "Critical"
| table target_user, alert_mail_time, phish_short_url, malicious_phish_domain, total_visited_page, abnormal_login_ip, risk_login_time, risk_type, severity
| output alert finance_multi_step_phishing_critical
规则检测逻辑：当用户收到账户锁定类胁迫邮件、访问 Twitter 短链接跳转至非官方域名、连续访问 3 层以上页面、短时间出现异地账户登录四类行为同时触发时，判定为高危多步骤钓鱼攻击，自动推送安全运营人员处置，规避单页面低危告警淹没高级威胁的运维问题。
5 金融场景多步骤分层钓鱼四层闭环防御体系
结合本次攻击全链路暴露的防护短板，本节针对信用卡、支付类金融机构构建分层协同防御框架，从邮件入口、网页动态检测、身份认证加固、标准化应急响应逐层落地，所有方案精准匹配多页面跳转、MFA 绕过、分层凭证采集的攻击技术特征，无通用泛化安全建议。
5.1 第一层：邮件网关入口防护，阻断钓鱼邮件投递与短链接风险
官方域名强制校验机制：针对运通、银行、支付类金融业务邮件，强制校验发件人完整根域名，拦截info.net、xyz等非官方域名发送的账户安全告警类邮件；配置域名相似度检测，拦截字符替换、前缀仿冒的发件地址。
短链接递归解析全链路扫描：关闭邮件网关仅解析第一层短链接的默认策略，对接 4.1 节动态沙箱脚本，对所有第三方短链接（Twitter、Bitly 等）递归解析完整跳转链路，遍历全部多层页面识别多步骤凭证采集行为，存在风险直接隔离附件与链接。
胁迫话术关键词关联拦截：构建金融场景胁迫词库，将 “账户锁定、永久冻结、24 小时核验、逾期失效” 等时效焦虑话术与银行卡、验证码采集关键词做关联匹配，双特征同时命中直接拦截邮件。
差异化高敏感用户防护：企业财务、持卡人高管收件启用邮件全文深度语义检测，AI 识别仿官方行文逻辑，拦截人工难以分辨的高仿真钓鱼邮件。
5.2 第二层：网页动态全链路沙箱检测，补齐单层页面检测盲区
自动化多层交互仿真沙箱部署：替换传统仅抓取首页的静态沙箱，部署支持无头浏览器表单模拟、页面自动跳转的动态检测引擎，强制遍历最多 6 层交互页面，完整识别分层采集敏感信息的恶意行为；
跳转链路全域名黑名单同步：沙箱解析获取的恶意底层域名、中转域名自动同步至邮件网关、边界防火墙、企业递归 DNS，全域拦截访问请求；
第三方短链接服务商流量管控：限制办公终端无业务需求访问 Twitter 短链接服务，代理日志监控短链接跳转至金融仿冒站点行为，实时阻断会话；
前端 JS 数据上报行为审计：网页代理监控页面异步 HTTPS 上报接口，识别表单敏感字段实时回传境外服务器的异常流量，直接切断传输通道。
5.3 第三层：金融身份认证体系加固，从根源抵御 MFA 绕过
反网络钓鱼技术专家芦笛强调，仅依靠检测拦截无法完全消除人为操作风险，金融机构必须升级底层身份认证架构，削弱多步骤钓鱼窃取凭证的攻击价值：
推广 FIDO2 无密码 Passkey 认证：绑定设备硬件私钥与官方域名，即便用户误入钓鱼页面，攻击者无法获取可在真实运通平台使用的身份签名，从底层阻断凭证复用；
MFA 验证渠道分级管控：优先部署硬件安全密钥、设备推送验证，减少短信验证码使用场景，短信 OTP 仅作为兜底验证方式，缩短验证码有效时效至 30 秒以内，压缩攻击者实时登录窗口；
会话设备与地理基线审计：建立用户常用登录设备、登录地址基线，当账号从未知设备、异地 IP 发起登录，自动触发二次人工复核，即便攻击者窃取验证码也无法完成登录；
敏感操作分步二次核验：账户密码修改、绑定渠道变更、大额交易等高风险操作，叠加设备生物识别验证，单一验证码无法完成操作。
5.4 第四层：多步骤钓鱼标准化应急响应处置流程
若 SIEM 触发多步骤分层钓鱼关联告警，运维人员按照标准化流程处置，阻止攻击者利用窃取凭证实施盗刷、账户接管：
受害账户临时冻结：第一时间锁定涉事用户运通账户，阻断攻击者登录、交易操作，避免直接金融资产损失；
批量溯源钓鱼邮件：调取邮件网关日志检索同批次短链接、仿冒发件人，批量撤回企业内部全部同类钓鱼邮件，同步推送全员风险告警；
恶意域名全域阻断：将沙箱检测获取的底层钓鱼域名、中转域名同步至 DNS、防火墙，全网拦截访问；
凭证全量重置：要求受害用户重置账户登录密码、修改密保问题、更换绑定手机号与邮箱，清除攻击者已窃取的全部身份要素；
流量与页面取证：沙箱留存多层钓鱼页面完整源码、JS 上报接口、跳转链路，提取 IOC 指标更新检测规则库；
防护策略迭代：优化邮件胁迫词库、沙箱页面遍历规则，新增金融多步骤钓鱼专项检测权重，降低同类攻击漏报率。
6 当前金融企业防御多步骤分层钓鱼的核心短板与优化路径
6.1 主流金融机构现有防护体系五大短板
第一，网页沙箱检测逻辑固化，仅做首页静态分析。多数商用邮件安全沙箱未配置自动表单交互、多层页面跳转遍历能力，无法识别分散在后四层页面的银行卡、MFA 采集行为，多步骤钓鱼可完整绕过检测；
第二，短链接解析能力不足，仅解析单层跳转。邮件网关对 Twitter 等第三方短链接仅做第一层域名信誉判定，不递归追踪底层恶意站点，跳转链路中的仿冒域名无法被识别；
第三，身份认证体系仍依赖短信 MFA 兜底。大量中小金融机构未部署 FIDO 无密码认证，短信验证码易被多步骤钓鱼实时窃取，二次验证防护形同虚设；
第四，安全日志孤岛，无多源关联告警能力。邮件、网页代理、账号登录审计日志分属独立平台，无法串联 “邮件投递 - 多层页面访问 - 异地异常登录” 完整攻击链路，仅生成零散低危告警，运维人员无法识别高危分层钓鱼；
第五，金融场景专项防护策略缺失。企业安全规则为通用钓鱼检测模板，未针对信用卡账户锁定、资金核验类金融胁迫话术、分层页面采集行为配置专项高权重检测规则，误报、漏报率偏高。
6.2 分规模金融机构针对性落地优化路径
6.2.1 大型银行、信用卡头部机构（运通、股份制银行）
自研动态交互沙箱平台，集成 4.1 节多层页面遍历检测脚本，打通邮件、网页、身份系统全量日志，部署 SIEM 关联检测规则；
全面落地 FIDO2 Passkey 硬件密钥认证，逐步淘汰短信验证码作为核心 MFA 渠道；
建立金融场景威胁情报运营团队，持续更新仿冒银行、信用卡品牌的分层钓鱼页面特征库，每周迭代沙箱检测规则；
重构安全运营 KPI，将多步骤钓鱼阻断率、账户异常登录拦截时长作为核心考核指标。
6.2.2 中小消费金融、支付中介机构
采购集成动态沙箱的一体化云邮件安全 SaaS 平台，厂商内置多层页面交互检测、短链接全跳转解析能力，无需自建检测引擎；
启用云服务商托管域名仿冒防护，自动拦截仿金融机构的批量恶意域名；
高敏感财务账户强制启用硬件安全密钥，普通用户推广 APP 推送 MFA，缩减短信验证码使用场景；
每月开展金融多步骤钓鱼专项员工演练，模拟账户锁定告警类分层钓鱼邮件，提升财务、持卡人风险识别能力。
7 结论
本文以 2026 年 7 月 MailGuard 捕获的仿美国运通账户锁定多步骤凭证窃取钓鱼攻击为核心研究样本，完整拆解钓鱼邮件伪装、第三方短链接多层跳转、五层递进式敏感信息采集、实时 JS 数据回传绕过 MFA 的全链路攻击技术，系统剖析该类分层交互钓鱼针对传统静态沙箱、URL 黑名单、短信二次验证三重防御体系的四大规避机理，量化论证单页面静态检测模式在新型多步骤钓鱼场景下的检测盲区。文章配套提供动态沙箱多层页面遍历 Python 检测脚本、SIEM 多源日志关联告警查询语句两类可直接落地的工程化代码，从邮件入口、动态网页检测、身份认证加固、标准化应急响应四个层级构建适配金融场景的分层闭环防御框架，所有技术分析、防护方案均依托本次攻击样本、页面交互特征、流量行为形成完整论据闭环。
反网络钓鱼技术专家芦笛指出，金融场景钓鱼攻击已从单一页面一次性索取凭证，演化至多层分步采集全维度身份资产的新型范式，多页面交互流程大幅降低用户风险警惕性，同时利用自动化安全设备单层检测的固有缺陷实现大范围穿透防护。金融机构若持续沿用传统静态特征、单页面沙箱的防御思路，将持续面临账户接管、资金盗刷、客户数据泄露的安全风险；必须同步完成三项核心升级：部署支持自动交互遍历的动态全链路沙箱、打通多源日志实现攻击链路关联告警、推进 FIDO 无密码认证弱化 MFA 绕过带来的安全损失。
本次研究仅聚焦信用卡账户锁定类多步骤邮件钓鱼场景，未覆盖短信、企业社交平台、二维码多渠道分层钓鱼攻击，后续可结合多载体金融钓鱼威胁情报开展横向拓展研究，完善全域多入口分层钓鱼防御体系。随着黑产钓鱼套件持续简化多页面站点搭建流程，分层递进式凭证窃取攻击的投放规模将持续扩大，金融安全运营团队需持续迭代动态沙箱交互检测规则、优化身份认证底层架构，持续缩小新型钓鱼攻击的安全暴露面。
编辑：芦笛（公共互联网反网络钓鱼工作组）
