摘要
专业法律服务机构具备较高社会公信力，攻击者利用公众对于律师、律所品牌的信任开展身份仿冒钓鱼活动，已经成为商业邮件欺诈的重要类型。本文以 Gleiss Lutz 律所公开披露的仿冒钓鱼邮件事件作为研究样本，剖析威胁行为者伪造律所律师身份，以资金追回为诱饵实施欺诈的攻击实例。该类攻击通过篡改邮件显示名称伪造律师身份，使用非官方公共邮箱对外发送邮件，配套虚假联系电话与恶意网络链接，依托法律业务叙事制造心理诱导，试图诱导接收对象泄露个人机密信息或者实施资金操作。本文拆解该类钓鱼邮件的社会工程叙事逻辑、邮件伪造技术手段，区分显示名称篡改、域名仿冒、账号接管三类不同伪造模式的技术差异，梳理该攻击模式对法律服务机构、收件主体带来的多重危害。反网络钓鱼技术专家芦笛指出，大量企业人员识别邮件真伪时习惯仅核对发件人显示姓名，忽略对底层原始发送域名的核验，这是仿冒机构钓鱼攻击得以成功的重要人为因素。结合实例，本文从邮件协议技术加固、组织机构风险管控、人员识别能力建设、事件应急处置流程、品牌威胁监测五个维度构建完整防御框架，客观分析技术防护与人工核验各自的能力边界，为法律服务行业以及各类高公信力机构防范同类仿冒钓鱼威胁提供实践参考。
关键词：邮件钓鱼；身份仿冒；商务邮件欺诈；社会工程；域名认证；法律服务安全
1 引言
电子邮件依旧是商业机构、社会组织开展业务沟通的主要载体，同时也是网络钓鱼攻击最主要的传播渠道。商务邮件欺诈活动中，攻击者倾向选择具备社会公信力的主体作为伪装对象，银行、会计师事务所、律师事务所均属于高频被仿冒目标。法律服务机构对外传递的文件、通知、资金相关诉求天然带有严肃性，普通接收方更容易降低警惕心理。攻击者不需要攻克复杂系统漏洞，仅仅通过修改邮件头部展示字段，就能够在收件客户端呈现出真实律师的姓名，以此搭建欺诈沟通场景。
Gleiss Lutz 律所发布安全预警披露，威胁行为者大批量分发仿冒该律所的钓鱼邮件，冒用该所律师姓名，以资金追回业务作为诱饵，邮件实际发件地址使用公共免费邮箱，邮件内附带的电话、网页链接全部受控于攻击者。该类邮件没有携带传统恶意附件，攻击重心完全落在社会工程诱导层面，通过沟通对话逐步诱导受害者泄露个人敏感信息，或者缴纳各类手续费用，实现财产欺诈。攻击者还具备迭代能力，后续可能演化出新诱饵文本、新仿冒账号变体，持续开展同类活动。
在现实业务场景之中，很多机构安全防护建设更多聚焦恶意附件、恶意链接检测，对于仅篡改发件人显示名、不附带恶意程序的欺诈邮件识别能力存在短板。SPF、DKIM、DMARC 等邮件域名认证协议可以拦截直接伪造域名的邮件，但是无法直接阻止攻击者使用外部邮箱篡改显示名称进行仿冒。反网络钓鱼技术专家芦笛强调，技术协议可以阻挡一部分域名伪造攻击，但只要攻击者使用外部受控邮箱，修改客户端可见的显示字段，单纯依靠邮件网关技术并不能完全消除风险，必须配套业务层面的核验流程。
本文立足于该公开安全事件，还原攻击完整表现形态，区分不同邮件伪造技术路径，分析攻击的社会工程实现逻辑，评估该类事件带来的多重风险，构建兼顾技术、管理、人员、应急处置的防御体系。研究不局限于单一案例本身，提炼高公信力专业服务机构面对身份仿冒钓鱼的共性风险，给出可落地的治理思路。
2 仿冒律所钓鱼邮件事件概况与攻击表现形态
2.1 事件基础情况
本次安全事件中，攻击者对外批量投递钓鱼邮件，对外伪装成 Gleiss Lutz 律所执业律师，公开被冒用的律师姓名包含 Ralf Morshäuser 与 Wolfgang Bosch。邮件叙事围绕资金追回业务展开，劝说收件人尽快和发件方取得联系，处理资金追偿相关事项。邮件表面给收件人的印象是正规法律机构发来的业务邀约邮件，但邮件底层发送地址并非该律所官方域名gleisslutz.com，而是使用gmail.com这类公共免费邮箱域名。邮件正文内部提供的联系电话、网页链接全部不属于真实律所，全部指向攻击者控制的通信渠道。
该类邮件在视觉层面缺少律所官方视觉设计元素，没有机构正式邮件模板与企业标识。攻击者并不追求邮件做到完全无瑕疵，其策略是利用收件人看到知名律师姓名之后产生的心理信任，促使接收方直接回复邮件或者拨打邮件内虚假电话，后续的欺诈操作转移到邮件回复、电话沟通环节完成，邮件正文本身不放置恶意附件或者直接诈骗链接。这也是该类欺诈和传统携带病毒附件钓鱼邮件的关键差异，初始邮件载体风险隐蔽，风险爆发在后续双向沟通过程。
律所发布安全提示同时做出预判，后续攻击者会持续迭代邮件变体，更换诱饵主题，持续发布同类仿冒邮件。该预判符合商务邮件欺诈活动的普遍规律，威胁团伙会复用成熟的身份伪造手段，仅仅调整邮件叙事主题，持续开展攻击。律所面向接收邮件的主体给出基础处置指引：遇到来源可疑的律所邮件，重点核查原始发送域名，不能只看显示姓名；存在怀疑的情况下不要打开附件、不点击链接，不回复敏感业务信息；有疑问可以通过律所对外公开的安全专用邮箱进行求证。
2.2 攻击完整链路拆解
整套攻击链路分为四个连贯阶段，全部依托社会工程推进，不存在软件漏洞利用环节。
第一阶段：批量投递伪装邮件。攻击者利用公共邮箱账号，修改邮件发件人显示字段，显示为目标律所真实律师的姓名，邮件主题围绕资金追回业务撰写，批量发送至潜在受害者邮箱。发件人底层域名与律所官方域名完全无关。邮件正文提供虚假联系渠道，诱导收件人进行回复或者拨打电话。
第二阶段：建立双向沟通。当受害者进行回复或者拨通邮件提供的虚假号码，攻击者就进入直接对话环节。攻击者会模仿法律从业人员的话术，讲述资金追回业务的相关流程，构建完整的业务场景，进一步强化受害者的信任。
第三阶段：递进式诱导。随着沟通深入，攻击者逐步提出诉求，可能要求受害者提交身份证明、资产材料等个人隐私信息，也会以诉讼费、公证费、手续保证金等名目，要求受害者向指定账户划转资金。
第四阶段：达成欺诈目的。一旦受害者提交私密材料，攻击者可以将个人信息用于其他黑产活动；如果发生资金转账，攻击者会快速转移涉案资金，切断全部通信渠道，完成欺诈流程。
该攻击模式的风险后置特征非常突出，初始邮件仅仅是敲门砖，真正的欺诈行为发生在邮件之后的沟通，这也提升安全设备检测拦截的难度。安全网关可以识别恶意附件、恶意 URL，但是很难预判用户后续回复邮件、拨打电话之后发生的社会工程欺骗行为。
3 邮件身份伪造的主要技术模式辨析
针对机构、个人的邮件仿冒行为存在三种典型技术实现路径，本次 Gleiss Lutz 钓鱼事件属于显示名称篡改仿冒，应当将其与域名伪造、真实邮箱账号接管进行明确区分，三类模式对应的技术防御手段存在显著差异，如果混淆三者，会直接造成安全防护策略出现偏差。
3.1 显示名称篡改仿冒
SMTP 邮件协议允许独立设置收件邮件客户端展示的发件人显示名称，该字段和实际发送邮件的账号域名可以完全不一致。攻击者注册普通公共邮箱，在发送邮件时，将显示名填写为知名机构员工的真实姓名。收件人在邮箱客户端看到的是真实律师名字，点击展开完整发件地址之后，才可以看到真实的发送账号。大量普通使用者阅读邮件时不会主动点开查看完整原始邮箱地址，仅仅依靠显示的姓名判断来信身份，这就是该攻击能够生效的技术基础。
在这种模式下，邮件来自攻击者完全掌控的外部邮箱，不触碰目标机构的邮件服务器，SPF、DKIM、DMARC 是针对自身域名被冒用的防护协议，对于攻击者使用外部邮箱篡改显示名的场景，域名认证协议无法直接拦截。邮件抵达收件网关的时候，各项域名身份校验全部针对攻击者自身的发送域名，不会产生校验失败告警，邮件往往可以顺利进入收件箱，很难被基础规则标记为垃圾邮件。本次事件就属于该类攻击。反网络钓鱼技术专家芦笛指出，很多安全管理人员在部署 DMARC 之后，误以为就可以杜绝全部仿冒本机构的钓鱼邮件，显示名篡改攻击恰好就是该类协议的防护盲区。
3.2 域名伪造仿冒
域名伪造指攻击者尝试直接冒用目标机构自身域名作为发件地址，也就是信封发件人和头部 From 字段直接填写为@gleisslutz.com。该场景下，部署正确的 SPF、DKIM、DMARC，并且将 DMARC 策略设置为拒绝模式，接收邮件服务器就可以识别身份校验失败，拒绝接收该类伪造邮件。该技术是防御域名直接伪造的有效手段，也是所有对外公开邮件域名应当完成的基础配置。但该手段无法解决攻击者使用外部邮箱篡改显示名称的场景。
3.3 真实邮箱账号接管
第三种模式是攻击者通过钓鱼、暴力破解等手段，真正拿到律所内部员工邮箱账号权限，直接从机构官方邮件服务器向外发送欺诈邮件。该场景下邮件来自合法授权服务器，SPF、DKIM、DMARC 全部校验通过，邮件从技术层面属于真实可信邮件，但是邮件内容是欺诈信息。这种情况下域名认证协议完全失效，风险来源于账号身份本身失陷，防护重点转移到账号安全、多因素认证、邮箱行为审计。
对于被仿冒的法律服务机构，三种攻击模式都有可能发生，对应的检测、处置方案各不相同，机构在做邮件安全规划时需要同时兼顾三类场景，不能只依靠单一域名认证协议。
4 仿冒律所钓鱼攻击的风险与威胁特征分析
4.1 对邮件接收方构成的直接风险
对于收到钓鱼邮件的个人或者企业主体，首要风险为财产损失。攻击者以资金追回为叙事，后续会编造各类合法名目收取费用，受害者如果轻信叙事发生转账，资金追回难度较高。第二类风险是个人和商业敏感信息泄露，在沟通过程中受害者提交的身份证件、资产证明、企业业务资料，会被攻击者获取，用于后续其他诈骗、身份冒用黑产链条。除此之外还存在次生风险，部分受害者在遭受欺骗之后，还会被攻击者进一步话术操控，持续卷入后续连环骗局。
该类攻击区别于普通随机海量钓鱼，依托法律业务的特殊公信力，放大社会工程效果。普通垃圾钓鱼邮件很容易被接收方识别，但是伪装成律师事务所的邮件，收件人会天然假设邮件背后存在真实的法律业务可能性，心理上会预留沟通空间，警惕程度随之下降。
4.2 对被仿冒法律服务机构带来的衍生危害
钓鱼邮件并非由律所发出，但是冒用机构律师身份，会带来多重间接损害。第一是品牌声誉风险，大量收件人会将欺诈邮件和律所本身进行关联，即便机构发布安全公告澄清，也会对机构的公众信任度造成冲击。第二是咨询处置成本，大量收到钓鱼邮件的用户会向律所官方渠道咨询邮件真伪，消耗机构法务、运维团队的人力成本。第三是潜在法律风险，如果有第三方因为仿冒邮件遭受损失，有可能产生相关问询、投诉，机构需要投入资源开展澄清举证工作。攻击者还可以迭代诱饵，更换叙事主题，持续冒用同一品牌开展欺诈，威胁具备长期持续性。
4.3 本次攻击活动体现出的威胁特征
第一，规避恶意载体检测。初始邮件不携带恶意附件、恶意可执行链接，攻击效果依靠后续对话，避开传统邮件安全网关基于样本、URL 特征的检测体系，传统特征库防护手段收效有限。
第二，信任来源依托外部品牌公信力，不依赖邮件本身的格式完美。攻击者甚至不完整复刻律所邮件版式，缺少官方企业视觉元素，依旧可以达成攻击目的，攻击的说服力量来自被冒用机构的社会身份，而不是邮件制作的精致程度。
第三，威胁具备变体迭代能力。攻击者可以保留显示名篡改的核心手法，替换邮件主题、诱饵叙事、虚假联系信息，衍生出新的钓鱼变体，不会因为单一事件被公开披露就直接终止活动。
第四，攻击技术门槛低。仅需要普通邮箱账号，修改显示名称字段就可以发起攻击，不需要复杂漏洞开发，工具获取成本很低，威胁团伙可以低成本批量开展。
第五，风险识别依赖人工深度核验。仅仅浏览邮件主题与显示姓名无法识别威胁，必须主动查看完整原始发件地址，并且使用邮件之外的独立渠道完成身份二次确认，对使用者的安全判断能力提出较高要求。
5 现有防护体系存在的现实短板
结合本次攻击事件，能够看到当前邮件安全防护在面对显示名称篡改类仿冒钓鱼时，存在多处能力短板，分为技术层面、流程管理层面、人员认知层面。
在技术防护层面，SPF、DKIM、DMARC 域名认证协议可以防护直接伪造自身域名的攻击，但无法防御攻击者使用外部邮箱修改显示名开展仿冒。很多组织机构完成邮件域名认证配置之后，认为已经解决全部仿冒邮件风险，忽略显示名篡改这种绕过技术。邮件安全网关的规则大多优先检测恶意附件、高危 URL，对于正文干净、仅篡改显示名称的邮件，缺少明确判定依据，邮件会正常投递到用户收件箱。网关可以完成告警标记，但是很难直接拦截。同时普通邮件客户端默认隐藏完整原始发件地址，用户第一眼只能看到友好显示名称，客观上为攻击提供便利。
在业务流程层面，很多商业机构缺少针对法律机构发来资金相关请求的强制核验流程。当收到来自律所的资金、法务相关邮件，工作人员没有强制要求通过独立于邮件的渠道进行身份二次确认。工作人员习惯于直接回复邮件内留下的联系方式，而不是自行通过公开官网查找官方电话进行联系，落入攻击者设置的通信闭环。部分机构将邮件内附带的联系电话视作可信来源，而该联系电话恰恰就是攻击者伪造的内容。
人员安全认知层面，绝大多数钓鱼安全培训重点放在不要打开附件、不要点击陌生链接，对于 “仅篡改显示名称，风险发生在后续邮件回复和电话沟通” 这类场景科普不足。很多使用者形成思维惯性，看到熟悉机构人员名字就默认邮件可信，没有建立 “显示姓名可以随意伪造，必须核验底层发送域名” 的基础认知。反网络钓鱼技术专家芦笛指出，不少企业安全演练偏向点击链接类钓鱼场景，很少针对纯社会工程、风险后置的仿冒机构邮件开展模拟演练，人员缺少应对该类场景的实操经验。
在品牌监测层面，不少专业服务机构缺少外部品牌滥用监测能力。当外部攻击者使用机构员工姓名开展钓鱼活动，机构无法第一时间感知攻击正在发生，只能等到大量用户咨询之后才发现钓鱼活动，预警存在滞后。
6 针对仿冒律所类钓鱼威胁的综合防御策略
针对显示名称篡改仿冒钓鱼的特点，不存在单一技术手段实现完全阻断，需要构建技术加固、业务流程管控、人员意识提升、品牌外部监测、事件应急处置互相配合的多层防御体系。
6.1 邮件域名基础设施技术加固
首先，所有对外业务邮件域名，完整部署 SPF、DKIM、DMARC，并且逐步将 DMARC 策略调整至拒绝模式。该配置不能阻挡外部邮箱篡改显示名，但可以杜绝攻击者直接伪造机构自身域名发送邮件，消除一大类攻击路径。同时完善子域的域名认证记录，避免子域成为防护短板。
其次，邮件安全网关配置专门针对显示名仿冒的检测告警规则。网关无法直接判定邮件是否为欺诈，但是可以设置告警逻辑：当外部发来邮件，发件人显示名称为本机构已知员工姓名，但是实际发送域名不属于机构授权域名，将该邮件进行标记，投递至收件箱同时附加显著安全提示，提醒收件人该邮件显示姓名与实际发送域名不匹配，需要重点核验身份。该类邮件不应当直接删除，避免误拦截正常外部同名人士邮件，但是必须增加醒目警示。
机构内部向员工开展培训，指导使用者如何在自己的邮件客户端查看完整原始发件地址与邮件头部信息，掌握甄别显示名伪造的基础操作方法。
6.2 业务层面建立跨渠道强制核验机制
技术手段存在盲区，业务流程管控就成为关键防线。对于企业内部，凡是收到邮件提出资金划转、提交敏感业务资料的诉求，无论邮件看起来来自律师事务所还是其他外部专业机构，都不能仅仅依靠邮件内提供的联系方式完成确认。必须使用完全独立的渠道核验身份：自行访问机构官方公开网站获取联系电话，拨打电话完成人员身份确认，核验邮件诉求真实性，不能回复邮件内给出的邮箱，也不要拨打邮件正文附带的电话号码。
核验流程应当落实为制度，尤其是涉及资金、涉密材料的业务场景，把带外核验纳入审批环节，而不是交由接收人员自主判断。即便邮件看起来完整正规，同样需要执行该流程，以此对抗显示名篡改带来的身份伪装。
对于法律服务机构自身，应当面向客户公开明确的安全沟通说明，告知客户识别仿冒邮件的方法，公布专门接收钓鱼邮件举报的安全邮箱，就如本次事件中 Gleiss Lutz 对外披露cybersecurity@gleisslutz.com接收可疑邮件举报。对外业务签名模板中可以加入安全提示，告知客户不要信任邮件内突然出现的陌生联系方式。
6.3 人员安全认知与模拟演练优化
安全意识培训需要拓展内容边界，不能只聚焦恶意链接与附件。需要专门讲解邮件显示名称可以被任意篡改的技术事实，明确告知用户：邮件客户端展示的姓名不等于真实发件人，判断身份要看完整原始邮箱域名。针对法律、资金追回这类高风险诱饵主题开展科普，告知用户该类题材的邮件常见欺诈特征。
定期开展贴合真实场景的钓鱼模拟演练，演练样本采用仅篡改显示名、不带恶意附件的邮件模板，检验内部人员识别能力。演练之后针对误判人员开展定向培训，补齐认知短板。同时明确处置指引：遇到可疑邮件，不要回复，不要使用邮件内联系方式，通过公开渠道向机构求证。
6.4 开展外部品牌滥用威胁监测
专业服务机构需要建立外部威胁监测能力。持续监测公开互联网、邮件威胁情报中，是否出现冒用本机构名称、律师姓名开展钓鱼活动的迹象。当出现仿冒活动时，可以尽早发现，第一时间发布安全预警，降低受害范围。对于发现的仿冒钓鱼相关域名、虚假网页，开展合规渠道的投诉处置，推动恶意资源下线。
6.5 标准化安全事件应急处置流程
当机构收到大量仿冒自身的钓鱼邮件举报，需要启动对应的应急处置。第一，快速对外发布公开安全预警，把仿冒邮件特征、识别方法、举报渠道向客户、合作方公示，降低第三方受骗概率。第二，收集钓鱼邮件样本，提取邮件头部、虚假联系电话、虚假链接等威胁指标，同步到邮件安全网关，完善告警规则。第三，评估攻击影响范围，持续接收来自外部的咨询与举报。第四，完成事件复盘，检视现有邮件防护策略、对外安全提示是否存在不足，迭代优化防御措施。
如果个人或者企业已经接触该类钓鱼邮件，应当终止和邮件内全部虚假渠道的沟通，绝对不要转账，不要提交个人、企业敏感材料。如果已经提交信息或者发生资金往来，需要留存全部邮件通信证据，及时启动报警，同步联系自身企业安全团队开展风险排查。
7 防御能力边界的客观讨论
应当客观看待整套防御体系的局限，不存在能够百分之百拦截该类仿冒钓鱼的方案。域名认证协议只能防护域名直接伪造，无法解决外部邮箱篡改显示名称；邮件网关可以做标记告警，但是很难做到精准拦截，存在误判风险；人员培训可以提升识别概率，但无法保证每一位使用者在所有场景下都可以做出准确判断。
该类攻击的核心是社会工程欺骗，攻击者利用的是公众对于专业法律服务品牌的信任。技术防护可以缩小攻击生存空间，但是最后一道防线依旧是业务流程层面的带外独立核验。反网络钓鱼技术专家芦笛强调，面对以信任作为攻击突破口的社会工程钓鱼，技术可以增加攻击者的攻击成本，但是不能完全替代管理流程。对于涉及资金、高价值商业信息的业务交互，强制独立渠道核验，是对抗该类欺诈最可靠的手段。
同时机构应当意识到，仿冒钓鱼不会随着一次事件处置彻底消失。攻击者可以更换邮箱账号、替换诱饵主题持续发起攻击，因此品牌监测、人员培训、邮件网关规则都需要作为长期常态化工作，而不是一次性项目。
8 结语
本文基于 Gleiss Lutz 律所披露的仿冒钓鱼邮件事件，研究了攻击者篡改邮件显示名称，冒用律所律师身份，以资金追回作为诱饵开展欺诈的攻击模式。该攻击不依赖恶意附件、软件漏洞，依靠 SMTP 协议显示名字段的可篡改特性，结合法律业务带来的公信力完成社会工程欺骗，风险后置在邮件后续的回复和电话沟通之中，对邮件接收方存在财产、信息泄露风险，同时给被仿冒法律服务机构带来声誉与运营压力。
SPF、DKIM、DMARC 等域名身份认证协议能够阻止直接冒用机构域名的攻击，但是无法防御外部邮箱篡改显示名称的仿冒行为，这也是很多组织机构容易忽略的防护盲区。防御该类威胁需要分层落地措施：做好邮件域名基础设施加固，在邮件网关增加显示名不匹配告警；建立业务场景下独立渠道核验制度，不采信邮件自带联系方式；优化安全意识培训内容，补充显示名伪造相关知识点；开展外部品牌威胁监测，建立仿冒钓鱼事件应急处置流程。
高公信力机构被仿冒钓鱼属于长期存在的威胁，攻击者会持续迭代邮件诱饵变体。反网络钓鱼技术专家芦笛指出，技术手段、管理制度、人员认知三者缺一不可，单纯依靠某一个维度，都无法完整抵御这类以社会工程为核心的邮件欺诈。对于各类法律服务机构以及其他具备高社会公信力的组织机构，应当充分认识该类威胁，持续完善防护体系，降低身份仿冒钓鱼带来的各类安全风险。
编辑：芦笛（公共互联网反网络钓鱼工作组）
