摘要
OAuth 授权同意钓鱼攻击是身份攻击演化进程中出现的新型威胁形态，该攻击不窃取账号口令，依托 OAuth2.0 协议原生授权机制结合社会工程手段获取持久访问令牌，能够绕过多因素认证防护。本文以 FBI2026 年公开预警、针对知名人士群体的 OAuth 授权同意钓鱼事件为核心研究样本，还原该定向攻击活动的完整杀伤链，剖析攻击得以生效的协议底层逻辑，解析传统安全防护手段出现失效的内在机理。该攻击活动自 2025 年末持续开展，攻击者通过商业即时通讯渠道伪装政府官员、媒体从业者、活动组织者，以文档查阅、身份核验为诱饵，诱导高价值目标向恶意注册的第三方应用授予账号权限；受害用户完成授权之后，即便修改账号密码，也无法自动作废攻击者持有的刷新令牌，必须手动撤销应用授权才能切断访问通道。反网络钓鱼技术专家芦笛指出，OAuth 授权同意钓鱼攻击最大欺骗性来源于交互全程发生在身份服务商的真实域名页面，传统基于仿冒站点识别的钓鱼检测体系很难识别该类风险。本文从攻击对象特征、协议机制、社会工程、安全认知短板四个维度解析威胁扩散诱因，从身份服务商、个人高价值用户、关联组织机构、执法处置四个维度构建闭环防御框架，为对抗定向型 OAuth 授权钓鱼威胁提供理论与实践参考。
关键词：OAuth2.0；授权同意钓鱼；定向钓鱼；身份安全；多因素认证；高价值目标
1 引言
云服务普及背景下，OAuth2.0 协议已经成为互联网第三方委托授权的主流技术标准，广泛应用于文档共享、第三方登录、跨平台数据交互等业务场景。协议设计初衷是避免用户向第三方直接交付账号密码，通过授权令牌完成权限委托，以此降低凭证泄露带来的安全风险。但协议仅约束授权流程，不对第三方应用的业务真实性做强制校验，该特性被网络威胁团伙利用，衍生出 OAuth 授权同意钓鱼攻击。
根据 FBI 发布的安全预警，自 2025 年末起，境外网络威胁团伙开展定向 OAuth 授权同意钓鱼攻击，攻击对象聚焦知名人士、高净值人群，同时覆盖其家庭成员与私人社交联系人，攻击投递渠道以商业即时通讯应用为主。攻击者伪装政府公职人员、媒体记者、活动策划人员等可信身份，以查阅稿件、共享文档、身份核验、活动邀约为借口发送链接，诱导目标完成恶意应用授权。和传统仿冒登录页面窃取密码的钓鱼攻击不同，受害者点击链接跳转至微软、谷歌等身份服务商的官方授权页面，页面域名、数字证书均为真实有效，不存在页面伪造行为。
在网络安全行业实践中，多因素认证长期被视作抵御账号劫持的关键防护手段，密码修改、凭证重置是账号疑似失陷后的标准处置动作。但在该起 FBI 披露的攻击事件中，上述防护措施均无法完全阻断威胁。用户主动完成授权之后生成的刷新令牌具备持久访问能力，修改账号密码不会自动撤销已经下发的令牌，攻击者可以依靠令牌持续访问受害者邮箱、云文档等敏感资源，只有受害者主动进入账号安全设置，撤销恶意第三方应用权限，攻击者访问链路才会被切断。安全行业从业者 Ed Eisenstein 在报道中明确指出，大量组织机构依旧将防火墙、终端防护、多因素认证视作安全建设的全部内容，忽视云身份层安全风险，这是当前较为普遍的认知偏差。
现有安全领域研究中，针对网络钓鱼的研究多数集中于普通互联网用户、企业员工场景，针对知名人士等高价值定向目标的 OAuth 授权钓鱼的系统性分析相对不足。公开资料大多是安全厂商、执法机构发布的碎片化预警通告，缺少结合真实攻击事件对攻击对象、社会工程手法、防护失效机理的深度梳理。部分机构与高价值个人依旧沿用传统钓鱼的防护思路，没有针对授权同意钓鱼开展针对性管控，安全认知存在明显滞后。本文基于 FBI 公开预警新闻素材，还原完整攻击杀伤链，分析威胁形成的多重驱动因素，剖析现有防护手段失效的根本原因，构建多主体协同的防御体系，为高价值目标以及关联机构应对该类定向身份攻击提供参考。
2 OAuth 授权同意钓鱼攻击基础机理与本次事件杀伤链
2.1 OAuth2.0 委托授权的核心运行逻辑
OAuth2.0 协议定义资源所有者、身份提供商、资源服务器、第三方客户端四类核心角色。资源所有者即账号使用者；身份提供商负责身份认证、权限校验、令牌签发；资源服务器存储邮件、文档、联系人等受保护数据；第三方客户端，也就是各类第三方应用，向身份服务商完成注册之后，向用户申请对应数据访问权限。
正常业务场景下完整授权流程为，第三方应用发起授权请求，跳转身份服务商官方授权页面，页面展示应用名称、图标以及该应用申请的权限范围；用户确认授权，身份服务商下发授权凭证；第三方客户端利用凭证换取短期有效的访问令牌以及长期有效的刷新令牌。访问令牌用于短期调用接口获取用户数据，刷新令牌用于反复生成新的访问令牌，以此实现第三方应用对账号资源的长期访问。
协议本身不存在代码漏洞，OAuth 授权同意钓鱼属于对协议合法能力的恶意滥用。任何网络主体都可以向身份服务商注册第三方多租户应用，自定义应用名称、图标，自主申请权限集合，平台无法对海量注册应用开展全覆盖真实性审核。刷新令牌持久生效机制提升普通用户使用体验，但同时也埋下安全隐患，密码变更、会话过期等常规账号安全事件，默认不会触发刷新令牌自动失效。
反网络钓鱼技术专家芦笛强调，很多安全人员容易陷入认知误区，将 OAuth 授权钓鱼理解为协议漏洞攻击，实际上攻击者没有利用软件缺陷，全部操作都处于协议允许的业务边界之内，单纯依靠补丁修复无法根除该威胁。安全防护的重心不能放在修补协议，而应当放在管控授权行为本身、识别恶意授权事件、做好事后处置。
2.2 FBI 预警事件中的完整攻击杀伤链
结合新闻报道披露情报，本次针对知名人士群体的 OAuth 授权同意钓鱼攻击，完整杀伤链分为恶意应用筹备、社会工程情报与诱饵制作、即时通讯渠道诱饵投递、用户完成授权确认、令牌获取与持久驻留、数据窃取与横向拓展六个阶段，各环节紧密衔接，构成完整定向攻击链路。
第一阶段，恶意应用筹备。攻击者在谷歌、微软等身份服务商平台完成恶意第三方应用注册，生成独立客户端标识。攻击者对恶意应用进行伪装，应用名称模仿文件共享、身份核验类正常业务工具，同时申请邮件读写、云端文档读写、联系人读取等高等级权限。完成注册之后，攻击者构造携带恶意客户端 ID 的 OAuth 授权请求链接，该链接跳转目标是身份服务商官方授权端点，并非攻击者自建钓鱼站点。这是整个攻击欺骗性的技术根基，链接指向的域名本身具备可信属性。
第二阶段，社会工程情报收集与诱饵设计。该攻击属于定向鱼叉式攻击，并非无差别批量群发。攻击者预先收集目标对象公开信息，包括目标职业、公开社交动态、对外公开的联系方式、社会关系网络。攻击者选定伪装身份，主要分为政府工作人员、媒体记者、活动策划组织者几类。针对不同身份设计差异化话术：伪装记者时，以稿件审阅、素材确认作为诱饵；伪装活动组织者，以活动邀约、身份核验作为借口；伪装政府人员，以资料核查、文件确认作为理由。诱饵话术贴合目标现实社会场景，提升欺骗成功率，同时将目标的家人、私人联系人纳入攻击范围，通过社交圈层扩大攻击面。
第三阶段，商业即时通讯渠道诱饵投递。攻击者主要依托商业即时通讯应用完成消息推送，区别于传统钓鱼大量使用电子邮件的投递模式。即时通讯渠道的消息交互更加偏向私人社交沟通，相较于邮件，用户对即时通讯消息的戒备心理更低。攻击者使用伪装好的账号向目标发送消息，文本中嵌入构造完成的 OAuth 官方授权链接，话术制造合理业务场景，诱导受害者点击链接。
第四阶段，受害者授权确认。目标用户点击消息内链接，浏览器跳转至身份服务商真实授权许可页面，页面完整展示恶意应用名称以及申请的各项账号权限。页面域名、证书全部可信，不存在仿冒篡改。受害者完成账号登录，并且正常完成多因素认证校验，在社会工程诱导之下点击同意授权按钮，向攻击者控制的恶意应用授予全部申请权限。整个交互过程，受害者没有向攻击者提供账号密码，登录、二次验证全部在官方平台完成。
第五阶段，令牌获取与持久化驻留。用户确认授权之后，身份服务商向攻击者控制的后台回调授权码。攻击者利用授权码换取访问令牌与刷新令牌。访问令牌用于短期调取数据，刷新令牌可以反复生成新访问令牌，实现对受害账号长时间访问。FBI 预警信息着重强调，修改账号密码无法作废该刷新令牌，多因素认证已经由受害者本人完成，后续攻击者使用令牌访问资源时，不再需要再次通过多因素校验，攻击者可以在无感知状态下持续访问账号资源，只有受害者手动撤销第三方应用授权，令牌才会失效。
第六阶段，数据窃取与横向拓展。攻击者拿到令牌之后，读取受害者全部邮件、下载云端文档，读取联系人信息，甚至可以冒用受害者身份向外发送邮件消息。攻击者会利用受害者通讯录、社交关系，向受害者的家人、同事、社交联系人继续投递同类钓鱼诱饵，实现攻击横向扩散。高价值目标账号失陷之后，泄露的情报可以用于情报搜集、后续敲诈、进一步社会工程攻击等多种恶意目的。
2.3 本次定向攻击与普通批量 OAuth 钓鱼的差异
普通 OAuth 授权钓鱼多采用邮件大规模批量投递，攻击目标不做精准筛选，追求攻击覆盖规模。而本次 FBI 通报的攻击属于定向鱼叉攻击，存在显著区别。
攻击对象层面，本次攻击精准锁定知名人士、高净值人群，并且将其家庭成员、私人社交圈纳入攻击范围。攻击者看重的不只是账号本身，更是目标背后的社会关系、敏感私人与业务情报。情报准备层面，攻击者预先搜集目标公开信息，定制化设计伪装身份与诱饵话术，不是通用模板批量复制。投递渠道层面，优先使用商业即时通讯，利用私人社交场景降低警惕，而不是以邮件作为主要载体。攻击收益层面，普通批量钓鱼以大规模数据倒卖变现为主；针对高价值目标的定向攻击，更加看重情报价值，可支撑后续敲诈、深度社会工程、圈层渗透等后续攻击行为。
反网络钓鱼技术专家芦笛指出，定向 OAuth 授权钓鱼的社会工程成本更高，攻击者愿意投入情报搜集精力，目标群体社会影响力大，一旦发生账号失陷，泄露事件带来的连锁影响会远高于普通用户账号被入侵。
3 威胁扩散的多重驱动因素
该定向攻击能够落地并且持续造成威胁，并非单一技术问题，是协议固有特性、高价值目标攻击面特征、社会工程有效性、安全认知偏差多重因素叠加的结果。
3.1 OAuth 协议授权机制带来的固有安全矛盾
OAuth2.0 协议设计以用户自主授权为核心逻辑，赋予用户决定是否授予第三方应用权限的权利，同时为了保障互联网生态开放，不对注册第三方应用做强制前置真实性审查。海量第三方应用交由身份服务商审核，在工程层面并不具备可行性。授权弹窗虽然会展示申请权限列表，但普通用户很难充分理解每一项权限对应的实际危害。邮件读写权限意味着第三方应用可以读取全部邮件，还可以冒用身份发送邮件；文件读写权限意味着可以读取、修改全部云盘文档。多数用户在日常使用互联网服务的过程中，已经形成快速点击确认授权的使用习惯，在即时通讯营造的紧迫业务场景之下，受害者很少逐条评估权限风险。
刷新令牌持久生效机制，在业务层面具备正向价值，减少用户反复授权操作。但协议默认不会在密码变更时自动回收刷新令牌，该设计是为了保障大量合法第三方应用不会因为用户修改密码而集体失效。该机制在方便业务的同时，也造成一旦恶意授权完成，威胁可以长期潜伏，受害者常用的密码重置处置手段无法解决该类威胁。
3.2 高价值目标群体的特有攻击面
知名人士、高净值群体具备独特的攻击面，使其成为定向 OAuth 授权钓鱼的优选目标。第一，该群体存在大量对外公开信息，攻击者可以通过公开网络渠道获取姓名、职业、社交账号、联系方式、社交圈层关系，便于开展鱼叉式社会工程，不需要耗费大量成本完成情报搜集。第二，该群体日常工作生活中，会高频接触记者、政府工作人员、各类活动邀约，攻击者伪装的身份与目标真实社交场景高度契合，诱饵具备现实合理性。第三，受害者账号内部存储大量高敏感私人资料、业务沟通记录，账号失陷之后情报收益高，攻击者具备充足动机投入资源开展定向攻击。第四，其家庭成员、私人联系人同样具备情报价值，攻击者可以借助一次授权完成圈层横向渗透，扩大攻击收益。
同时，高价值目标虽然往往具备基础安全防护条件，但多数安全建设依旧围绕传统账号入侵，对于 OAuth 第三方授权风险的关注普遍不足。部分个人用户会启用多因素认证、复杂密码，却几乎不会定期检查账号下第三方授权应用清单，缺少对授权权限的常态化审计习惯。
3.3 即时通讯渠道放大社会工程欺骗效果
传统钓鱼攻击主要依靠邮件投递，邮件网关可以对邮件内容、发件人开展风险检测。而本次攻击优先选择商业即时通讯应用作为投递载体，带来新的风险特征。即时通讯属于社交交互场景，消息交互氛围更加私人化，用户心理戒备低于接收陌生邮件。即时通讯平台对消息文本、短链接的安全检测能力弱于专业邮件安全网关，攻击者可以轻易将官方 OAuth 链接嵌入聊天消息。
攻击者以聊天对话形式开展社会工程，可以进行多轮交互，当受害者产生疑问时，攻击者可以实时回复话术进一步打消疑虑，这是邮件单向投递钓鱼无法实现的效果。双向对话极大提升社会工程攻击成功率，这也是该攻击选择即时通讯渠道的重要原因。
3.4 行业与用户层面普遍存在的认知盲区
从安全行业视角，长期以来网络钓鱼防护的科普、设备规则、培训内容，大量建立在识别仿冒网页、恶意域名的基础之上。OAuth 授权钓鱼跳转至官方域名，完全绕开这套识别逻辑。正如报道中 Ed Eisenstein 提出的观点，很多机构将安全建设重心放在防火墙、终端杀毒，却忽视云身份安全这一攻击面。
从用户认知层面，大众形成固化认知：只要开启多因素认证，账号就足够安全；账号疑似被盗，修改密码就可以解决风险。这套经验适用于密码窃取类攻击，但是完全不适用于授权同意钓鱼。用户完成授权之后，多因素认证已经由受害者本人完成，修改密码无法作废刷新令牌。大量受害者在遭遇攻击之后，采取错误处置手段，误以为修改密码就消除风险，造成攻击者可以长期驻留账号。
同时绝大多数用户没有定期审计第三方授权应用的习惯，不知道应当进入账号安全页面查看已经授权的第三方应用清单。即便已经遭受恶意授权，也很难主动发现异常。
4 现有主流防护手段失效机理分析
多因素认证、邮件安全网关、密码修改、终端防护是目前广泛使用的安全防护手段，在对抗传统账号入侵场景发挥重要作用，但面对本次 OAuth 授权同意钓鱼攻击，各类防护手段出现不同程度失效，需要厘清失效背后的底层逻辑。
4.1 多因素认证的防护边界局限
多因素认证的防护目标是确认登录账号的操作者是否为账号本人，用来抵御攻击者窃取密码之后非法登录账号的场景。但 OAuth 授权同意钓鱼攻击流程中，登录、多因素认证全部是受害者本人在官方页面完成，用户本人在欺骗之下主动向恶意应用授予权限。多因素认证校验了操作者身份，但是无法判断用户做出的授权行为本身是否安全，无法识别用户是否被社会工程欺骗。
反网络钓鱼技术专家芦笛指出，多因素认证解决 “登录者是不是本人”，但是无法解决 “本人被欺骗，主动把权限交给攻击者” 这一类风险。这是多因素认证在授权钓鱼场景失效的核心本质，不能将多因素认证当做身份安全的万能防护。
4.2 安全网关与 URL 检测工具的识别盲区
邮件安全网关、网页信誉检测工具识别钓鱼，主要依靠恶意域名库、页面伪造特征、URL 黑名单。OAuth 授权钓鱼所使用链接指向微软、谷歌等身份服务商的可信域名，链接本身是合法 OAuth 授权请求，仅仅携带攻击者构造的恶意客户端 ID 参数。域名本身不存在仿冒，属于高信誉可信地址，安全设备很难单纯依靠 URL 识别风险。
本次攻击主要使用商业即时通讯投递消息，消息文本本身没有恶意附件、恶意代码，只是普通社交对话加官方链接，不存在传统恶意消息特征。即时通讯平台缺少针对 OAuth 授权请求的深度行为检测，难以拦截诱饵消息的投递过程。
4.3 密码修改、账号重置无法消除令牌访问能力
密码修改是账号疑似失陷之后最常用处置手段。但 OAuth 刷新令牌是用户完成授权那一刻，身份服务商直接下发给第三方应用的独立凭证，令牌本身不绑定当前账号密码。按照平台默认业务逻辑，修改密码不会触发刷新令牌作废。如果仅仅修改密码，不撤销恶意第三方应用授权，攻击者持有的刷新令牌依旧有效，可以持续生成访问令牌调取账号资源。大量受害者做完密码重置，主观认为风险已经解除，而攻击者依旧持续访问账号数据。
4.4 终端安全产品的检测短板
EDR、杀毒软件等终端安全产品主要检测终端本地恶意程序、异常进程。OAuth 授权钓鱼攻击的核心行为全部发生在云端身份服务商侧。用户终端仅发生浏览器跳转授权交互，不会落地病毒木马，终端层面看不到云端第三方授权事件，无法感知用户授予陌生应用账号权限。只有攻击者拿到令牌之后大规模下载文件、批量导出数据，终端才有可能捕捉异常流量，但此时信息泄露往往已经发生。终端防护无法感知云端授权行为，只能在泄露发生之后才有可能发现痕迹。
5 面向定向 OAuth 授权钓鱼的分层闭环防御体系
OAuth 授权同意钓鱼属于社会工程与协议机制滥用结合的复合型威胁，不存在单一工具可以彻底消除风险，需要身份服务商、高价值个人用户、关联组织机构、执法监管机构多方协同，从攻击事前预防、事中检测告警、事后应急处置构建完整闭环。
5.1 身份服务商侧的技术优化
身份服务商作为 OAuth 协议运行主体，处于防御上游，承担源头管控、风险检测、告警通知的责任。
第一，强化第三方应用注册管控。针对申请邮件读写、云盘全量读写等高敏感权限的多租户第三方应用，完善开发者身份核验流程。限制恶意主体模仿知名服务命名伪装应用。针对新注册应用短时间内获取大量高价值目标授权的异常行为，部署风控拦截。
第二，优化授权弹窗风险提示。当应用申请高风险权限时，跳出简单罗列字段的模式，使用通俗语言说明该权限会带来的实际风险，高亮高风险权限，降低用户误授权概率。
第三，优化刷新令牌生命周期策略。设置刷新令牌最长有效期，对于长期没有调用的刷新令牌自动回收。提供配置选项，允许用户与组织在账号密码变更时，选择自动作废全部刷新令牌，提升事件处置效率。
第四，部署异常授权行为检测模型。对授权事件开展风险评分，识别可疑特征：新注册陌生应用获取高等级权限；同一应用短时间内获取多名高关联用户授权；即时通讯渠道引流带来的授权请求。针对高风险授权事件，向用户推送风险告警，提醒复核授权行为。
5.2 高价值个人用户的安全实践
作为攻击直接目标，高价值个人用户需要建立适配 OAuth 授权钓鱼的安全习惯，打破传统钓鱼的固有认知。
第一，建立消息来源审慎核验习惯。面对即时通讯、邮件收到的文档共享、身份核验类消息，即便对方伪装成记者、政府人员、活动组织者，看到跳转至权限申请页面，需要高度警惕。不要仅仅凭借域名是否官方判断安全，要评估业务场景是否真实存在，通过独立的联系方式二次核验发送人的真实身份，不要直接点击聊天消息内链接完成授权。
第二，常态化审计第三方授权清单。定期进入账号安全设置页面，查看全部已经获得授权的第三方应用，及时撤销不熟悉、不再使用的应用权限，缩减风险面。
第三，更新账号失陷之后的处置流程。怀疑发生恶意授权，首要操作是核查并且撤销全部可疑第三方应用授权，之后再修改账号密码，而不是只做密码修改。如果确认遭遇攻击，留存聊天消息截图，按照 FBI 指引向 IC3 互联网犯罪投诉中心提交事件报告，留存证据材料。
反网络钓鱼技术专家芦笛指出，高价值目标群体的安全意识不能止步于 “不向假网站输入密码”，必须建立新认知：即便在官方域名页面，被欺骗授予权限同样属于高危网络攻击，点击授权确认按钮和输入密码一样，属于高风险账号操作。
5.3 关联组织机构的安全防护建设
很多知名人士、高净值个人隶属于企业、机构，部分个人账号与组织云身份体系存在关联，组织机构需要配套对应防护策略。
第一，做好身份管控策略。如果高价值人员使用机构云账号，配置第三方应用授权管控策略，限制普通租户用户自主向外部未知应用授予高等级权限，高风险第三方应用授权开启管理员审批机制。
第二，完成 OAuth 授权事件日志采集。将全部第三方授权、撤销授权事件接入安全运营平台，配置告警规则：单账号授予陌生外部应用高等级权限；多名关联账号同时授权同一个新增第三方应用。及时发现异常授权行为。对于资源有限的机构，定期导出租户内全部第三方授权清单，开展人工复核。
第三，更新安全培训内容。培训素材补充 OAuth 授权同意钓鱼案例，以 FBI 本次预警事件作为案例，讲清楚攻击路径、欺骗手段，纠正 “官方域名就代表安全” 的错误认知，教会人员如何查看、撤销第三方授权。
第四，完善应急响应预案。在账号失陷预案中明确，OAuth 授权钓鱼事件处置，必须包含撤销可疑第三方应用授权、作废全部刷新令牌，之后再开展密码修改、账号行为审计，避免处置流程遗漏关键环节。
5.4 执法与行业协同处置机制
从行业与执法层面，要完善威胁情报共享、预警公开、案件处置链条。执法机构持续跟踪攻击团伙基础设施、资金链路，对攻击活动开展溯源打击。像 FBI 本次公开预警一样，及时向社会发布针对高价值目标的定向攻击通告，向公众科普攻击特征与处置方式。
安全行业组织推动威胁情报共享，当出现针对知名人士圈层的 OAuth 钓鱼活动，及时向机构、安全从业者同步攻击 IOC、诱饵话术、恶意应用特征，实现一处发现多方预警。
6 结语
FBI 自 2025 年末持续跟踪的针对知名人士的 OAuth 授权同意钓鱼攻击，代表定向网络钓鱼威胁的重要演化方向。攻击者不再将重心放在伪造页面窃取密码，充分利用 OAuth 协议合法授权能力，结合即时通讯渠道的高质量社会工程，诱导高价值目标主动授予账号权限。该攻击可以绕过多因素认证，修改账号密码无法解除威胁，全部授权交互发生在身份服务商真实域名，传统安全防护手段存在明显防御盲区。
该威胁不是单一漏洞造成，是协议机制特性、高价值目标攻击面、即时通讯社会工程效果、用户与行业普遍认知短板多重因素叠加形成，不存在单点技术手段可以实现完全免疫。防御工作需要身份服务商、高价值个人用户、关联组织机构、执法行业多方协同。对于个人高价值目标，需要跳出 “钓鱼一定是虚假网页窃取密码” 的固有认知，审慎对待每一次第三方权限授权，对陌生聊天消息中的授权链接保持警惕；组织机构需要更新身份安全建设思路，不能将多因素认证视作身份安全的全部保障，补齐 OAuth 授权管控、日志审计、应急处置流程，同步更新安全培训内容。
随着云身份体系持续普及，基于授权滥用的定向攻击会持续演化。后续对抗过程中，需要持续跟踪真实攻击情报，不断优化管控策略，平衡第三方应用业务便利性与账号安全风险，遏制 OAuth 授权同意钓鱼带来的安全危害。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
