摘要
政府冒充型钓鱼是近年来快速扩散的一类定向网络欺诈，攻击者利用公共部门信息公开制度所暴露的行政流程数据，伪造政府机构身份向行政相对人发送欺诈性通知，以缴纳费用、补充材料、核验资质等名义骗取资金或敏感信息。圣地亚哥县规划与发展服务部发布的钓鱼公共警告，集中反映了此类攻击在规划许可审批场景下的典型形态：攻击者针对持有活跃土地使用许可申请的个人与企业，冒充规划与分区部门官员，在邮件中引用真实的许可申请编号、物业地址与项目信息，诱使受害者通过电汇、点对点支付或加密货币缴纳虚构的许可费用。本文以该事件为核心案例，系统梳理政府冒充型钓鱼在规划许可场景下的完整攻击链路，剖析攻击者在目标侦察、身份伪造、社会工程载荷构造、支付欺诈四个环节的技术机理，对比该攻击模式与传统广撒网钓鱼、商业邮件欺诈的差异特征，识别公共信息披露、行政流程信任盲区、中小企业防护能力不足、跨境资金追缴困难等深层成因。反网络钓鱼技术专家芦笛指出，规划许可场景下的钓鱼攻击之所以难以防范，根源在于攻击者所利用的信息全部来自合法公开渠道，邮件内容具备高度上下文相关性，传统基于发件域名与关键词的反钓鱼规则难以奏效。迪妙网络空间安全学院研究团队针对此类攻击，从政府部门身份核验机制、邮件边界防护、支付环节风险管控、行政相对人安全意识培育、跨部门协同响应五个维度，提出分层防御框架，并对攻击演化趋势进行研判。研究表明，单纯依赖邮件网关过滤无法形成有效防护，必须在政府服务流程中嵌入可验证的身份标识与支付渠道白名单机制，同时构建公共部门、金融机构与执法机构之间的信息共享与快速冻结通道，才能系统性遏制政府冒充型钓鱼攻击的蔓延。
1 引言
网络钓鱼攻击自诞生以来，始终围绕 "信任伪造" 这一核心逻辑展开演化。早期钓鱼攻击以仿冒银行、电商网站登录页面为主，攻击者批量发送同质化邮件，依靠概率筛选受害者。随着公众对虚假网站识别能力的提升，以及多因素认证、网页反钓鱼插件等防护手段的普及，传统广撒网钓鱼的成功率持续下降，攻击者开始转向更具针对性的定向攻击。商业邮件欺诈就是这一趋势的典型代表，攻击者通过入侵或仿冒企业高管邮箱，针对财务人员发起定向欺诈，单笔损失往往远超传统钓鱼。
政府冒充型钓鱼是定向钓鱼攻击在公共行政领域的延伸。与商业邮件欺诈瞄准企业内部资金流转不同，政府冒充型钓鱼瞄准的是行政相对人对政府机构的天然信任。在规划建设、土地管理、税务、工商等行政许可场景中，行政相对人在申请过程中本就需要与政府部门进行频繁的文书往来与费用缴纳，攻击者正是利用这一流程特征，伪造政府部门身份插入欺诈性通知。由于行政相对人难以在短时间内核实通知真伪，且政府收费事项本身具备强制性，受害者往往在未充分核验的情况下完成付款。
圣地亚哥县规划与发展服务部发布的钓鱼公共警告，为研究此类攻击提供了一个典型样本。该部门负责该县范围内的土地使用许可、建筑许可、分区审批等行政事项，其在线公民访问门户公开了大量许可申请记录，包括许可编号、项目地址、申请状态、申请人信息等。攻击者利用这些公开数据，筛选出持有活跃许可申请的目标，伪造部门官员身份发送邮件，在邮件正文中准确引用受害者的许可编号与物业地址，以缴纳规划审查费、分区变更费等名义要求付款，并指定电汇、点对点支付应用或加密货币作为支付渠道。这类攻击的欺诈性极强，因为邮件中所涉及的项目信息全部真实，受害者很难仅凭内容判断真伪。
当前国内外针对网络钓鱼的研究，多数集中在网页钓鱼识别、钓鱼邮件特征提取、用户安全行为分析等方向，针对政府冒充型钓鱼的专项研究仍然较少，尤其缺乏对规划许可这类特定行政场景下攻击机理的系统拆解。很多公共部门在发布钓鱼警告之后，仅停留在提醒公众 "不要轻信陌生邮件" 的层面，未能从制度设计、技术防护、流程优化等角度提出系统性的应对方案。迪妙网络空间安全学院研究团队在长期跟踪定向钓鱼攻击的过程中发现，政府冒充型钓鱼的攻击准备成本正在持续下降，攻击者可以通过自动化脚本批量抓取政府公开数据，生成高度定制化的钓鱼邮件，攻击规模与欺诈成功率均呈上升趋势。
反网络钓鱼技术专家芦笛认为，政府冒充型钓鱼的本质是公共信息透明度与行政流程安全性之间的张力。政府信息公开制度保障了公民知情权，但也为攻击者提供了精准目标筛选与载荷定制的数据来源。如何在不牺牲信息公开原则的前提下，构建有效的身份核验与欺诈防护机制，是公共部门网络安全治理面临的重要课题。本文以圣地亚哥县规划与发展服务部钓鱼警告所反映的攻击场景为核心案例，还原完整攻击链路，拆解各环节技术机理，分析攻击成功的深层条件，提出分层防御框架，并对未来演化趋势进行研判，以期为公共部门应对同类攻击提供参考。
2 案例背景与攻击场景特征
2.1 圣地亚哥县 PDS 钓鱼警告事件概述
圣地亚哥县规划与发展服务部是该县负责土地使用规划、建筑许可审批、分区管理、代码合规执法的行政机构。该部门通过在线公民访问门户为公众提供许可申请提交、进度查询、费用缴纳、记录搜索等服务。大量许可申请记录在该系统中处于可公开查询状态，任何访问者均可通过物业地址、许可编号或申请人姓名检索到对应的项目信息，包括申请类型、提交日期、当前审查状态、分配的审查人员等。
该部门发布的钓鱼公共警告，针对的是一系列冒充其工作人员的欺诈邮件。攻击者向近期提交过许可申请的个人与企业发送邮件，邮件发件人名称伪装成规划与发展服务部工作人员或审查部门，邮件正文引用受害者真实的许可申请编号与项目地址，声称该申请需要补缴某项费用，或需要完成某项行政核验，否则许可将被搁置或驳回。邮件附带伪造的发票或付款通知，要求受害者通过电汇、点对点支付应用或加密货币向指定账户付款。
与传统钓鱼邮件不同，这类邮件不包含恶意附件或钓鱼链接，其核心目的不是窃取账号密码，而是直接诱导资金转移。邮件中所引用的项目信息全部来自政府公开数据，因此内容具备高度真实性，受害者很难通过内容本身识别欺诈。部分攻击者还会在邮件中使用与政府部门视觉风格相似的信头、标志与排版格式，进一步增强迷惑性。
2.2 政府冒充型钓鱼的攻击场景特征
政府冒充型钓鱼在攻击场景上具备几个显著特征。第一，目标高度定向。攻击者不再随机发送邮件，而是通过抓取政府公开数据筛选出处于特定行政流程中的目标。在规划许可场景下，只有持有活跃许可申请的个人或企业才会收到攻击邮件，因为只有这类目标才会对 "缴纳许可费用" 这类通知产生合理预期。定向性大幅提升了攻击成功率。
第二，载荷高度上下文相关。攻击者在邮件中引用受害者的真实许可编号、物业地址、项目类型，甚至审查人员姓名。这些信息使邮件看起来像是政府部门针对具体项目发出的正式通知，而非批量发送的垃圾邮件。上下文相关性是此类攻击最核心的欺骗手段，它利用了行政相对人对 "政府部门掌握我的项目信息" 这一事实的正常预期，将欺诈性通知嵌入真实的行政流程语境之中。
第三，攻击目的以资金欺诈为主。不同于传统钓鱼以窃取凭证为目标，政府冒充型钓鱼在规划许可场景下的直接目的是骗取费用。攻击者利用行政收费事项的强制性与程序性，将欺诈性付款要求包装成正常的行政缴费。由于规划许可过程中确实存在多种名目的费用，受害者往往难以判断某项收费是否真实存在。
第四，支付渠道刻意规避传统银行体系。攻击者指定电汇、点对点支付应用或加密货币作为付款方式，这些渠道具备转账速度快、可逆性差、跨境追踪困难等特点。一旦受害者完成付款，资金往往在短时间内被多层转移或兑换，追缴难度极大。
2.3 与传统钓鱼及商业邮件欺诈的差异
政府冒充型钓鱼与传统广撒网钓鱼在多个维度存在本质差异。传统钓鱼的目标是随机互联网用户，载荷内容同质化，欺骗手段依赖仿冒网站；政府冒充型钓鱼的目标是经过筛选的特定行政相对人，载荷内容高度定制化，欺骗手段依赖真实行政流程语境。传统钓鱼的成功率通常在极低水平，攻击者依靠庞大发送量弥补；政府冒充型钓鱼的单次发送量小，但单封邮件的欺诈成功率显著更高。
政府冒充型钓鱼与商业邮件欺诈也存在区别。商业邮件欺诈通常发生在企业内部或企业之间，攻击者冒充企业高管或合作伙伴，针对财务人员发起欺诈，资金流向企业账户或个人账户；政府冒充型钓鱼发生在公共行政领域，攻击者冒充政府机构，针对行政相对人发起欺诈，资金流向攻击者控制的匿名账户。商业邮件欺诈往往需要攻击者先入侵企业邮箱系统或收集企业内部组织信息，攻击准备成本较高；政府冒充型钓鱼的数据来源是政府公开信息，攻击者无需入侵任何系统即可完成目标筛选与载荷定制，攻击门槛更低。
反网络钓鱼技术专家芦笛强调，政府冒充型钓鱼最值得警惕之处在于其 "合法数据滥用" 特征。攻击者所使用的全部信息 —— 许可编号、物业地址、申请状态、审查人员姓名 —— 均来自政府部门依法公开的公共记录。攻击者没有入侵任何系统，没有窃取任何非公开数据，仅仅是将公开信息重新组合用于欺诈。这一特征使得传统的 "防入侵、防泄露" 安全思路对此类攻击几乎无效，因为攻击所依赖的数据从源头上就是公开的。
3 攻击链路与技术机理分析
政府冒充型钓鱼在规划许可场景下的完整攻击链路，可以划分为四个阶段：目标侦察与信息收集、伪造身份与社会工程载荷构造、投递与交互操纵、支付欺诈与资金转移。四个阶段依次推进，前一阶段的输出构成后一阶段的输入，形成闭环攻击链。
3.1 目标侦察与信息收集
攻击的起点是目标筛选。攻击者首先需要识别出哪些个人或企业正处于规划许可申请流程中，因为只有这类目标才会对 "缴纳许可费用" 的通知产生合理预期。圣地亚哥县规划与发展服务部的在线公民访问门户提供了公开的记录搜索功能，攻击者可以通过批量检索获取全县范围内的活跃许可申请列表。
在信息收集环节，攻击者通常采用自动化脚本对政府公开查询接口进行批量爬取。脚本可以按地址范围、许可类型、提交日期等维度遍历检索，提取每条记录中的许可编号、项目地址、申请类型、申请人姓名、审查状态、分配的审查人员等字段。这些字段被结构化存储后，用于后续生成定制化钓鱼邮件。由于政府公开查询接口通常不设严格的访问频率限制，也不要求身份认证，攻击者可以在短时间内获取大量目标数据。
除了在线门户，攻击者还会利用其他公开信息源交叉补充目标数据。县评估员办公室的不动产记录可以提供物业所有人的联系信息；州务卿的商业注册数据库可以提供企业实体的注册地址与代理人信息；专业执照数据库可以提供建筑师、承包商等许可申请人的联系方式。通过多源数据交叉，攻击者可以为每个目标构建较为完整的画像，包括姓名、联系方式、项目类型、项目地址、当前审批阶段等。
迪妙网络空间安全学院研究团队在对同类攻击的追踪中发现，攻击者的目标筛选逻辑正在日益精细化。早期攻击者仅筛选 "持有活跃许可申请" 的目标，现在则进一步根据许可类型、申请阶段、项目估值等维度排序优先级。例如，处于 "计划审查" 阶段的商业开发项目，涉及的费用金额通常较高，且申请人（开发商、承包商）对行政缴费流程较为熟悉，警惕性相对较低，因此被攻击者列为高优先级目标。
3.2 伪造身份与社会工程载荷构造
在完成目标筛选与信息收集之后，攻击者进入载荷构造阶段。这一阶段的核心任务是伪造政府部门身份，并生成足以以假乱真的欺诈性通知。
身份伪造包含几个层面。首先是发件人身份伪造。攻击者注册与政府部门名称相似的域名，或者使用免费邮箱搭配政府部门名称作为显示名。部分技术能力较强的攻击者会利用邮件服务器配置漏洞，通过发件人地址欺骗技术使邮件看起来直接来自政府域名。其次是视觉身份伪造。攻击者在邮件中使用与政府部门官方信头相似的标志、配色、排版格式，甚至复制政府网站的页脚与免责声明文字，使邮件在视觉上与官方通知高度一致。第三是人员身份伪造。攻击者在邮件中署名真实的政府审查人员姓名，这些姓名同样来自公开的许可申请记录，进一步增强邮件的可信度。
载荷内容的构造是社会工程学的核心。攻击者根据每个目标的具体项目信息，生成定制化邮件正文。正文通常包含以下要素：以政府部门名义的正式称呼；对受害者具体项目的引用，包括许可编号与物业地址；虚构的收费事项说明，声称该项目因某种原因需要补缴某项费用或完成某项核验；付款截止日期与逾期后果，制造时间压力；付款方式说明，指定电汇、点对点支付应用或加密货币；伪造的发票或付款通知附件。
在收费事项的虚构上，攻击者会研究目标政府部门的真实收费目录，选择名称相近但实际不存在的收费项目，或者将真实存在的收费项目包装成需要额外补缴的形式。例如，规划许可过程中确实存在 "计划审查费" 这一收费项目，攻击者便虚构 "补充计划审查费" 或 "加速审查费"，利用受害者对收费明细不熟悉的特点实施欺诈。
时间压力是社会工程载荷中至关重要的元素。攻击者在邮件中设定较短的付款截止日期，通常为三到五个工作日，并声称逾期将导致许可申请被驳回、项目停工或产生滞纳金。这种时间压力压缩了受害者的核验决策时间，使其倾向于直接付款而非通过官方渠道核实通知真伪。反网络钓鱼技术专家芦笛指出，时间压力是所有社会工程攻击中最有效的操纵手段之一，它通过制造紧迫感抑制受害者的理性判断，使欺诈行为在受害者完成核验之前就已经发生。
3.3 投递与交互操纵
载荷构造完成后，攻击者进入投递阶段。邮件投递通常采用批量发送与个性化分发相结合的方式。攻击者使用邮件群发服务或自建邮件服务器，将定制化邮件批量发送至目标列表。为规避邮件网关的垃圾邮件过滤，攻击者会采用多种技术手段：使用多个发送域名轮换，避免单一域名被快速拉黑；控制发送频率，避免短时间内大量邮件触发阈值；在邮件正文中避免使用明显的欺诈关键词，而是使用正式的行政公文用语；对邮件内容进行轻微随机化处理，避免完全相同的邮件被批量识别。
在投递之后，部分攻击者会设置交互式响应机制。如果受害者回复邮件表示疑问，攻击者会以政府工作人员的口吻继续对话，解答受害者的疑问，催促其完成付款。这种交互式操纵进一步增强了攻击的迷惑性，因为受害者在与 "工作人员" 的对话中获得了回应，更容易相信对方的真实身份。部分攻击者还会提供伪造的联系电话，当受害者致电核实时，由同伙扮演政府工作人员继续实施欺诈。
交互操纵的另一个重要环节是异议处理。当受害者对收费事项提出质疑时，攻击者会准备一套标准化的解释话术，例如 "这是今年新实施的收费项目"" 您的申请触发了额外审查程序 ""费用将在许可发放时统一结算" 等，利用行政流程的复杂性与不透明性消解受害者的疑虑。迪妙安全研究团队在分析多起同类攻击的邮件对话记录后发现，攻击者的异议处理话术日益专业化，部分话术甚至直接引用政府部门公开的收费政策文件片段，断章取义地为虚构收费提供 "依据"。
3.4 支付欺诈与资金转移
攻击的最终环节是支付欺诈与资金转移。当受害者按照邮件指引完成付款后，攻击者需要在最短时间内将资金转移至安全位置，避免被冻结或追缴。
电汇是攻击者最常使用的支付渠道之一。攻击者提供的收款账户通常是用虚假身份注册的壳公司账户或个人账户，开设在与受害者不同的国家或地区。受害者完成电汇后，资金在到达收款账户后数小时内被分散转移至多个二级账户，再进一步转移至三级账户或兑换为加密货币。这种多层转移使得资金追踪极为困难，执法机构需要跨境协作才能逐层追查，而每一层转移都消耗大量时间。
点对点支付应用也是攻击者偏好的渠道。这类应用的转账通常即时到账且不可逆，用户只需要一个邮箱或手机号即可收款。攻击者使用一次性注册的匿名账户接收付款，收到资金后立即提现或转移，账户随即弃用。由于点对点支付应用的用户身份核验强度参差不齐，攻击者可以较容易地获得匿名收款能力。
加密货币在政府冒充型钓鱼中的使用正在增加。加密货币具备去中心化、跨境流动、交易不可逆等特点，是攻击者隐匿资金流向的理想工具。部分攻击者直接要求受害者以比特币或其他加密货币付款，提供钱包地址；另一些攻击者则在收到电汇或点对点支付资金后，迅速通过加密货币交易所兑换为加密货币，切断资金的法币追踪链路。
资金转移环节的高效率是此类攻击损失难以挽回的核心原因。从受害者完成付款到资金被多层转移至难以追踪的位置，通常只需要数小时。而受害者从发现被骗到报警、再到执法机构发起冻结请求，往往已经过去数天，资金早已转移完毕。反网络钓鱼技术专家芦笛强调，政府冒充型钓鱼的防御重心必须前移至付款决策之前，事后的资金追缴在绝大多数情况下只能追回极小比例的损失。
4 攻击成因与深层风险分析
政府冒充型钓鱼在规划许可场景下能够持续成功，并非单一因素所致，而是公共信息披露制度、行政流程设计、市场主体防护能力、跨境治理机制等多重因素叠加的结果。只有深入理解这些深层成因，才能构建真正有效的防御体系。
4.1 政府信息公开制度带来的信息暴露
政府信息公开是现代民主治理的基本原则，规划许可领域的信息公开尤为重要。土地使用规划、建筑许可、分区审批等事项直接关系到公共利益与相邻权益，法律通常要求政府部门将许可申请的基本信息向社会公开，接受公众监督与异议。圣地亚哥县规划与发展服务部的在线公民访问门户正是这一制度的体现，公众可以查询任意许可申请的编号、地址、类型、状态等信息。
然而，信息公开制度在保障公民知情权的同时，也为攻击者提供了精准目标筛选与载荷定制的数据来源。攻击者无需入侵任何系统，仅通过正常的公开查询渠道即可获取大量目标数据。更值得关注的是，公开数据中包含的审查人员姓名、申请阶段等细节信息，使攻击者能够构造出高度逼真的欺诈邮件。受害者看到邮件中准确引用了自己的许可编号与项目地址，自然会认为发件人确实是掌握这些信息的政府工作人员。
这一成因的深层矛盾在于，信息公开与信息安全之间存在张力。如果为了防范钓鱼攻击而大幅限制规划许可信息的公开范围，将损害公众知情权与行政透明度，也不符合法律要求；但如果维持当前的公开粒度，攻击者就可以持续利用这些数据实施精准欺诈。如何在两者之间找到平衡点，是公共部门需要认真思考的制度设计问题。
迪妙网安研究团队提出，信息公开的粒度可以进行差异化设计。对于不涉及个人隐私的项目基本信息（如许可类型、地址、状态），维持公开查询；对于可能被用于社会工程攻击的敏感字段（如审查人员姓名、申请人联系方式、详细缴费记录），可以设置查询门槛，例如要求实名注册后查询，或者对批量查询行为进行频率限制。这种差异化设计既保障了公众的基本知情权，又增加了攻击者批量收集目标数据的难度。
4.2 许可申请流程中的信任盲区
规划许可申请流程本身存在一些信任盲区，为政府冒充型钓鱼提供了可乘之机。第一个盲区是收费事项的复杂性。规划许可过程中涉及多种名目的费用，包括申请费、计划审查费、建筑许可费、影响费、检查费等，不同类型、不同规模的项目适用的收费标准各不相同。普通申请人甚至部分专业承包商都难以完全掌握所有收费项目与标准，这使得攻击者虚构的收费项目很难被受害者当场识别。
第二个盲区是沟通渠道的多样性。在许可申请过程中，申请人可能通过邮件、电话、纸质信函等多种渠道与政府部门沟通，政府部门也可能通过不同渠道发送缴费通知。这种沟通渠道的多样性使得申请人很难建立 "政府部门只会通过某种特定渠道通知缴费" 的明确预期。当攻击者通过邮件发送欺诈性缴费通知时，受害者不会因为渠道不符而产生怀疑。
第三个盲区是审查人员的个人工作方式。在实际审批过程中，审查人员可能直接与申请人通过个人工作邮箱沟通，讨论项目细节与补正要求。这种个性化的工作方式使得申请人习惯于接收来自具体审查人员的直接邮件。攻击者冒充审查人员发送邮件时，正好契合了申请人的这一沟通习惯。
反网络钓鱼技术专家芦笛指出，信任盲区的本质是行政流程缺乏标准化的身份验证机制。在规划许可场景中，申请人没有可靠的手段来验证一封自称来自政府部门的邮件是否真实。邮件中没有可验证的数字签名，缴费通知中没有可核验的唯一验证码，付款账户信息没有官方白名单可供比对。在这种缺乏验证机制的环境下，受害者只能依靠邮件内容的合理性来判断真伪，而攻击者恰恰可以通过滥用公开数据使内容看起来完全合理。
4.3 中小企业与个人申请者的防护短板
政府冒充型钓鱼的受害者群体中，中小企业与个人申请者占比最高，这一群体在网络安全防护能力上存在明显短板。大型企业通常设有专门的财务部门与法务部门，对外付款有严格的审批流程与核验机制，收到可疑缴费通知后会通过官方渠道核实；而中小企业与个人申请者往往缺乏这类流程，付款决策由项目负责人或业主个人做出，核验意识与核验能力均不足。
在规划许可场景下，很多个人申请者是首次接触建房或装修许可流程，对行政收费项目完全不了解，收到政府部门名义的缴费通知后倾向于直接配合。中小建筑承包商虽然对许可流程较为熟悉，但通常业务繁忙、人员精简，财务人员同时处理多个项目的缴费事务，容易在忙碌中疏于核验。攻击者正是瞄准了这一群体的决策特点，将其作为主要攻击目标。
此外，中小企业与个人申请者在邮件安全防护上的投入也十分有限。大型企业通常部署企业级邮件安全网关，具备高级威胁检测、发件人身份验证、可疑附件沙箱分析等能力；而中小企业与个人申请者通常使用免费邮箱或基础办公套件，邮件防护能力较弱，难以识别精心构造的钓鱼邮件。即使邮件被标记为可疑，很多用户也会因为邮件内容看起来 "很真实" 而忽略警告。
迪妙网络空间安全学院研究团队的调研数据显示，在遭受政府冒充型钓鱼的受害者中，员工人数少于二十人的小微企业与个人申请者占比超过七成。这一数据表明，防护能力薄弱的市场主体是此类攻击的主要受害者，防御体系的设计必须充分考虑这一群体的实际能力，不能假设所有受害者都具备企业级的安全防护与核验流程。
4.4 跨境执法与资金追缴的困难
政府冒充型钓鱼的攻击者大多位于境外，攻击基础设施与资金账户分布在多个国家，这给执法与追缴带来了巨大困难。攻击者使用的发送服务器、域名注册商、虚拟专用网络服务通常位于司法管辖范围之外，受害者所在国的执法机构难以直接调查取证。资金账户开设在第三国，且经过多层转移后最终流向加密货币，传统的银行冻结机制难以触及。
跨境执法协作本身流程复杂、耗时较长。即使受害者及时报警，执法机构也需要通过国际刑警组织或双边司法协助渠道请求他国配合调查，这一过程通常需要数周甚至数月。而攻击者的资金转移在数小时内即可完成，等跨境协作启动时，资金早已被转移至难以追踪的位置。在实际案例中，政府冒充型钓鱼的资金追缴率极低，绝大多数受害者无法追回损失。
加密货币的广泛使用进一步加剧了追缴困难。虽然加密货币交易记录在区块链上公开可查，但攻击者可以使用混币服务、跨链兑换、去中心化交易所等手段切断交易链路的可追踪性。执法机构即使追踪到某个加密货币地址，也很难将地址与真实身份关联，更无法直接冻结去中心化钱包中的资产。
这一深层成因意味着，事后追责与追缴无法作为应对政府冒充型钓鱼的主要手段。防御资源必须投入到攻击发生之前的预防环节，通过技术手段与制度设计阻止受害者做出付款决策，而非寄希望于事后追回资金。
5 防御体系构建
针对政府冒充型钓鱼在规划许可场景下的攻击机理与深层成因，防御体系的构建必须遵循 "前移防线、多层验证、协同治理" 的原则，从政府部门侧、邮件边界侧、支付环节侧、行政相对人侧、跨部门协同侧五个维度构建分层防御框架。
5.1 政府部门侧的身份核验与信息披露优化
政府部门是防御体系的核心节点，因为攻击者伪造的正是政府部门的身份。政府部门应当首先建立标准化的官方身份标识机制，使行政相对人能够可靠地验证通知真伪。具体措施包括：对所有官方缴费通知添加可验证的数字签名或唯一验证码，申请人可以在政府官方网站上输入验证码核验通知真实性；在官方网站上公布所有合法收费项目的完整目录与标准，使申请人可以对照查询某项收费是否真实存在；公布官方付款账户白名单，明确告知公众政府部门只会使用白名单内的账户收取费用，任何要求向其他账户付款的通知均为欺诈。
在信息披露方面，政府部门应当优化公开数据的粒度与访问控制。对于许可申请的基本信息（类型、地址、状态），维持公开查询以保障公众知情权；对于可能被用于社会工程攻击的敏感字段（审查人员姓名、申请人联系方式、缴费明细），设置查询门槛或脱敏展示。同时，对公开查询接口实施访问频率限制与异常行为检测，识别并拦截批量爬取行为。虽然无法完全阻止攻击者收集公开数据，但可以大幅提高其数据收集成本，降低攻击的规模化程度。
反网络钓鱼技术专家芦笛强调，政府部门还应当建立主动通知机制。当系统检测到某个许可申请的相关信息被大量查询时，可以主动向申请人发送安全提醒，告知其可能成为钓鱼攻击目标，提醒其注意核验后续收到的缴费通知。这种主动预警机制可以在攻击者投递邮件之前就提升受害者的警惕性，显著降低攻击成功率。
5.2 邮件安全与边界防护
邮件是政府冒充型钓鱼的主要投递渠道，邮件安全防护是防御体系的重要环节。对于使用企业邮箱的申请人，企业应当部署具备高级威胁检测能力的邮件安全网关，启用发件人身份验证协议，对来自外部域名但声称是政府机构的邮件进行重点标记。邮件网关应当能够识别政府冒充型钓鱼的典型特征，包括：发件人域名与政府官方域名相似但不一致、邮件正文包含许可编号与物业地址等高度定制化内容、邮件要求通过电汇或加密货币付款、邮件包含制造时间压力的措辞。
对于使用免费邮箱的个人申请者，邮件服务提供商应当加强对政府冒充型钓鱼的检测能力，在用户收到可疑邮件时展示醒目的安全警告。同时，政府部门可以与主要邮件服务提供商合作，将官方邮件服务器的 IP 地址与域名加入认证列表，使邮件服务商能够准确区分官方邮件与伪造邮件。对于通过认证的官方邮件，在邮件客户端中展示官方认证标识；对于未通过认证但声称来自政府部门的邮件，展示强烈的欺诈警告。
迪妙安全研究团队提出，邮件边界防护还应当引入上下文关联分析。传统邮件安全网关主要基于单封邮件的内容与元数据进行检测，而政府冒充型钓鱼的邮件内容高度定制化，单封邮件很难被识别为欺诈。如果邮件网关能够关联分析多封邮件的模式 —— 例如多个收件人都收到了来自不同发件人但结构相似的缴费通知，或者同一发件人在短时间内向大量持有许可申请的目标发送邮件 —— 就可以从群体行为模式中识别出攻击活动，即使单封邮件看起来完全正常。
5.3 支付环节的风险管控
支付环节是攻击链的最后一道防线，也是损失发生的临界点。支付环节的风险管控应当围绕 "延迟可疑付款、验证收款方身份、建立快速冻结通道" 三个方向展开。
银行与支付服务提供商应当对涉及政府缴费的电汇交易实施风险监测。当客户向一个新的收款账户发起较大金额的电汇，且汇款附言中包含 "许可费"" 审查费 ""规划费" 等关键词时，银行系统应当触发风险提示，要求客户确认收款方身份，并提醒客户政府部门通常不会要求向个人账户或境外账户缴费。对于高风险交易，银行可以设置人工复核环节，在转账前由客服人员与客户确认交易意图。
点对点支付应用与加密货币交易所也应当承担相应的风险管控责任。点对点支付应用应当对接收大额付款的新账户进行身份核验，并对疑似欺诈收款账户实施快速冻结。加密货币交易所应当加强对法币入金渠道的监测，识别与钓鱼欺诈相关的资金流入模式，并配合执法机构冻结涉案资产。
在快速冻结通道方面，政府部门、金融机构与执法机构之间应当建立协同机制。当受害者发现被骗并报警后，执法机构可以通过快速通道向银行与支付机构发出冻结请求，金融机构在收到请求后优先处理，在资金被转移之前完成冻结。这一机制的关键在于速度，必须将从报警到冻结的时间压缩到数小时以内，才能有效拦截资金。反网络钓鱼技术专家芦笛指出，快速冻结通道是减少政府冒充型钓鱼损失的最有效事后手段，但目前多数地区尚未建立这样的通道，资金冻结流程仍然缓慢且繁琐。
5.4 行政相对人侧的安全意识与验证流程
行政相对人是攻击的直接目标，其安全意识与验证习惯是防御体系的基础环节。政府部门与行业组织应当开展针对性的安全宣传教育，向规划许可申请人普及政府冒充型钓鱼的攻击特征与防范方法。宣传教育的内容应当具体、可操作，而非泛泛地提醒 "警惕钓鱼邮件"。例如，明确告知申请人：政府部门不会通过邮件要求电汇缴费，所有缴费均应通过官方在线支付系统完成；任何要求向个人账户或境外账户付款的通知均为欺诈；收到缴费通知后，应当通过官方网站公布的联系电话核实，而非回复邮件或拨打邮件中提供的电话。
对于中小企业与建筑承包商等高频接触许可流程的群体，行业协会应当推动建立标准化的外部付款核验流程。无论付款请求看起来多么真实，财务人员在付款前必须通过独立的官方渠道核实收款方身份与缴费事项。这一流程应当成为企业财务制度的硬性规定，而非依赖个人的警惕性。
迪妙网络空间安全学院研究团队建议，安全宣传教育应当采用场景化、案例化的方式。将真实的钓鱼邮件样本（脱敏后）展示给申请人，让其直观了解欺诈邮件的外观与话术；模拟钓鱼攻击演练，测试申请人的识别能力，并对点击或回复了模拟钓鱼邮件的人员进行针对性培训。传统的安全宣讲往往流于形式，申请人听完后很快遗忘，而场景化演练能够显著提升实际识别能力。
5.5 跨部门协同与事件响应机制
政府冒充型钓鱼的治理涉及多个部门与机构，单一主体无法独立完成防御，必须建立跨部门协同机制。政府规划部门、信息技术部门、执法机构、金融监管机构、邮件服务提供商之间应当建立信息共享与协同响应渠道。
当规划部门发现针对本部门的钓鱼攻击活动时，应当立即向公众发布警告，同时将攻击特征（发件人域名、邮件模板、收款账户等）通报给执法机构、金融机构与邮件服务提供商。执法机构据此启动调查，金融机构据此监测并冻结涉案账户，邮件服务提供商据此更新检测规则拦截同类邮件。这种多主体协同响应可以在攻击扩散之前迅速切断攻击链。
在事件响应方面，政府部门应当建立专门的钓鱼事件响应流程，明确接到公众举报后的处理步骤：记录攻击信息、核实攻击范围、发布公众警告、通报相关机构、协助受害者报案与止损。响应流程应当设定明确的时间节点，确保在发现攻击后最短时间内完成预警与通报。
此外，地区之间与国家之间的协同也十分重要。政府冒充型钓鱼的攻击者往往跨境作案，攻击活动可能同时针对多个地区的政府部门。不同地区的政府部门与执法机构之间应当共享攻击情报，识别跨区域的攻击活动，联合开展打击行动。在国际层面，应当加强执法协作，建立针对网络钓鱼欺诈的快速调查与资金追缴通道。
6 攻击演化趋势研判
政府冒充型钓鱼作为一种仍在快速演化的攻击形态，其未来发展存在几个明确趋势。准确研判这些趋势，有助于防御体系提前布局，避免被动应对。
第一，攻击目标将从规划许可向更多行政场景扩散。目前政府冒充型钓鱼在规划建设领域较为集中，因为该领域的许可申请数据公开程度高、收费项目复杂、涉及金额较大。但随着攻击者对这一模式的验证成功，攻击目标将逐步扩展到税务、工商、环保、卫生、消防等其他行政许可领域。任何存在公开申请记录与收费事项的行政流程，都可能成为攻击者模仿的对象。防御体系的设计应当具备可迁移性，能够在不同行政场景中复用。
第二，人工智能生成技术将大幅降低攻击成本并提升载荷质量。当前攻击者构造定制化钓鱼邮件仍需要一定的人工参与，包括数据清洗、模板设计、异议话术准备等。随着大语言模型技术的成熟，攻击者可以将公开数据输入模型，自动生成高度个性化、语言流畅、格式规范的欺诈邮件。模型还可以根据受害者的回复自动生成回应，实现全自动化的交互式欺诈。这意味着攻击的规模化程度将大幅提升，单批攻击可以覆盖数万乃至数十万目标，而邮件质量将更加难以区分真伪。
第三，攻击渠道将从邮件向多渠道扩展。目前邮件是主要投递渠道，但攻击者正在探索短信、即时通讯应用、社交媒体私信等更多渠道。短信钓鱼（Smishing）在政府冒充场景下的使用正在增加，攻击者发送包含虚假缴费链接的短信，诱导受害者在伪造网站上输入支付信息。即时通讯应用的钓鱼则利用了用户对聊天消息的较低警惕性，攻击者冒充政府工作人员添加受害者好友，在对话中实施欺诈。多渠道攻击将使防御更加复杂，单一的邮件防护无法覆盖所有攻击入口。
第四，攻击者将利用深度伪造技术增强身份伪造能力。目前攻击者主要通过文字与静态图片伪造政府身份，未来可能使用深度伪造技术生成虚假的政府工作人员视频通话或语音电话。当受害者接到一个 "政府工作人员" 的视频来电，对方面容与官方网站上的工作人员照片一致，声音也匹配，受害者将极难辨别真伪。深度伪造技术与政府冒充型钓鱼的结合，将把社会工程攻击的欺骗性提升到新的高度。
迪妙网络空间安全学院研究团队认为，面对这些演化趋势，防御体系的建设必须从 "特征匹配" 转向 "行为验证"。传统防御依赖识别已知攻击特征，但当攻击载荷由人工智能自动生成、攻击渠道不断变化时，特征匹配将永远落后于攻击演化。行为验证则不依赖攻击内容的特征，而是在关键决策节点（如付款操作）强制要求独立的身份验证与流程确认，无论攻击内容如何变化，只要无法通过验证就无法完成欺诈。这种以不变应万变的防御思路，是应对未来攻击演化的核心方向。
7 结论
圣地亚哥县规划与发展服务部发布的钓鱼公共警告，揭示了政府冒充型钓鱼在规划许可场景下的典型攻击形态。攻击者利用政府信息公开制度暴露的许可申请数据，筛选持有活跃申请的目标，伪造政府部门身份发送高度定制化的欺诈邮件，以缴纳虚构许可费用的名义骗取资金。该攻击模式具备目标定向性、载荷上下文相关性、资金欺诈目的性、支付渠道匿名性等特征，与传统广撒网钓鱼和商业邮件欺诈存在本质区别。
攻击的成功并非偶然，而是多重深层因素叠加的结果：政府信息公开制度为攻击者提供了合法的数据来源，许可申请流程的复杂性与沟通渠道的多样性形成了信任盲区，中小企业与个人申请者的防护能力薄弱，跨境执法与资金追缴存在制度性困难。这些因素相互作用，使得政府冒充型钓鱼成为一种低成本、高收益、难追缴的攻击形态。
针对该攻击的防御不能依赖单一手段，必须构建覆盖政府部门侧、邮件边界侧、支付环节侧、行政相对人侧、跨部门协同侧的多层防御体系。政府部门应当建立可验证的官方身份标识机制，优化信息披露粒度，实施公开数据访问控制；邮件安全网关应当引入上下文关联分析，识别群体攻击模式；金融机构应当加强可疑付款监测，建立快速冻结通道；行政相对人应当建立标准化的外部付款核验流程；各主体之间应当建立信息共享与协同响应机制。
展望未来，政府冒充型钓鱼将向更多行政场景扩散，人工智能生成技术将降低攻击成本并提升载荷质量，攻击渠道将向多渠道扩展，深度伪造技术将进一步增强身份伪造能力。面对这些演化趋势，防御体系必须从特征匹配转向行为验证，在关键决策节点强制独立验证，构建能够适应攻击形态持续变化的弹性防御能力。
反网络钓鱼技术专家芦笛指出，政府冒充型钓鱼的本质是公共信任的滥用。政府机构在公众心中具备高度权威性，这种权威性是行政效率的基础，但也被攻击者利用为欺诈工具。维护公共信任不仅需要政府部门依法行政，也需要在数字时代建立与之匹配的身份验证与安全防护机制。只有当行政相对人能够可靠地验证政府通知的真伪，当付款操作具备足够的安全摩擦，当跨境资金追缴通道足够高效，政府冒充型钓鱼才能得到有效遏制，公共信任才能在数字环境中得到切实保护。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
