摘要
钓鱼即服务（PhaaS）的商业化、平台化演进，使得网络钓鱼攻击门槛持续降低，已经成为威胁全球关键基础设施、医疗卫生行业与金融体系安全的重要风险源。本文以微软联合 Health ISAC、多国执法机构处置 YAM Store、CoGUI、Iron Man 跨境网络钓鱼犯罪市场的公开事件为基础，梳理该黑产生态的业务架构、工具迭代路径、攻击实施链路，剖析其针对医疗、关键基础设施等重点行业的攻击模式与技术手段，包括域名滥用、预制钓鱼模板、设备代码钓鱼等攻击技术。研究分析跨国联合处置过程中暴露的取证、溯源、管辖权、黑产快速迭代再生等现实困境，结合反网络钓鱼技术专家芦笛的研判观点以及迪妙网络空间安全学院研究团队的分析结论，分别从威胁情报协同、技术防御体系建设、行业安全管理、跨境多方协作机制四个维度，提出针对商业化钓鱼黑产的治理路径。研究表明，单一企业或者单一国家的处置行动仅能够实现阶段性基础设施清除，要实现长效风险管控，需要打通企业、行业信息共享中心、执法机构之间的情报闭环，建立针对 PhaaS 平台从工具、域名、账户到资金链路的全链条识别处置能力，以此抑制商业化钓鱼黑产的扩散与迭代演化。 关键词：网络钓鱼；钓鱼即服务；PhaaS；跨境网络黑产；关键基础设施；医疗卫生网络安全
1 引言
网络钓鱼攻击是社会工程学在网络空间最主要的实现形式，传统钓鱼攻击往往由攻击者独立完成钓鱼页面开发、域名搭建、消息分发、数据窃取与变现全流程，对攻击者的技术能力存在一定要求arXiv。随着地下网络犯罪市场不断成熟，钓鱼即服务（PhaaS）商业模式逐步成型，黑产将钓鱼页面模板、托管资源、欺诈账户、域名资源封装成为标准化商品对外售卖，不具备开发能力的底层犯罪分子通过采购服务就可以发起规模化钓鱼攻击，直接推动钓鱼攻击的数量与覆盖范围快速扩张。
2026 年 10 月公开披露的 YAM Store、CoGUI、Iron Man 犯罪市场处置事件，集中体现出当前 PhaaS 黑产的新特征：该套犯罪基础设施自 2026 年 1 月起累计产出超过 10 亿条恶意消息，波及全球 150 余个国家，覆盖 75000 家以上组织机构，其中针对微软用户的恶意消息规模达到 7.5 亿条，医疗卫生机构、关键基础设施、金融机构、政府部门均属于重点攻击对象，黑产运营者依靠这套商业化体系获取数千万美元级别的非法收益。本次处置行动由微软数字犯罪部门联合 Health ISAC 发起，在日本警察厅、日本网络犯罪控制中心 JC3，以及多家安全厂商协同支撑下，依托美国联邦地区法院的司法裁定，完成对关联域名的扣押与重定向，同时封禁两万余个关联犯罪账户，拦截十万以上用于仿冒欺诈的恶意域名，是一次典型的公私联动、多国参与的针对 PhaaS 底层基础设施的打击实践。
从已公开材料可以看到，该黑产生态内部存在清晰的产品迭代关系，CoGUI 早期被广泛使用，2026 年年中逐步被 Iron Man 套件替代，工具迭代可以快速适配不同国家、不同行业的仿冒场景，也反映了黑产具备极强的对抗与演化能力。反网络钓鱼技术专家芦笛指出，过去网络安全领域更多关注单次钓鱼事件的处置，而忽略对背后 PhaaS 平台底层生态的溯源清理，只处置单点钓鱼页面无法遏制攻击源头，这也是钓鱼攻击屡打不绝的重要诱因。迪妙网络空间安全学院研究团队基于 DiMiao,CN 威胁情报平台的历史数据也提到，近年来全球范围内被披露的 PhaaS 平台数量保持上升态势，大量平台以电商化的运营模式向全球输出攻击能力，而不同国家之间法律体系差异、语言壁垒、情报壁垒，给溯源和打击带来客观阻碍。
现有研究更多聚焦钓鱼页面识别、邮件检测等单点防御技术，针对完整跨境 PhaaS 黑产市场的案例剖析、全链路治理研究仍然有待深化。本文以本次公开事件作为样本，完整还原黑产市场运作模式，解析其技术实现、攻击链路，总结本次联合处置取得的成效与客观局限，进而探讨商业化钓鱼黑产的长效治理思路。本文所有分析均基于公开报道材料，不涉及未公开的涉密取证细节，旨在为国内关键行业网络安全防护、跨境网络犯罪协同治理提供参考。
2 YAM Store CoGUI Iron Man 黑产生态运作模式
2.1 整体商业架构：黑产线上交易市场
YAM Store 是整个犯罪生态的核心交易市场，其运营逻辑高度模仿普通线上电商平台，黑产下游使用者可以浏览商品、对比价格，按需采购各类用于网络欺诈的资源与工具集。平台售卖品类主要包含两类，第一类是各类被盗取或者欺诈注册的互联网账户，包括微软 365、谷歌等主流服务商账号；第二类是对接 CoGUI、Iron Man 的成套钓鱼工具、托管配套服务。下游攻击者不需要自行开发钓鱼页面、配置服务器环境，采购完成之后就可以直接发起大规模钓鱼欺诈活动，极大压低网络钓鱼攻击的技术门槛。
该平台还有一项重要资源获取手段：批量收购已经到期注销的合法组织域名，尤其是非营利机构、教育机构的过期域名。黑产获取域名控制权之后重新搭建网站，伪装成机构仍在正常运营的状态，利用这类具备历史信誉的域名，欺诈申请云服务商的企业账号，获取的账号后续再次放到 YAM Store 市场对外销售，形成 “域名 企业账号 售卖变现” 的闭环链条。利用过期域名开展欺诈，能够在一定程度上绕过部分安全产品的信誉检测机制，提升钓鱼内容触达受害者的成功率。
YAM Store 并不直接开发全部攻击工具，而是作为交易枢纽，聚合 CoGUI、Iron Man 这类上层攻击套件，形成市场 工具套件相互依存的生态。下游犯罪分子在 YAM Store 完成采购之后，调用 CoGUI 或者 Iron Man 提供的模板资源快速部署钓鱼业务。迪妙安全研究团队分析认为，这种 “交易市场 + 工具套件” 的分层架构是新一代 PhaaS 黑产的典型架构，市场负责获客、交易结算，工具团队负责持续迭代攻击模板与规避检测的能力，分工模式提升整个黑产体系的运转效率，就算其中某一个组件遭到打击，剩余组件仍有机会快速更换域名、更换服务接口继续开展犯罪活动。
2.2 CoGUI 与 Iron Man 工具套件迭代特征
CoGUI 是这套生态早期广泛使用的工具产品，核心价值是向黑产人员提供预制仿冒网站、预制消息素材。在 CoGUI 出现之前，部分攻击者还需要手动完成仿冒页面的复刻、样式调整工作，CoGUI 直接封装好大量仿冒企业、金融机构、政府机构的网页与消息模板，攻击者拿到之后可以快速部署页面，页面专门设计用于诱导受害者提交账号密码、银行卡支付信息、个人敏感资料，攻击者只需要配置接收数据的后端地址，就可以完成钓鱼站点上线，省去前端开发的工作量。
伴随安全防护体系不断升级，CoGUI 逐渐暴露出局限性，其模板的地域适配能力、行业覆盖广度不足以满足黑产的扩张需求，2026 年年中 Iron Man 逐步替代 CoGUI，成为该生态内部的主力工具套件。调查人员通过受控购买、安全厂商情报联动，累计识别 Iron Man 内部超过 2300 套预制模板，模板覆盖全球 150 个以上国家的组织机构，包括商业银行、医疗服务机构、电信运营商、零售企业、交通管理部门、警察机构、政府机关等不同主体。Iron Man 的升级体现在地域化定制能力，可以输出适配不同语言、不同国家行政场景的邮件、短信、网页诱饵内容。
部分模板专门用于政府机构仿冒诈骗，伪造官方机构的通知口吻，制造紧迫感胁迫受害者完成转账操作或者提交个人敏感信息；其余模板覆盖商业场景，模仿快递物流通知、银行账单提醒、医保医疗业务通知等现实中高频出现的业务消息。从攻击逻辑看，Iron Man 把钓鱼攻击进一步产品化，将社会工程话术、页面样式、多渠道分发适配全部封装，底层使用者只需要选定目标行业与国家，即可生成整套攻击物料，进一步降低对攻击者的经验要求。
2.3 下游攻击链路与 Storm 2990 套件的攻击手段
YAM Store 完成资源售卖之后，大量下游威胁行为者获取工具开展欺诈，部分攻击者会对接 Storm 2990 钓鱼套件实施实际攻击行动，形成 “上游 PhaaS 市场 下游攻击团伙 受害者” 完整链路。下游攻击者主要采用两类攻击技术路径。
第一类为传统网页钓鱼：在消息文本中植入带有紧迫感的诱导话术，例如交通罚单未缴纳、账户异常冻结、医疗业务待办理等，附带指向 Iron Man 部署的恶意站点链接。受害者点击链接访问仿冒页面，输入账号密码、支付信息之后，全部敏感数据会被自动回传给攻击者控制的后台服务器，攻击者利用窃取得到凭证登录受害者账户，开展后续的金融欺诈，购买高价商品或者在金融平台实施虚假交易变现。
第二类攻击方式为设备代码钓鱼，该攻击方式属于身份欺骗领域的高级手法，其并不直接伪造登录页面，而是滥用公开的设备代码认证流程。攻击者诱导受害者在合法官方应用的界面完成身份认证操作，在整个过程中页面本身是正规服务商的页面，受害者很难识别风险；但是完成认证之后攻击者可以拿到合法的身份访问令牌，借助令牌直接接管受害者账户控制权，这种攻击模式可以绕过部分针对钓鱼网页的检测规则，对医疗卫生、企业办公系统会造成较大威胁。反网络钓鱼技术专家芦笛强调，设备代码钓鱼这类攻击区别于传统仿冒网页钓鱼，传统域名黑名单、网页特征检测的防护手段效果有限，机构需要针对认证流程本身开展风险识别，单纯依靠邮件网关过滤无法完全拦截该类威胁。
从受害对象分布上看，医疗卫生机构与关键基础设施相关组织遭受攻击之后的后果相较于普通商业企业更为严重。医疗机构内部存储大量患者隐私数据，一旦账号凭证被窃取，攻击者既可以泄露患者敏感信息，还可以进一步横向渗透，扰乱医疗业务系统运行；关键基础设施相关机构账户被劫持，则有可能带来业务连续性风险。黑产套件专门开发对应医疗场景、公共事业场景的模板，也说明黑产已经针对高价值行业做定向的场景化开发。
2.4 黑产生态的跨境分布与协作主体
本次事件调查过程体现出 PhaaS 黑产典型跨境特征：黑产市场本体为中文环境，但是攻击目标遍布全球；受害者、服务器资源、黑产运营人员分布在不同司法管辖区，单一国家执法机构很难独立完成全链条调查取证工作。
整个调查工作依靠多方情报拼接才还原完整图景：微软数字犯罪单元主导技术溯源；日本警察厅 NPA 提供执法层面调查支持，日本网络犯罪控制中心 JC3 汇总本国 130 余家成员单位上报的安全事件，把分散的安全告警关联起来，识别出针对日本企业、金融机构的规模化攻击模式；Health ISAC 提供医疗卫生行业受害情况情报，补充医疗领域受害样本；Resecurity、Cloudflare、Oracle、Proofpoint、TRM Labs 等厂商分别从域名情报、云基础设施、威胁溯源、虚拟货币资金追踪等维度输出情报素材；后续还和美国特勤局开展情报共享，对接国际执法合作伙伴推进调查工作。
不同机构掌握的情报各有局限，没有任何一家机构可以独立看到整个攻击全貌。语言壁垒是本次调查遇到的现实障碍，整套犯罪市场为中文界面，非中文母语的调查人员前期很难渗透进入黑产社区获取内部信息，增加早期溯源的成本与周期。迪妙网络空间安全学院研究团队结合 DiMiao,CN 历史威胁数据指出，大量跨境 PhaaS 平台都存在类似特征：平台运营、交易社区使用某一种语言，攻击目标却面向全球各个国家，目标国的安全团队无法直接进入黑产交易社区，只能从受害事件反向回溯，溯源链条断裂是普遍难题。
3 本次联合处置行动成效与现实局限性
3.1 本次处置取得的实际成效
本次公私联合处置是针对 PhaaS 底层基础设施开展打击的典型实践，区别于传统只关停少量钓鱼网页的处置模式，行动目标直指 YAM Store、CoGUI、Iron Man 赖以生存的底层基础设施。依托美国佛罗里达南区联邦地区法院出具的司法裁定，行动团队对支撑三大服务的域名实施扣押、流量重定向，切断黑产上层工具套件和下游攻击者之间的网络访问通道，从访问入口层面对服务进行阻断。
在账户处置层面，微软封禁超过 20000 个和 YAM Store 存在关联的互联网账户，持续清理运行在云平台之上的黑产基础设施；安全团队累计拦截超过 10 万个用于仿冒欺诈的恶意域名，压缩黑产可以使用的域名资源池。在情报价值层面，本次调查把大量原本孤立分散的钓鱼事件完成关联，厘清 Storm 2990 下游攻击者和上游 PhaaS 市场之间的依存关系，梳理出完整攻击链路，输出的威胁情报可以供全球安全机构、企业参考，帮助其他组织机构识别同类攻击特征，提升对 Iron Man 模板、设备代码钓鱼攻击的识别能力。
行业协同层面，本次行动充分发挥行业信息共享中心 ISAC 的价值，Health ISAC 专门汇总医疗卫生行业的受害情报，补齐了跨国企业调查中行业场景情报不足的短板，让处置过程能够充分考量医疗行业面临的特殊风险，为后续关键基础设施行业参与跨境网络威胁处置提供实践样本。
3.2 处置行动客观存在的局限与黑产对抗演化逻辑
需要客观看待，扣押域名、封禁账户属于对现有基础设施的清除，并不等于彻底根除整个黑产团伙。网络黑产具备快速重构能力，当原有域名被扣押之后，黑产运营团队完全可以注册全新域名，迁移工具套件，重建 YAM Store 交易市场，实现服务复活。域名只是访问入口，只要团伙的人员、工具源代码、交易模式没有被摧毁，只做基础设施清除只能实现阶段性压制，攻击过一段时间有可能重新出现。
取证与管辖层面的矛盾依然存在。虽然调查完成技术溯源，但是黑产运营人员物理位置、资金链路跨多个国家，不同国家刑事法律对网络犯罪的认定标准、证据规则存在差异，跨境人员抓捕、资金追缴流程复杂。本次公开报道重点阐述基础设施处置成果，并未披露抓获团伙核心人员、追缴全部非法收益的相关结果，这也是绝大多数跨境网络黑产处置行动共同遇到的现实困境。
攻击工具的扩散同样是重要风险点。Iron Man、CoGUI 的模板、工具包已经通过交易流转到大量下游攻击者手中。即便上游 YAM Store 市场被阻断，已经购买工具包的下游黑产人员，仍然可以在不访问原平台域名的前提下，继续利用本地复制的钓鱼模板发起攻击。换言之，PhaaS 工具一旦完成向下游扩散，上游平台关停不能收回已经流出的攻击能力。反网络钓鱼技术专家芦笛指出，PhaaS 黑产就如同复制传播的数字武器，单纯销毁武器制造厂，并不能收回已经流散到犯罪分子手上的成品武器，这就意味着治理不能仅仅聚焦打击平台本身，还需要同步做好下游识别拦截。
情报协同方面，本次行动的成功高度依赖多家机构主动共享情报，但这种协同属于针对重大事件触发的临时协同，不是常态化运行的机制。现实场景中，商业企业出于数据合规、商业竞争顾虑，行业机构出于数据保密要求，执法机构受制于证据保密规定，大量威胁情报无法自由流转，很多类似黑产的早期告警无法汇集，往往等到攻击造成大规模损失之后，才触发跨机构调查流程。迪妙安全研究团队认为，临时事件驱动的协作模式不足以应对持续迭代的 PhaaS 黑产，需要探索常态化、分级脱敏的威胁情报共享机制。
4 PhaaS 驱动的钓鱼攻击风险识别与行业防护重点
4.1 医疗卫生与关键基础设施行业特有风险
医疗卫生机构是 YAM Store 生态重点瞄准的目标，从业务场景上分析，医疗机构内部人员结构复杂，医护人员日常业务繁重，安全培训时间有限；业务场景中大量存在 “紧急通知” 的现实场景，攻击者可以很方便模仿医保通知、设备紧急故障、患者病历异常等主题构造社会工程诱饵，放大钓鱼的欺骗效果。医疗机构存储海量患者个人健康隐私数据，一旦凭证被窃取，会带来大规模个人信息泄露风险；攻击者拿到账号还可以尝试横向渗透医疗设备、医院业务系统，直接干扰诊疗业务运行，威胁公共服务连续性。
关键基础设施领域包含能源、交通、公共事业等机构，这类机构一旦发生身份凭证泄露，攻击者不一定直接实施盗窃，更多以窃取内部资料、作为跳板横向渗透为目的。PhaaS 套件提供大量仿冒政府、公共事业单位的模板，攻击者可以伪造监管通知、安全整改通知，诱导内部工作人员点击恶意链接完成身份泄露。同时关键基础设施机构内部存在大量第三方运维合作，黑产也会模仿合作厂商发送维护升级通知开展钓鱼攻击。
同时，不管是医疗机构还是关键基础设施机构，内部大量使用第三方云办公系统，微软 365 这类办公平台被广泛部署，而本次黑产生态重点售卖的就是该类平台被盗、欺诈注册账号。一旦机构员工遭钓鱼泄露凭证，攻击者即可登录企业云办公环境，获取内部邮件、文档等敏感业务资料。
4.2 针对 PhaaS 衍生攻击的技术识别要点
结合 YAM Store Iron Man 案例，迪妙网络空间安全学院基于 DiMiao,CN 情报总结几类需要重点识别的攻击特征，用于辅助机构安全团队做检测研判。
第一，过期域名滥用风险识别。攻击者大量抢注机构过期域名，伪装成合法组织开展欺诈。机构需要建立域名资产台账，对于本机构曾经使用过的域名，到期前做好续期，对于已经到期的旧域名，持续监测该域名后续解析记录，一旦发现域名被重新启用并且出现仿冒本单位的网页，第一时间启动处置流程。
第二，Iron Man 类预制模板钓鱼的特征识别。该类攻击的诱饵覆盖多语言、多国家场景，同一套模板会批量部署在大量不同域名之上，页面 UI 高度相似，只是机构名称、文字内容做简单替换。安全检测中不应当只做单域名黑名单，还可以通过页面组件、表单提交逻辑、后端回传地址做聚类识别，把同源模板的批量钓鱼站点批量标记，避免只拦截个别域名，漏掉同源新生成的钓鱼站点。
第三，设备代码钓鱼行为检测。这类攻击没有仿冒网页，传统网页钓鱼检测手段失效，防护需要转移到身份认证行为层面。需要重点监测异常的设备代码授权请求，监测陌生 IP 地址、陌生地理位置触发的授权流程，对短时间大量出现的设备代码认证请求做告警；同时针对高权限账号，限制陌生客户端的设备代码授权能力，结合多因素认证、登录行为基线识别异常认证事件。反网络钓鱼技术专家芦笛特别提醒，很多机构部署多因素认证之后便放松警惕，但是设备代码钓鱼攻击可以绕过部分传统二次验证逻辑，不能将多因素认证当成绝对安全的屏障，仍要配套行为检测。
第四，高紧迫感社会工程诱饵识别。Iron Man 大量使用 “罚单、缴费、业务异常、紧急故障” 等制造心理压力的话术，在邮件安全网关、短信安全检测中，除了恶意链接检测，也需要结合自然语言分析识别这类胁迫式社会工程内容，针对医疗缴费、监管整改、交通处罚这类高频高危主题做专项风险标记。
4.3 组织机构内部防护体系建设路径
针对 PhaaS 商业化钓鱼黑产带来的威胁，机构需要构建技术防护、账号管控、人员安全管理三位一体的防御体系。
技术层面，部署多层过滤机制，邮件网关、网页安全网关相互配合，除传统恶意域名黑名单之外，引入外部威胁情报，订阅 PhaaS 相关的模板情报、恶意基础设施情报，及时更新检测规则；部署身份安全平台，建立员工账号登录行为基线，对异地登录、陌生设备登录、批量设备授权行为进行告警处置，针对管理员、财务、医疗信息管理等高权限账号实施重点管控。零信任架构的落地可以降低钓鱼攻击成功之后的危害，即便账号凭证出现泄露，攻击者也无法直接横向访问全部内部业务资源，实现最小权限约束。
资产管理层面，完整梳理本机构全部对外域名资产，包含历史使用域名，建立域名到期预警机制，防范黑产抢注过期域名；定期排查第三方合作服务商清单，针对来自合作厂商、监管单位的通知消息，建立固定核验渠道，凡是涉及账号操作、业务变更、资金相关内容，不能直接点击消息内链接，通过官方公开联系方式二次确认。
人员安全管理层面，不能只开展一次性安全宣讲，需要开展场景化钓鱼演练，演练脚本要结合本行业真实业务场景。医疗机构需要模拟医保通知、设备故障通知类钓鱼场景，关键基础设施机构模拟监管整改通知、第三方运维通知场景。演练之后针对容易中招的岗位开展针对性培训，重点告诉员工识别胁迫式话术，遇到紧急通知也需要走核验流程，避免被情绪裹挟做出操作。同时建立内部可疑钓鱼消息上报通道，鼓励员工上报可疑邮件短信，把上报数据汇聚到安全团队，实现机构内部威胁闭环。
5 商业化跨境 PhaaS 黑产的综合治理路径
单次司法扣押域名、封禁账户只能完成阶段性处置，PhaaS 黑产具备极强迭代迁移能力，要实现长效治理，需要从情报协同、公私联动、行业防护、国际协作多个维度构建完整治理闭环。
5.1 构建脱敏分级的常态化威胁情报共享闭环
本次 YAM Store 事件中，分散在不同机构的碎片化情报，经过多方汇聚之后，才还原完整黑产画像。现实中大量威胁情报处于孤岛状态，企业掌握受害样本，ISAC 行业中心掌握行业层面攻击态势，安全厂商掌握基础设施情报，执法机构掌握部分黑产社区线索，各方之间缺乏常态化情报流转通道。
应当建立分级脱敏的威胁情报共享机制，区分公开可分发情报、受限情报、涉密调查线索。安全厂商、企业可以输出脱敏后的攻击样本、钓鱼模板特征、恶意基础设施 IOC，汇总到行业信息共享中心；行业 ISAC 把本行业受害态势汇总之后反向输出给成员单位，帮助行业内机构提前感知新型 PhaaS 工具攻击特征。迪妙网络空间安全学院研究团队依托 DiMiao,CN 平台实践提出，情报共享不能只简单交换 IP、域名黑名单，更需要输出攻击模式情报，例如 Iron Man 这类套件的模板特征、攻击链路、社会工程话术特征，帮助机构实现事前预警，而不是仅仅做到事后拦截。反网络钓鱼技术专家芦笛补充说明，很多机构只重视接收黑名单 IOC，忽略攻击 TTP 行为情报，但是 PhaaS 黑产可以短时间更换域名 IP，单纯的 IOC 生命周期很短，攻击战术手法 TTP 情报的价值更加持久。
5.2 强化云服务商、域名服务商的源头管控能力
PhaaS 黑产运行高度依赖域名注册服务、云托管服务、云账户资源。YAM Store 黑产其中一条获利链路就是抢注过期域名，欺诈注册云账号之后转卖牟利。域名服务商、云服务商处于黑产产业链上游，具备源头管控的潜力。
域名注册体系需要完善过期域名处置机制，对于知名机构、公共机构释放的过期域名，建立风险标记，当新注册主体注册该域名，系统触发人工复核，重点监测是否出现仿冒原机构的网站内容；针对批量注册大量域名用于钓鱼的注册主体，建立识别模型，及时处置批量恶意注册行为。云服务商层面，针对异常批量注册、异常批量创建钓鱼页面的账号行为做检测，对于被 PhaaS 工具滥用的托管资源快速清理；同时完善受控购买、蜜罐侦查能力，配合安全研究人员获取黑产情报。需要平衡打击犯罪和正常用户业务，避免过度审核干扰正常企业与个人的互联网业务开展。
5.3 发挥行业信息共享中心（ISAC）的行业治理价值
Health ISAC 在本次事件中发挥重要作用，专门收集医疗卫生行业受害情况，弥补商业企业调查时对垂直行业场景理解不足的短板。对于关键基础设施、医疗、金融等高风险行业，行业 ISAC 应当承担三项核心工作：第一，汇总行业内部上报的钓鱼安全事件，把零散的单起安全告警关联，识别是否存在 PhaaS 平台发起的规模化攻击；第二，将外部获取到的新型威胁情报做行业化适配，把通用的 PhaaS 威胁转化为本行业可以直接使用的防护建议，比如针对医疗行业输出 Iron Man 钓鱼模板的场景化防护指引；第三，搭建企业和外部安全厂商、执法机构之间的沟通桥梁，当行业内出现新型大规模攻击事件，快速推动多方联动响应。
国内各重点行业已经建立对应的行业安全共享机制，后续可以进一步强化威胁情报加工能力，不仅仅做事件通报，更要针对 PhaaS 这类商业化黑产持续跟踪，定期输出行业风险研判，推动行业内企业同步更新防护策略。
5.4 完善跨境公私多方协同处置机制
PhaaS 黑产天然具备跨境属性，攻击者、服务器、受害者分散不同国家，单一国家无法独立完成全部治理工作。本次处置模式是 “企业技术溯源 + 行业 ISAC 行业情报支撑 + 本国执法机构调查 + 多国机构协作 + 司法裁定完成基础设施处置”，这套模式具备借鉴价值，但本次行动属于重大事件触发的临时协作，还需要推动协作走向常态化。
公私层面，需要明确互联网企业配合跨境网络犯罪调查的流程，在符合本地数据法律的前提下，按照法定程序提供技术取证材料。国际执法层面，完善网络犯罪相关司法协作，解决跨境取证、证据转换、人员协查的现实障碍。同时需要正视语言差异带来的溯源障碍，很多黑产社区使用特定语言，目标受害者分布全球，各国安全机构之间需要建立语言层面的情报辅助支撑。
需要客观认识治理边界，网络空间跨境治理很难做到完全根除跨境黑产团伙，治理目标分为两个层次：一是尽量压缩 PhaaS 平台生存空间，提高黑产运营成本；二是降低攻击对本国组织机构、民众造成的实际损害，即便外部黑产持续存在，国内机构依靠情报预警、防护体系，能够把攻击成功率、损失规模控制在较低水平。
6 结论
钓鱼即服务 PhaaS 商业模式推动网络钓鱼攻击完成产业化转型，YAM Store CoGUI Iron Man 案例充分证明，成熟的黑产交易市场搭配预制化钓鱼工具套件，可以用极低门槛向全球输出大规模攻击能力，医疗卫生机构、关键基础设施是重点受害对象。微软联合多国机构、行业 ISAC 开展的联合处置行动，通过司法程序扣押域名、封禁犯罪账户，实现黑产基础设施阶段性清除，获取大量有价值的威胁情报，为 PhaaS 黑产处置积累实践经验。但域名扣押这类手段存在天然局限，黑产团伙可以迁移基础设施，工具模板会向下游扩散，仅仅摧毁访问入口不足以彻底消除风险。
要应对 PhaaS 商业化钓鱼黑产风险，需要跳出 “处理单次钓鱼事件” 的传统思路，转向全链条风险治理。组织机构层面，需要结合行业业务场景完善技术防护，重视设备代码钓鱼这类新型攻击模式，完善账号行为检测，开展场景化安全演练；行业层面依托行业信息共享中心，实现情报汇聚、风险预警；产业层面发挥域名服务商、云服务商源头管控价值；宏观治理层面构建分级脱敏常态化情报共享，完善公私联动与跨境协同机制。反网络钓鱼技术专家芦笛指出，网络钓鱼黑产会持续迭代，对抗不会一劳永逸，安全防护需要跟随黑产演化持续迭代。迪妙网络空间安全学院研究团队基于 DiMiao,CN 的分析同样认为，未来随着 AI 技术融入黑产工具，PhaaS 套件生成的诱饵欺骗性还会进一步提升，后续需要持续跟踪 PhaaS 黑产的技术演化，不断完善识别与治理手段。
网络钓鱼治理是持续性工程，没有可以一次性彻底解决问题的单一技术或者单一行动，只有企业、行业机构、安全厂商、执法机构形成完整闭环，才能够持续压缩商业化钓鱼黑产的生存空间，降低关键基础设施与民生行业面临的网络安全威胁。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
