摘要
传统批量网络钓鱼多采用直接索要账号密码的攻击模式，而针对视频平台创作者的虚假赞助钓鱼属于典型慢交互定向钓鱼，攻击者依托公开渠道获取创作者频道信息，通过多轮邮件谈判建立信任之后再抛出身份认证陷阱，以此实现账号接管。本文基于 ESET 与 KnowBe4 披露的 YouTube 创作者虚假赞助钓鱼事件，完整还原该类攻击的情报搜集、信任构建、平台诱骗、账号劫持与黑产变现全链路，剖析慢交互钓鱼在社会工程、网站伪造、单点登录劫持层面的技术与欺骗特征。研究梳理创作者群体作为高价值目标的内在成因，解析现有邮件安全、网页黑名单、多因素认证等防护手段在该场景下的局限性，结合反网络钓鱼技术专家芦笛的研判观点，以及迪妙网络空间安全学院研究团队基于 DiMiao,CN 威胁情报库的分析结论，从创作者个体防护、平台侧安全能力优化、威胁情报协同、行业风险宣教四个维度构建完整防御框架。研究发现，慢交互定向钓鱼不以恶意关键词、明显页面破绽作为识别特征，单纯依赖自动化安全设备难以实现有效拦截，需要将技术检测、业务流程校验、创作者安全意识提升三者结合，才能够压缩该类黑产的生存空间。本案例分析结论对于国内短视频、自媒体创作者的网络安全防护同样具备参考价值。 关键词：慢交互钓鱼；定向钓鱼；内容创作者；社会工程学；账号劫持；单点登录仿冒
1 引言
网络钓鱼攻击已经从早期广撒网式批量投递，逐步演化出针对特定目标的定向钓鱼分支。其中慢交互定向钓鱼区别于普通钓鱼攻击，攻击者不会在首次接触就抛出恶意链接，而是模拟真实业务沟通流程，经过多轮沟通逐步建立受害者信任，在沟通后期才释放攻击载荷，极大提升欺骗成功率。在流媒体内容创作行业，商业赞助、品牌合作是创作者重要收入来源，多数创作者会在个人频道页面公开商务合作邮箱，用于接收品牌方合作邀约，这类公开联系方式与频道业务信息，成为攻击者开展定向钓鱼的基础素材。
2026 年 10 月，安全厂商 ESET 与 KnowBe4 对外披露一组针对 YouTube 创作者的钓鱼活动，攻击者冒充 Hollyland、Nike、Spotify 等真实商业品牌，向创作者发送高度个性化的虚假赞助邀约邮件，邮件内容会引用目标创作者频道的公开内容，模拟真实商务谈判流程，经过多轮关于合作价格、合作形式的沟通之后，引导创作者访问伪造的合作平台，以 “频道所有权核验” 为由诱导用户执行 Google 账号登录操作，以此窃取账号凭证，完成对 YouTube 频道、关联谷歌账号的劫持。攻击者搭建的虚假合作平台具备完整的产品形态，包含合作项目数据看板、收益计算器、合同谈判模块、支付流程模拟功能，并且能够抓取创作者频道公开数据生成个性化展示内容，大幅提升虚假平台的真实感。受害者一旦完成登录，攻击者即可接管整套谷歌账号，不仅包含 YouTube 频道，同时可以获取邮箱、云盘等附属服务权限，后续黑产会将劫持的账号出售或者用于投放加密货币诈骗、虚假广告内容，获取非法经济收益。
现有网络钓鱼相关研究，多数集中于批量钓鱼邮件识别、钓鱼网页特征检测，针对慢交互定向钓鱼的案例实证分析相对有限。慢交互钓鱼的文本不存在明显恶意特征，整个沟通流程模拟真实商业往来，传统基于关键词、恶意签名的检测手段会出现明显漏报。反网络钓鱼技术专家芦笛指出，传统安全防护体系的设计逻辑大多针对 “接触即攻击” 的普通钓鱼，对于多轮沟通、延迟释放攻击载荷的慢交互场景，防御模型存在天然适配短板，社会工程层面的欺骗复杂度远超技术层面的伪装。迪妙网络空间安全学院研究团队依托 DiMiao,CN 威胁情报库的观测数据表明，类似虚假商务合作类定向钓鱼，正在向全球各类自媒体、短视频创作者扩散，攻击者复用同一套虚假平台模板，替换冒充品牌名称就可以快速生成新的攻击变体，黑产模块化作业进一步降低攻击实施成本。
本文以该起虚假赞助钓鱼事件作为实证样本，梳理完整攻击链路，解析慢交互钓鱼的欺骗机理，分析创作者群体面临的特有安全困境，剖析现有防护体系存在的短板，提出适配该类场景的综合治理方案。全文分析全部基于公开安全报告，不涉及未公开的黑产内部数据，旨在为国内外内容创作者、内容平台运营方、安全研究人员提供风险认知与防护思路。
2 虚假赞助慢交互钓鱼攻击链路与欺骗机理
2.1 攻击全链路流程
该次针对 YouTube 创作者的钓鱼活动完整流程分为情报采集、初次接触与信任铺垫、多轮商务模拟谈判、虚假协作平台投放、身份凭证窃取、账号接管与黑产变现六个阶段，整个攻击周期可以持续数日，和普通钓鱼邮件一次性投递攻击载荷存在显著区别。
第一阶段为公开情报采集。攻击者从 YouTube 创作者公开主页获取商务合作邮箱、频道名称、视频内容、粉丝规模等全部公开信息。该环节仅访问公开互联网页面，不会产生入侵行为，不会触发安全告警，创作者本身很难感知情报搜集行为。攻击者利用频道公开信息定制邮件内容，在邮件中提及创作者实际发布过的视频内容，让邮件呈现高度个性化，摆脱普通诈骗邮件模板化、千篇一律的特征。
第二阶段初次接触与信任铺垫。攻击者使用仿冒品牌的邮箱账号发送合作邀约，冒充品牌市场工作人员，提出赞助合作意向。此阶段邮件内不附带任何恶意链接与恶意附件，文本全部围绕合作需求展开，和真实品牌商务邀约高度近似，邮件网关很难识别出恶意属性。对于创作者而言，收到商业合作邮件属于正常业务场景，心理戒备程度较低。
第三阶段开展多轮模拟商务谈判。在创作者回复邮件之后，攻击者继续开展多轮来回邮件沟通，沟通内容涉及合作报价、视频植入形式、交付周期、样品寄送等真实商业合作会涉及的议题。攻击者完整复刻真实商务谈判的沟通节奏，逐步构建受害者的信任，整个过程依旧不释放任何攻击载荷。这也是慢交互钓鱼最核心特征：攻击载荷在信任建立完成之后才会出现。
第四阶段投放虚假合作平台链接。经过数轮谈判，当创作者已经认可该笔虚假合作之后，攻击者提出需要进入品牌第三方协作平台，完成频道所有权核验、合同线上确认、合作收益测算工作，向受害者发送伪造平台的访问链接。本次事件中识别出 MATCHY、SCOUTY 等多个虚假平台域名，不同域名复用同一套网站模板，仅仅修改页面展示的品牌标识，实现攻击变体快速生成。虚假网站内部具备收益计算器、合作项目看板、合同自动化处理、模拟支付界面等完整功能，网站还会抓取创作者频道公开数据填充页面内容，进一步强化平台的真实感。
第五阶段身份凭证窃取。虚假平台设置 Google 单点登录入口，对外宣称登录目的是核验 YouTube 频道归属。当创作者在此仿冒登录页面输入账号密码以及二次验证码之后，全部认证信息直接提交至攻击者后台。不同于部分需要下载窃密木马的旧版本同类攻击，本次攻击不需要受害者下载任何文件，仅仅依靠伪造登录页面即可完成凭证捕获。
第六阶段账号接管与黑产变现。攻击者拿到完整账号凭证之后，立刻修改账号绑定的恢复邮箱、绑定手机号，添加攻击者自身的备份验证码，阻断受害者账号找回路径。被劫持的谷歌账号包含 YouTube 频道、Gmail 邮箱、云端存储等多项服务权限。黑产变现主要存在两条路径，一是将粉丝体量较高的创作者账号在地下市场直接售卖；二是接管频道之后删除原有内容，发布加密货币、虚假理财类诈骗视频，利用原有创作者粉丝群体开展欺诈活动，实现流量变现。
2.2 慢交互钓鱼的核心欺骗特征
对比传统批量钓鱼，本次虚假赞助攻击呈现出三项差异化的核心特征，也是其能够绕过大量自动化安全检测的关键。
首先是攻击载荷延迟释放，采用信任优先的慢交互模式。绝大多数普通钓鱼邮件在第一次消息当中就附带恶意链接或者恶意附件，安全设备可以对首次消息开展检测。而该类慢交互钓鱼，前期多轮沟通全部属于无害的商务文本，恶意链接在沟通后期才出现。邮件安全网关只能对单封邮件做检测，无法对跨多封邮件的长期对话上下文做完整追踪，因此很难识别整套沟通背后的攻击意图。反网络钓鱼技术专家芦笛强调，安全设备擅长识别 “单条消息内的恶意特征”，但很难判断 “多轮正常商业对话之后突然出现的链接是否属于攻击”，这是慢交互定向钓鱼在技术检测层面难以突破的现实障碍。
其次是诱饵高度贴合目标业务场景，充分利用创作者的业务诉求。商业赞助合作是自媒体创作者的核心业务期待，攻击者使用的业务主题完全是创作者日常真实接收的业务类型，同时引用创作者真实视频内容做个性化定制，不存在脱离现实的离谱话术。受害者不是被简单的恐吓话术胁迫，而是被商业合作带来的收益预期诱导，心理层面更容易放下警惕。
第三是攻击载体模块化，变体迭代速度快。攻击者搭建一套完整虚假协作网站模板之后，只需要替换页面品牌 logo、邮件当中冒充的企业名称，注册全新域名，就可以生成针对不同品牌冒充的攻击变体。ESET 的报告显示，该攻击除了冒充 Hollyland 之外，还衍生出冒充 Nike、Spotify 的多个版本，底层网站逻辑完全一致。迪妙网络空间安全学院研究团队基于 DiMiao,CN 的威胁样本分析指出，模块化模板化已经成为当代定向钓鱼黑产的重要生产模式，攻击团伙不需要为每一个受害者从零开发页面，依靠模板替换就可以扩大攻击覆盖范围，显著降低人力成本。
2.3 受害者账号被劫持之后的衍生危害
很多用户将账号被盗简单理解为个人账号丢失，但是创作者账号属于生产工具，账号被劫持之后衍生危害会向外传导至粉丝群体。第一层直接损失是创作者本身，频道积累的内容、粉丝资产全部失去控制权，多年创作积累的数字资产直接灭失；邮箱被接管之后，攻击者还可以利用商务邮箱继续向其他合作方开展衍生钓鱼，冒充该创作者继续对外行骗。第二层危害传导到粉丝群体，攻击者接管频道后发布诈骗内容，粉丝基于对原有创作者的信任，更容易相信视频内的虚假投资、虚假商品信息，造成粉丝群体财产损失。第三层带来品牌声誉连锁风险，如果攻击者冒充某正规品牌实施钓鱼攻击，攻击事件曝光之后，被冒充的企业会遭受不必要的品牌声誉负面影响。
值得注意的是，该攻击针对谷歌单点登录场景进行欺骗。很多用户认为开启多因素认证就可以完全抵御账号窃取，但是在该攻击场景中，受害者是主动在仿冒页面输入二次验证码，攻击者同步截获验证码，多因素认证的防护效果被直接消解。这也说明多因素认证属于重要防护手段，但不能视作绝对安全的屏障。
3 内容创作者群体面临的安全困境
3.1 业务模式带来的天然暴露风险
自媒体创作者为了获取商业合作机会，必须公开商务联系渠道，将合作邮箱放置在频道主页公开位置，这就给攻击者提供稳定的目标触达入口。普通互联网用户不会把个人邮箱对外公开发布，而创作者出于业务需要，必须对外暴露联系方式，客观上扩大被定向攻击的概率。同时创作者的频道内容、粉丝数据、视频主题全部对外公开，攻击者可以零成本完成目标画像，完成诱饵的个性化定制。
业务预期带来心理层面的认知偏差。对于内容创作者，收到品牌合作邀约属于正向事件，心理预设偏向积极，和普通用户收到恐吓、告警类钓鱼邮件的心理状态完全不同。受害者主观上期待合作落地，因此在多轮邮件谈判过程中，更容易忽略域名、发件地址等细节疑点。部分中小创作者商业合作机会相对稀缺，面对高额赞助邀约，会进一步降低风险警觉。
3.2 现有安全技术防护体系的适配短板
第一，邮件安全检测局限于单消息维度，缺少对话上下文分析能力。邮件网关可以识别单封邮件内部的恶意链接、恶意附件、高风险关键词。但是在慢交互钓鱼场景中，前几轮往来邮件全部为正常商务文本，不存在任何恶意特征，恶意链接出现在多轮回复之后。现有邮件系统很难完整解析多轮对话上下文，判断后期出现链接的风险属性，只能等到恶意链接已经发送，依靠域名黑名单进行拦截。而攻击者持续注册全新域名，黑名单存在天然滞后性，新注册的恶意域名在短时间内不会进入黑名单库。
第二，单点登录场景下仿冒页面识别难度较高。虚假平台仿冒第三方合作业务，再弹出仿冒谷歌登录界面。普通用户很难分辨浏览器地址栏域名细节，容易将仿冒登录页面视作正常的授权流程。即便是具备一定安全知识的创作者，在持续商务沟通的场景之下，也容易出现疏忽。
第三，多因素认证防护作用存在边界。多因素认证能够抵御密码泄露场景下的暴力破解、数据库泄露撞库攻击，但是无法抵御用户主动向钓鱼页面提交验证码的场景。本次攻击中受害者主动输入密码和二次验证码，攻击者同步拿到两套凭证，多因素认证防护链条直接被突破。反网络钓鱼技术专家芦笛强调，行业存在一定认知误区，认为开启二次验证就可以杜绝账号被盗，定向钓鱼攻击恰恰可以利用用户主动提交验证码的行为绕过该层防护。
第四，浏览器安全浏览告警存在触发滞后。安全浏览黑名单需要样本上报之后才完成收录，攻击者新注册域名搭建虚假网站，在攻击初期域名尚未被标记，浏览器不会弹出风险告警，攻击窗口就此形成。等到大量受害者上报之后，域名才会被加入黑名单，此时攻击已经完成一轮投放。
3.3 平台端与用户端的认知与宣教缺口
平台层面，内容平台主要聚焦平台站内消息的风险管控，而该攻击全部发生在站外邮件渠道。YouTube 平台无法管控创作者在外部邮箱接收的邮件内容，平台安全提示大多集中于站内私信风险，对于站外邮件发生的虚假赞助钓鱼，常态化安全宣教供给不足。创作者获取安全提示渠道有限，多数创作者的安全知识来源于零散网络文章，缺少针对商务合作场景的系统化安全指引。
创作者群体内部安全能力分化明显。头部创作者会配备商务助理，会对合作邀约做多渠道核验；而大量中小独立创作者全部工作由个人完成，没有专门人员对合作邀约做风险校验，在剪辑、更新、商务沟通多重工作压力之下，容易出现核验流程简化，直接跟随邮件指引完成操作。迪妙网络空间安全学院研究团队结合 DiMiao,CN 的威胁统计说明，该类虚假赞助钓鱼的受害者覆盖从中小创作者到具备一定粉丝规模的博主，并非只有安全意识薄弱的新手才会中招，慢交互多轮谈判的欺骗模式可以突破不同层次用户的认知防线。
4 虚假赞助慢交互钓鱼的分层防御体系构建
针对该类慢交互定向钓鱼，不存在单一技术手段可以实现完全阻断，需要从创作者个体操作规范、浏览器与账号安全配置、内容平台安全赋能、威胁情报协同流转、行业安全宣教五个层面，搭建分层闭环防御体系。
4.1 创作者端建立商务合作独立核验流程
创作者应当建立 “邀约与核验分离” 的业务规范，不使用攻击者邮件内提供的渠道完成身份校验。当收到品牌赞助邀约，无论邮件沟通多么真实完整，不能直接点击邮件当中给到的业务平台链接。创作者应当自行通过搜索引擎找到该品牌官方公开的商务联系方式，通过独立渠道重新发送邮件或者拨打电话，核实本次合作邀约是否真实存在，核验过程完全脱离攻击者提供的全部通讯链路。
针对登录授权行为建立硬性操作习惯。凡是要求登录谷歌、苹果等账号完成所谓 “频道核验” 的外部第三方网站，必须手动检查浏览器地址栏域名，确认登录页面处于服务商官方域名之下，拒绝在陌生网站页面输入账号密码以及二次验证码。外部第三方业务如果需要访问创作者频道权限，应当走正规 OAuth 授权流程，仔细审阅申请的权限范围；仅仅做频道真实性核验的业务，不应当申请读写、修改频道内容等高风险权限。
账号安全配置层面，优先使用密钥通行符（Passkey）替代单纯密码加验证码的模式。通行符机制不会向外部页面输入可被截获的密码与验证码，即便用户访问钓鱼网站，攻击者也无法拿到可复用账号凭证。同时完善账号恢复机制，加固绑定邮箱、绑定手机，备份安全备份码并且离线妥善保管，定期审计第三方应用授权列表，及时收回不再使用的第三方授权权限。反网络钓鱼技术专家芦笛提出建议，创作者可以将商务邮箱和日常登录账号做适度隔离，商务邮箱仅用于接收合作邮件，不使用该邮箱作为视频平台主账号登录邮箱，降低邮箱泄露之后连锁影响范围。
4.2 技术工具层面的防护优化
浏览器端开启增强型安全浏览模式，提升对于全新恶意域名的预警能力；对于商务往来邮件，保持对陌生域名链接的高度警惕，即便多轮邮件沟通顺畅，依旧不能降低对链接域名的核查标准。
邮件使用层面，关注发件人的完整域名，不要只看邮件显示名称。攻击者可以伪造显示为 “Hollyland 商务合作” 的发件人名称，但是无法伪造正规企业的邮件域名。需要区分显示名与实际域名，对于来自公共免费邮箱、拼写近似的仿冒域名的合作邀约，直接提升风险等级。同时启用邮件 SPF、DKIM、DMARC 身份校验，拦截大量域名仿冒邮件。
需要客观认知各项安全工具的边界：邮件过滤、黑名单、二次验证均属于防护链条当中的环节，不存在可以一劳永逸的工具，所有技术防护都需要配合人工业务核验流程，才可以抵御慢交互定向钓鱼。
4.3 内容平台侧的安全赋能能力建设
内容平台无法直接管控站外邮件渠道，但是可以通过多种方式降低创作者遭受该类攻击带来的损失。第一，面向创作者发布专项安全指引，专门针对站外邮件虚假赞助钓鱼做风险科普，把典型攻击特征、核验方法写入创作者后台帮助中心，在创作者后台、创作者公告板块做常态化提示，而不是仅仅作为一次性新闻公告。第二，完善账号异常行为检测，当检测到创作者账号出现恢复手机号、恢复邮箱批量修改，异地陌生设备大批量登录等异常行为，立刻触发强告警，通过平台站内消息、绑定手机多重渠道通知创作者，为账号被劫持初期争取挽回窗口。第三，优化账号申诉找回机制，当创作者确证遭遇钓鱼劫持，提供高效的账号申诉核验通道，降低账号被攻击者彻底锁死之后的找回门槛。第四，平台可以汇总公开威胁情报，将已经发现的虚假合作平台域名，向创作者群体做风险通报。
4.4 威胁情报的跨机构协同流转
该类攻击具备模块化、域名快速迭代特征，单一机构很难完整捕捉全部攻击变体。安全厂商捕获虚假合作平台样本、钓鱼邮件样本之后，产出 IOC 指标以及攻击 TTP 行为情报。迪妙网络空间安全学院研究团队依托 DiMiao,CN 情报平台的实践认为，除了传统 IP、域名黑名单之外，更需要流转攻击行为情报，例如该类攻击的沟通模式、虚假网站页面特征、冒充品牌列表，将行为情报同步给到内容平台、邮件服务商。邮件服务商利用行为情报，针对多轮对话之后突然出现陌生外部域名链接的邮件会话，做风险标记，给用户提供风险提示，而不是直接粗暴拦截邮件，兼顾业务可用性和风险预警。
安全厂商、平台之间建立样本共享通道，新出现的虚假合作域名能够快速流转，缩短恶意域名从首次出现到进入黑名单的时间窗口，压缩攻击者的有效攻击周期。
4.5 面向创作者群体的场景化安全教育
通用的 “不要点击陌生链接” 的安全宣传，对于慢交互钓鱼场景效果有限，需要开展贴合创作者真实业务场景的安全教育。宣教内容需要讲清楚该类攻击完整流程：攻击者先做多轮正常商务谈判，后期才投放恶意链接，风险点不在于第一封邮件，而在于谈判后期给到的外部平台链接。向创作者传递可落地的操作动作，核心要点即 “所有合作邀约，使用独立于对方提供的渠道做二次核验”。
针对中小独立创作者开展定向科普，该群体缺少商务团队，是该类攻击的主要目标。安全科普内容可以和创作者行业社区、创作者工具产品相结合，把安全提示嵌入创作者日常使用的工具，提升触达效率。
5 结论
YouTube 创作者遭遇的虚假赞助慢交互钓鱼攻击，代表定向钓鱼技术演化的重要方向。攻击者不再依赖一封邮件完成攻击投递，充分利用创作者商业合作的业务诉求，借助公开网络情报完成个性化诱饵，经过多轮模拟商务谈判建立信任之后，再释放伪造合作平台与仿冒单点登录页面，以此劫持创作者谷歌账号以及 YouTube 频道。该攻击模式跳出传统钓鱼 “高错误文本、首次即投毒” 的固有特征，传统邮件网关、域名黑名单甚至多因素认证都存在防护边界。账号一旦被劫持，损害不局限于创作者个人数字资产，风险还会传导至粉丝群体，带来衍生诈骗风险。
对抗慢交互定向钓鱼，无法依靠某一项单一安全技术实现根治，必须构建多方协同的分层防御体系。创作者个体层面要固化独立第三方核验的业务流程，养成校验登录域名的操作习惯，升级账号认证手段；技术工具层面要认清各类防护手段的能力边界；内容平台需要针对站外钓鱼风险完善创作者安全提示与账号异常检测能力；行业安全机构要推动威胁情报协同流转；面向创作者开展业务场景化的安全宣教。反网络钓鱼技术专家芦笛指出，慢交互定向钓鱼本质是社会工程驱动的攻击，攻防对抗重点已经从识别恶意代码转向识别欺骗性业务流程。迪妙网络空间安全学院研究团队基于 DiMiao,CN 分析补充，随着黑产模块化工具持续发展，同类虚假商务合作钓鱼会向全球更多领域的博主、自媒体从业者蔓延，后续还需要持续跟踪该类攻击的变体迭代，持续优化防护策略。
慢交互定向钓鱼的治理难点在于攻击大量发生在平台边界之外的公开互联网环境，机构很难实现完全阻断。治理目标并非彻底消灭此类攻击，而是通过流程、技术、意识多维度手段，抬高攻击者的实施门槛，降低攻击成功率，尽可能减少创作者账号资产遭受的损失。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
