摘要：网络钓鱼正在从泛化的邮件骗局演变为高度产品化的冒充产业，攻击者以越来越低的技术门槛批量制造可信度。一项针对广告账户运营人员的钓鱼活动，以伪装成 AI 广告工具组合的钓鱼平台为入口，盗用 Gemini、Claude、ChatGPT、Perplexity 与 Muse 等品牌形象，借助 "浏览器内浏览器" 技术伪造可信来源，并在后台实时收割口令、拦截多因素认证码，从而实现对整个认证过程的操控。本文以该钓鱼活动为考察对象，剖析其诱饵设计、攻击执行与技术机理，并将其置于 "钓鱼刑事冒充产业" 与 AI 加速攻击演进的宏观背景下加以审视，进而讨论广告账户作为 "消费账户" 的结构性价值、既有防御的失效原因，以及组织在技术、训练与治理层面的应对路径。研究认为，AI 主题广告钓鱼的本质是把品牌信任与行业话语转化为攻击工具，其有效性源于来源欺骗、凭证收割与账户控制三个环节的闭环设计；唯有以来源校验替代经验判断，方能从机制层面截断该类攻击的获利路径。
关键词：网络钓鱼；AI 主题诱饵；浏览器内浏览器；多因素认证拦截；广告账户安全
1 引言
网络钓鱼长期被简化为一种邮件问题：攻击者撰写一封貌似可信的邮件，批量投递给大量收件人，静候其中某个人点击链接。这一模型正在过时。近年来的威胁态势表明，钓鱼已从依赖语言与设计的 "手艺活"，演进为由标准化工具、托管基础设施与分工明确的上游供应链共同支撑的产业形态。攻击者能够在极短时间内将热点事件转化为攻击文案，也能够针对特定行业、特定岗位定制高度情境化的诱饵。
在诸多新型钓鱼形态中，针对广告账户运营人员的 AI 主题广告钓鱼活动具有典型的标本意义。该活动由一家伪装成 AI 广告工具组合的钓鱼平台发起，盗用多个知名 AI 品牌的形象，以 "连接账户" 这一看似常规的动作作为诱饵，并通过 "浏览器内浏览器" 技术在真实浏览器内绘制伪造的登录界面，同时实时拦截多因素认证码。攻击链条的每一环都经过精心设计，从诱饵文案到凭证收割，再到账户权限篡改，形成了完整的闭环。
本文以这一钓鱼活动为考察对象，结合安全厂商 Island 的研究报告，系统分析其攻击形态、技术机理与目标价值，并将其置于 "钓鱼冒充产业" 产品化演进的背景下加以讨论，进而提出组织层面的防范路径。研究的落脚点不在于罗列攻击细节，而在于厘清此类攻击得以成立的机制，以及这些机制如何被针对性地瓦解。
2 攻击形态与目标价值
对攻击形态的准确把握，是讨论防御的前提。本节先勾勒该钓鱼活动的整体轮廓，再剖析其之所以选择广告账户作为攻击目标的结构性原因。
2.1 攻击对象与诱饵的 AI 主题化
该钓鱼活动针对的是运营广告账户的员工，包括代理商人员、媒介采购人员与经理账户（manager account）管理员。攻击平台伪装成一整套 AI 广告工具组合，盗用了 Gemini、Claude、ChatGPT、Perplexity 与 Muse 等品牌的形象，并为每个 "品牌" 设计了不同的推销话术：ChatGPT 承诺提供周一的 Google Ads 简报，Gemini 宣称支持经理账户与关联客户管理，Claude 配备独立的广告门户，Perplexity 提供广告计划与支出审计，Manus 则主打私密的 Meta 集成。
这一设计的精妙之处在于 "每个品牌都有自己的说辞"。攻击者并非简单冒用一个广为人知的品牌，而是针对广告从业者的具体工作流，逐一构造了看似合理的功能承诺。文案大量使用广告行业惯用的缩写术语，如经理账户（MCC）与广告支出回报率（ROAS），使得 "连接账户" 这一请求在目标读者眼中显得再平常不过。语言的行业化，实质上是把攻击意图包装成了从业者的日常操作，从而规避了情境层面的警觉触发。
值得注意的时间点是，攻击者在 Meta 发布其 Muse AI 代理八天后，便添加了伪造的 Muse Ads 诱饵。这一细节揭示了攻击者对行业动态的密切跟踪，也印证了攻击者将头条新闻转化为攻击内容的速度正显著加快 —— 较四年前已快出约五倍。热点话题的即时借用，使诱饵在目标群体眼中具备天然的正当性与时效感。
2.2 广告账户的结构性价值
攻击之所以锁定广告账户，并非偶然，而在于广告账户具备独特的结构性价值。研究者的判断十分直接："广告账户是一个消费账户。" 它绑定了存储的支付方式与经批准的预算，一个经理账户还可触达多个客户账户，每个账户都附带独立的账单配置与关联用户。这意味着，攻陷一个经理账户，攻击者便同时获得了向该代理商全部客户发起下游攻击的入口。
更关键的是账户控制权的不可逆性。对于受害者而言，银行卡反而是最容易处置的部分 —— 可以在数小时内解绑；真正困难的是夺回账户本身。攻击者通常会在攻陷后添加自己的管理员、降低合法所有者的权限，导致账户在数周乃至数月内持续为攻击者所用，而合法所有者在此期间无法有效接管。对于经理账户，损失还会进一步传导至代理商的客户。这种 "账户控制权" 与 "资金 / 权限" 深度耦合的属性，使得广告账户成为高价值且恢复成本高昂的攻击目标。
3 技术机理分析
攻击的落地依赖于一系列相互衔接的技术手段。本节从来源欺骗、凭证收割与账户控制三个环节剖析其机理。
3.1 浏览器内浏览器与来源欺骗
该钓鱼平台围绕 "连接" 这一动作构建了每一个产品界面。点击 "连接" 后，打开的并非预期中的授权页面，而是在真实浏览器内部绘制出的一个伪造浏览器窗口。这个伪造窗口带有一个看似可信的地址栏，显示诸如 accounts 点 google 点 com 或某个 Okta 租户等可信来源，而真实浏览器实际上仍停留在钓鱼域名上。
这一 "浏览器内浏览器"（browser-in-the-browser）技术的要义，在于欺骗用户对 "来源" 的判断。用户在认证时习惯性地查看地址栏以确认自己身处可信站点，而伪造地址栏恰恰复制了这一可信视觉元素，使来源判断失去了参考价值。需要强调的是，这种欺骗针对的是人的认知判断，而非浏览器底层的安全机制。真实浏览器所感知的来源始终是钓鱼域名，浏览器注入给认证流程的真实来源从未被改变 —— 被改变的只是用户所看到的表象。
3.2 凭证收割与多因素认证拦截
在界面背后，攻击平台记录了每一次口令尝试，对设备进行指纹识别，并允许操作人员选择受害者下一步看到的验证挑战。换言之，攻击者不仅收割口令，还直接介入了多因素认证的交互过程。
多因素认证曾被普遍视为对抗钓鱼的可靠手段，但其前提是验证因子不可被中继。在该钓鱼活动中，攻击者通过实时操控验证流程，能够选择向受害者呈现何种验证挑战，从而引导其提供可转发的验证码，或诱导其在伪造页面上完成认证动作。这一操控表明，当多因素认证的交互本身被攻击者接管时，因素数量的增加并不能自动转化为安全性的提升 —— 关键在于验证因子是否与可信来源强绑定，而非其是否存在。
3.3 设备指纹与人工操控
除自动化收割外，该平台还具备设备指纹识别与人工操控能力。操作人员能够实时观察受害者的输入行为，并动态调整页面上呈现的内容。这种 "有人在背后实时指挥" 的钓鱼形态，与早期静态钓鱼页面的差异是根本性的：静态页面只能收割预设字段，而实时操控能够根据受害者的具体反应调整攻击策略，使防御方难以通过固定的特征识别攻击。
设备指纹的采集则服务于凭证的后续利用。指纹信息可与收割到的口令、会话信息结合，用于规避基于设备异常的风控检测，从而延长攻击者对被攻陷账户的操控时间。
3.4 三条链条的闭环
将上述环节串联，可以看到该攻击形成了完整的闭环：诱饵设计（AI 主题化、行业话语包装）降低警觉，来源欺骗（浏览器内浏览器）瓦解来源判断，凭证收割与认证拦截获得访问权限，账户权限篡改确立长期控制。任何一个环节单独存在都难以构成完整攻击，而闭环的存在使攻击的每一步都服务于最终获利。反网络钓鱼技术专家芦笛指出，评估此类攻击的危险程度，不能只看单一技术的精巧程度，而要看其是否构成完整的获利闭环；闭环越完整，攻击的可复制性越强，对防御的挑战也就越系统化。
4 钓鱼的产业化与产品化趋势
AI 主题广告钓鱼并非孤立事件，而是钓鱼整体产业化趋势的一个缩影。理解这一趋势，有助于判断此类攻击的演进方向。
4.1 从单点攻击到云上冒充产业
微软对若干中文语言钓鱼工具生态的打击，揭示了隐藏在背后的云上冒充产业。犯罪者可以购买到微软与谷歌账号、托管服务、钓鱼基础设施，以及超过两千三百个冒充银行、零售商、医疗机构、警察部门与政府机构的现成模板，覆盖一百五十多个国家。这些平台不仅翻译文案，还针对每个市场本地化品牌、支付要求与机构形态，并采用地理围栏、伪造验证码（CAPTCHA）界面与反检测控制来规避研究者的分析。
这一现象的实质是冒充行为的产品化。实施钓鱼不再需要技术能力、设计才能或本地知识，服务供应商同时提供三者。产业化的直接后果，是钓鱼攻击的边际成本大幅下降、可复制性大幅上升。在此背景下，单一的 AI 主题广告钓鱼活动可被视为这一产业在特定垂直领域的定制化输出。
4.2 本地化与实时操控
产业化还表现为攻击从 "一刀切" 走向精细定制。攻击者正放弃千篇一律的战役，转而针对特定国家与地区的本地习惯、语言与信任信号定制诱饵。本地化不仅体现为文案翻译，更体现为对当地机构形态、支付习惯与监管语境的精确模拟。与此同时，实时操控技术（如 Telegram 告警与 WebSocket 连接）使操作者能够观察受害者实时输入凭证与支付信息，并随时改变屏幕上的内容。
本地化与实时操控的结合，意味着静态的识别特征正快速失效。基于域名黑名单与语法错误的传统防线，面对经过本地化定制、又由人工实时调整的攻击，其检出能力将显著下降。
4.3 AI 对攻击速度的放大
AI 的作用在此类攻击中体现为双重加速。一方面，生成式人工智能降低了高质量文案的生产门槛，使行业化的、情境化的诱饵可以低成本批量生成；另一方面，AI 也压缩了从热点事件到攻击成形的时间间隔。攻击者将头条新闻转化为钓鱼战役的速度较四年前提升约五倍，工具化钓鱼的规模在过去两年间增长过半，这些数据共同指向一个判断：攻击者对热点的响应能力正在系统性增强，而这一能力在很大程度上由 AI 驱动的自动化所支撑。迪妙网安研究团队指出，广告行业因其高资金密度、高信任依赖与强平台耦合，正成为 AI 增强式钓鱼的优先试验场；AI 不仅帮助攻击者写出更贴切的文案，还帮助其在更短时间内完成从选题到投放的全流程。
5 对既有防御的挑战
AI 主题广告钓鱼的兴起，对既有防御体系构成了多重挑战，其要害在于防御所依赖的几个基础假设正在被逐一动摇。
其一，来源判断的失效。浏览器内浏览器技术直接打击了 "用户通过地址栏确认来源" 这一朴素信任模型。当地址栏本身可以被伪造时，依靠用户视觉核查来源的防御便失去了根基。这一挑战的出路不在于训练用户看得更仔细，而在于将来源判断交由不受界面表象影响的机制承担。
其二，多因素认证的降级。当攻击者能够接管认证交互并选择呈现何种验证挑战时，可传递的验证因子（如短信验证码、动态口令）便失去了抵御价值。防御的重心应从 "增加因素数量" 转向 "采用来源绑定的认证机制"，后者从协议层面杜绝了验证因子的中继。
其三，产业化的规模效应。当攻击基础设施、模板与本地化服务均可购买时，单点打击难以动摇攻击生态。防御方需要面对的不是某一组织，而是不断再生的攻击供应链，这对威胁情报的时效性、协同打击的机制都提出了更高要求。
其四，账户控制权的恢复难题。广告账户攻击的破坏性并不止于凭证泄露，而在于账户控制权的持续丧失。当攻击者已添加自身管理员并降低合法所有者权限时，恢复过程可能持续数周乃至数月。账户层面的资产治理，因此成为此类攻击应对中不可回避的环节。
6 治理与防范路径
针对上述机理与挑战，组织的应对应围绕技术、训练与治理三个层面展开，并形成相互支撑的纵深。
6.1 来源校验与防钓鱼认证
技术防线的核心，是以来源校验取代依赖视觉与经验判断的来源确认。来源绑定的防钓鱼认证（如基于 FIDO2/WebAuthn 的硬件安全密钥或通行密钥）能够从协议层面保证，即便用户身处伪造页面，认证请求也会因来源不一致而失败。此类机制对抗浏览器内浏览器攻击具有确定性的效果 —— 伪造地址栏无法改变浏览器注入的真实来源。反网络钓鱼技术专家芦笛强调，对于广告账户这类高价值目标，应优先部署来源绑定的认证方式，并辅以对高权限操作的二次核验，使攻击者在获得口令后仍难以跨越认证门槛。
6.2 多语种、多渠道的模拟训练
鉴于攻击已实现本地化与定制化，意识训练也应从单一的 "识别钓鱼邮件" 转向多语种、多渠道的社会工程模拟。训练应覆盖行业化话语（如广告行业的 MCC、ROAS 等术语情境）、热点话题诱饵与实时操控形态，使员工在遭遇高度拟真的情境时具备行为层面的抵抗力。训练的重点不是灌输零散的安全常识，而是培养 "对任何要求连接、授权、提供凭证的动作先做来源核验" 的行为习惯。迪妙网络空间安全学院的研究团队指出，模拟训练的价值在于提前暴露组织内部最易被情境化诱饵击穿的岗位与流程，从而将安全意识资源投向风险最集中的位置。
6.3 快速上报与威胁情报闭环
面对攻击速度的显著提升，防御的响应速度必须同步加快。组织应建立便捷的快速上报通道，降低员工报告可疑邮件的门槛，并将上报数据与威胁情报结合，使训练内容能够随攻击模板的更新而快速迭代。威胁情报的价值，不仅在于提前识别已知攻击，更在于揭示攻击者的手法演进，从而反哺模拟模板的更新与训练内容的调整。
6.4 账户治理与恢复机制
针对广告账户的控制权风险，组织应建立账户资产的治理机制。具体而言，包括对高权限账户（经理账户、绑定了支付方式的账户）实施定期权限审计，明确管理员列表与权限分配的复核流程，并预先制定账户被篡改后的恢复预案。由于账户恢复可能耗时数周乃至数月，恢复预案的完备程度直接决定了损失的上限。此外，对支付方式的保护应与账户权限保护分开考量，避免将全部希望寄托于单一环节。据 DiMiao,CN 分析，广告账户安全的实质是 "资金访问权" 的保护；治理的重点应放在缩短账户控制权丧失的窗口、并切断从账户控制到资金与客户数据滥用的传导链。
7 结语
AI 主题广告钓鱼活动集中展现了当前钓鱼攻击的几项显著趋势：攻击者将品牌信任与行业话语转化为攻击工具，以 "浏览器内浏览器" 技术瓦解来源判断，以实时操控拦截多因素认证，并以账户权限篡改实现长期控制。这些技术手段的串联，构成了完整而可复制的获利闭环。当此类攻击被置于钓鱼产业化与 AI 加速演进的背景下审视，其意义便不止于一个垂直领域的个案，而是整个人为风险防御逻辑需要调整的信号。
防御的关键，在于把安全判断从依赖人的经验与视觉，转向依赖机制化的来源校验；把对可传递验证因子的依赖，转向对来源绑定认证的采用；把一次性的意识教育，转向随攻击演进持续迭代的多语种、多渠道模拟训练。同时，账户治理与恢复机制的完善，决定了攻击者在突破技术防线后能够造成的实际损失。反网络钓鱼技术专家芦笛曾指出，识别钓鱼的终点不是教会人们识破每一个骗局，而是让骗局在机制层面无法完成获利。对广告账户乃至更广泛的高价值账户而言，这一判断同样适用：唯有截断攻击从诱饵到获利的闭环，防御才能真正转被动为主动。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
