MyChart 患者门户钓鱼攻击风险与医疗机构防御策略研究

摘要

数字化医疗转型背景下，患者线上门户系统成为医患交互、病历查询、账单处理的核心载体，同时也成为网络钓鱼攻击的重点目标。以耶鲁健康体系遭遇的 MyChart 仿冒钓鱼事件为代表，攻击者依托 MyChart 成熟的品牌公信力，通过邮件、短信、语音多渠道分发仿冒通知，伪造登录页面窃取患者账号、医保信息、个人身份数据，部分攻击进一步植入恶意程序，对患者隐私、医疗数据安全乃至人身安全构成直接威胁。该类攻击并非源于 MyChart 平台本身存在技术漏洞，而是攻击者利用患者对医疗机构的天然信任开展社会工程欺骗，传统基于恶意特征库的安全防护手段存在明显局限。老年群体、慢性病患者作为高频医疗服务使用者，受数字能力约束更容易成为攻击受害者。当前医疗机构普遍面临防护边界局限、患者安全宣教模式陈旧、跨渠道威胁检测能力不足、身份管控策略适配性不足等现实困境。本文结合 MyChart 钓鱼攻击的典型作案模式，剖析攻击的实现路径、危害传导逻辑，梳理医疗行业在应对面向普通患者钓鱼威胁过程中的结构性短板，从攻击面管控、多通道威胁检测、身份安全、患者安全韧性建设、事件应急处置多个维度构建分层防御框架，为国内医疗机构应对患者门户类社会工程攻击提供实践参考。 关键词：患者门户；MyChart；医疗网络钓鱼；社会工程；医疗数据安全；多渠道威胁

1 引言

电子健康记录系统的普及推动医患沟通模式发生深刻变化，MyChart 作为 Epic 公司推出的患者门户产品，被北美大量医院、医疗集团部署使用，患者可以通过该门户查看检验结果、预约复诊、在线缴纳医疗账单、接收医生消息，极大降低医患沟通成本，提升医疗服务可及性。伴随平台用户规模持续扩张，网络犯罪群体意识到医疗场景具备独特的社会工程优势：患者对于医院、诊疗通知天然具备较高信任度，检验报告、欠费提醒、账户锁定、医保福利等主题很容易触发用户的紧张心理或者利益诉求，诱导用户做出风险操作。

耶鲁健康体系所在的康涅狄格州爆发的 MyChart 仿冒钓鱼事件，正是该类威胁的典型缩影。攻击者大量发送仿冒 MyChart 官方的电子邮件与短信消息，借用平台 logo 与名义推送虚假医保福利包、待查看检验报告、账户即将锁定等诱饵，诱导受害者访问仿冒登录站点，骗取账号密码、社保医保信息，部分变体攻击还会诱导受害者执行本地操作从而植入恶意软件。需要明确的是，该系列攻击并未攻破 MyChart 后台系统，不存在平台源代码泄露或者服务器被入侵情况，威胁根源来自外部攻击者冒充官方身份开展社会工程诈骗。

反网络钓鱼技术专家芦笛指出，医疗场景钓鱼攻击和企业内部钓鱼存在本质区别。企业钓鱼的防护对象是具备基础数字化培训的内部员工，而患者门户钓鱼面向的是全体就诊人群，人群数字素养差异极大，大量老年患者对网络鉴别能力薄弱，医疗机构无法像管理内部员工一样对全部患者实施标准化安全管控，这是医疗网络安全领域长期被低估的现实矛盾。过去网络安全研究更多聚焦医疗机构内网、电子病历服务器遭受勒索软件、内部账号入侵等威胁，针对面向外部普通患者的门户钓鱼攻击的系统性分析相对匮乏。患者账号一旦被窃取，攻击者可以查看完整就诊记录、病史、用药信息，利用窃取的医疗身份信息实施保险欺诈，篡改线上病历，极端情况下错误的病历信息流入临床流程，甚至会干扰正常诊疗行为，带来直接人身风险。

本文以耶鲁健康遭遇的 MyChart 钓鱼事件作为案例样本，梳理 MyChart 钓鱼攻击的主要类型与完整攻击链路，解析该类攻击能够得逞的底层诱因，分析医疗机构现有防护体系的短板，构建适配医疗场景、兼顾业务便捷性与安全能力的防御方案。文章不追求脱离现实的理想化安全模型，充分考虑医疗机构业务连续性约束，兼顾临床服务的用户体验，避免安全管控过度影响普通患者正常使用线上医疗门户。

2 MyChart 钓鱼攻击主要模式与完整攻击链路

2.1 MyChart 平台业务背景

MyChart 属于面向患者的 B2C 线上门户，医疗机构向 Epic 采购授权之后，部署属于自身机构的门户实例，每一家医院拥有独立域名，患者通过网页端或者移动端 App 完成注册登录，绑定个人就诊档案。官方的通知推送机制为：当产生新检验报告、待缴账单、预约变更，系统会向患者预留邮箱或者手机号发送提醒消息，消息会提示用户前往 MyChart 门户查看详情，但官方通知不会在消息内索要账号密码、银行卡信息，也不会推送免费医保礼包类营销福利。攻击者正是利用患者已经习惯接收系统提醒这一行为习惯，制作高度仿真的欺骗消息。

从技术层面，攻击者不需要破解加密算法，也不需要利用系统漏洞，主要手段为域名仿冒、页面复刻、多渠道社会工程。攻击者复制 MyChart 官方登录页面的样式、logo、排版，注册字形高度近似的钓鱼域名，利用字符混淆制造视觉欺骗，普通用户粗略浏览很难区分仿冒站点与真实站点。

2.2 主流攻击诱饵类型

结合耶鲁健康以及全美四十余家医疗机构发布的安全预警，当前流行的 MyChart 钓鱼诱饵可以归纳为四类。

第一类，虚假医保福利诱饵，也就是传播范围最广的 “MyChart 医保福利包” 骗局。诈骗消息宣称患者可以领取免费医保配套物资、老年健康礼包，以此作为利益诱惑，引导用户点击链接填写个人信息、登录仿冒门户。该福利项目本身完全不存在，攻击者利用老年群体对医保福利的关注度完成诱导，该类短信和邮件在康涅狄格州大范围传播，耶鲁健康多次向就诊患者发布风险提示。

第二类，紧急医疗通知恐吓类诱饵。消息告知用户存在待查看的关键检验结果，提示存在异常指标，或者告知账户长时间未登录即将被锁定，需要立刻登录进行核验。健康相关的负面消息极易造成患者心理焦虑，在焦虑情绪之下，受害者会降低风险判断能力，优先完成所谓账号核验操作，忽视链接真实性校验。部分高级变体在仿冒网站登录之后，还会展示伪造的检验报告，进一步巩固受害者对虚假站点的信任程度。

第三类，账单与预约业务仿冒通知。攻击者伪装成医院账单部门，发送通知提示存在未缴医疗账单，点击链接跳转至仿冒页面要求填写银行卡信息完成付款；或者谎称预约时间发生变更，需要登录门户确认修改。这类诱饵贴合患者日常会真实收到的业务通知，欺骗性较强。

第四类，恶意程序投递类攻击。该模式不再局限于窃取账号密码，受害者在仿冒页面输入凭证之后，网页提示需要完成 “人机验证”，诱导用户执行系统命令、下载可执行文件，一旦按照提示操作，终端会植入木马恶意软件，攻击者可以进一步控制个人终端，窃取更多本地存储的隐私资料。

2.3 MyChart 钓鱼完整攻击执行链路

整个攻击链路可以划分为情报准备、诱饵分发、凭证窃取、后续危害扩散四个阶段。

情报准备阶段，攻击者收集目标区域医疗机构名称、MyChart 品牌标识，注册混淆域名，复刻官方登录页面。借助公开网络抓取当地患者相关公开信息，批量获取邮箱地址、手机号码，部分场景下利用 AI 工具优化消息文本，消除传统钓鱼邮件常见语法错误，提升消息仿真程度。

诱饵分发阶段，攻击载体不局限于电子邮件，短信、社交软件消息、甚至语音电话都会被协同使用。针对耶鲁健康患者的攻击当中，攻击者同时通过邮件和短信投放欺骗信息，多渠道同步推送，进一步强化消息的官方观感。需要区分的关键点：消息本身不是从医院官方系统发出，只是盗用 MyChart 标识，发件域名、短信通道均由攻击者控制。

凭证窃取阶段，受害者点击消息内置链接，跳转仿冒 MyChart 登录页面，输入账号密码，部分受害者还会提交社保号码、家庭住址、银行卡等敏感信息。仿冒站点后台直接记录全部输入的隐私数据。恶意版本会继续引导用户下载运行恶意程序。这一环节区别于传统漏洞攻击，全程依靠受害者主动提交信息。

危害扩散阶段，攻击者拿到窃取的账号之后登录真实 MyChart 门户，查看全部就诊历史、检验报告、用药清单，获取完整医疗身份资料。窃取到的医疗身份数据有多重变现路径：实施医疗保险欺诈，冒用受害者身份申领医疗服务；将完整个人医疗档案在黑产市场出售；利用获取的个人信息开展后续电信诈骗。若终端被植入恶意软件，攻击者还可以盗取更多金融、身份类数据，造成跨领域连锁损失。

值得注意的一点：攻击本身不会直接篡改医院后台的患者数据，但是攻击者掌握账号之后，可以在门户内发起消息、修改部分联系信息，如果临床人员没有仔细核验，存在被虚假信息误导的潜在风险。

2.4 受害者群体特征

反网络钓鱼技术专家芦笛强调，医疗钓鱼攻击的受害者分布带有显著人群特征，不能将全部患者视作统一的风险对象。老年人、长期慢性病就诊人群属于高风险群体，该群体高频接收医疗通知，对医疗机构信任度高，部分人员互联网辨别能力有限，看到带有医院标识的消息更容易直接相信。同时该群体往往有医保、养老相关诉求，“免费医保物资” 类诱饵对其诱惑力很强。对比之下，中青年患者识别虚假消息的概率相对更高，但遇到 “危急检验结果” 这类强心理施压类诱饵，同样存在受骗可能。攻击者也会针对地域定向投放，当某地区医疗机构发布 MyChart 相关提醒之后，该区域往往会迎来一波攻击高峰。

3 MyChart 钓鱼攻击高发的多重成因解析

MyChart 钓鱼大规模爆发，不是单一技术漏洞造成，而是品牌影响力、社会工程心理、业务模式、防护短板多重因素叠加形成的结果，可以从攻击者收益、用户心理、业务架构、行业防护现状四个维度进行拆解。

3.1 医疗身份数据具备较高黑产价值

普通互联网账号被盗大多造成社交账号损失，而 MyChart 账号内包含完整的个人医疗身份信息，姓名、生日、社保编号、既往病史、就诊记录全部集中存储。在黑产交易链条中，完整的医疗身份档案可以用于医保报销欺诈、虚假就医、保险理赔诈骗，经济收益高于普通社交平台账号。较高的变现收益驱动黑产团伙持续迭代该类钓鱼攻击，不断优化诱饵话术与仿冒页面质量。同时攻击实施成本较低，只需要注册仿冒域名、复刻网页，不需要复杂漏洞挖掘技术，工具门槛低，可批量规模化投放。

3.2 患者的信任惯性与心理弱点

普通用户面对银行钓鱼时警惕性普遍较高，但是面对医疗服务通知时心理状态完全不同。患者本身就存在接收门户通知的预期，当看到检验报告、账单提醒，第一反应是处理医疗相关事务，而非怀疑消息来源。紧急类诱饵利用人面对健康风险时的焦虑心理，利益类诱饵利用公众对医保福利的期待，双重心理因素削弱用户的风险判断。

另外，大量普通用户鉴别网页真伪的能力有限，多数人不会仔细核对浏览器地址栏完整域名，仅仅查看页面 logo 和界面样式就判定网站属于官方站点。攻击者使用近似混淆域名，进一步加大普通用户识别难度。

3.3 患者门户业务天然存在防护矛盾

医疗机构需要向海量外部普通患者推送通知，业务上需要发送邮件、短信提醒。如果通知消息内附带直接跳转链接，会给攻击者提供模仿样本；但如果通知完全不放置链接，全部要求用户手动打开 App 或者手动输入网址访问门户，又会显著降低普通患者使用便捷度，部分老年患者操作门槛会大幅提升。医疗机构始终在使用便捷性和安全风险之间寻找平衡点，这种业务场景带来的矛盾是企业内部系统不会遇到的。

同时患者属于外部不受控群体，医疗机构无法强制对全部就诊人群开展常态化安全培训。内部员工可以组织演练、强制学习安全课程，但是患者群体数量庞大、流动性强，很难实现标准化安全意识教育。

3.4 医疗机构防护体系面向外部患者存在缺口

绝大多数医疗机构网络安全建设资源主要投入保护院内系统、电子病历数据库、医护人员办公终端，安全设备部署优先考虑内网安全。面向外部患者的防护则相对薄弱。邮件安全网关主要防护院内员工收到的恶意邮件，很难管控发送给外部患者的第三方钓鱼邮件；短信渠道的钓鱼消息完全脱离医疗机构基础设施，医院的安全设备无法拦截攻击者发出的诈骗短信。攻击者使用外部运营商通道发送欺骗短信，医疗机构没有技术手段阻断第三方短信的下发，只能做到事后提醒患者。

很多机构将安全工作重心放在抵御勒索软件、内网入侵，低估面向患者的社会工程类威胁，没有针对患者门户钓鱼建立专项监测流程，往往只有大量患者受骗反馈之后，安全团队才意识到攻击正在发生。

4 当前医疗机构应对 MyChart 钓鱼攻击的现实防御困境

结合耶鲁健康应对本次钓鱼事件过程中暴露的行业共性问题，可以总结出四大类结构性困境，这些困境并非某一家机构的特例，而是整个医疗行业普遍面对的现实难题。

4.1 安全防护边界无法覆盖第三方渠道攻击

医疗机构拥有完整管控权限的只有自身业务系统，攻击者的钓鱼短信、钓鱼邮件全部由外部黑产基础设施发出，不经过医院服务器。医院的邮件安全网关、威胁检测系统只能过滤投递到院内员工邮箱的消息，完全看不到发送给患者私人邮箱、手机短信的欺骗内容。攻击者可以使用短信平台、境外邮件服务批量输出诱饵，医疗机构缺少拦截能力，仅能做到被动发布公告提醒。

部分医疗机构会认为：平台本身没有被攻破，攻击属于患者个人遭遇的外部诈骗，不属于医院网络安全事件。这种认知会造成机构主动处置意愿不足，往往只是在官网发布一则简短公告，缺少多渠道触达患者的风险预警机制。等到大量患者账号被盗，造成隐私泄露、保险欺诈之后，机构才会承担患者隐私保护的合规压力。

4.2 身份认证机制对外部患者适配不足

MyChart 门户支持账号密码登录，部分患者并未开启多因素认证。当钓鱼窃取账号密码之后，如果没有二次校验，攻击者就可以直接登录患者门户。对比企业环境，企业可以强制全体员工开启多因素认证，但是医疗场景下强制全部患者启用多因素认证会带来现实阻力，部分老年患者不熟悉二次验证操作，会直接放弃使用线上门户，影响医疗服务可及性。医疗机构需要兼顾易用性，很难一刀切强制全部患者开启高强度身份校验，这就造成大量账号只依靠单层密码防护。

同时面向患者的账号异常行为检测能力普遍偏弱。很多门户系统只做简单登录校验，缺少基于行为基线的风险研判。异地陌生 IP 大规模登录被盗账号的行为无法被及时识别，账号被盗之后长时间无人察觉，攻击者可以持续访问患者病历数据。

反网络钓鱼技术专家芦笛强调，医疗门户的身份安全不能照搬企业身份安全的落地模式，企业员工可以统一要求硬件密钥、强制 MFA，而患者群体能力参差不齐，必须采用分层风险处置思路，高风险操作加强校验，常规访问保持便捷，找到安全与就医体验的平衡点。

4.3 患者安全宣教效能有限，触达存在盲区

多数医疗机构针对钓鱼威胁的宣教形式单一，仅仅在官网、公众号发布文字版安全提示。但是遭遇攻击的受害者很多并不会主动浏览医院官网公告。老年患者很少关注机构公众号，官网访问频次很低，文字公告很难触达高风险受害人群。

传统宣教内容偏向通用网络钓鱼知识，缺少针对 MyChart 门户场景的具象化指引，没有明确告诉患者：官方通知会做什么、绝对不会做什么，哪些消息一定属于诈骗。不少安全提示依旧停留在 “不要点击陌生链接” 这种泛化口号，没有结合医疗业务场景给出明确判断标准。部分患者即便看过安全提醒，当收到伪装成检验报告的消息时，依旧无法对应到曾经阅读的安全知识。另外患者流动性极强，就诊一次之后可能几年不再复诊，一次性的科普很难实现长期效果。

4.4 事件研判与应急处置链条不完善

当患者遭遇钓鱼攻击之后，完整处置链路包含患者上报、机构核实、账号冻结、风险排查、告知受害者、后续随访等多个环节。现实当中很多医疗机构缺少标准化处置流程。患者打来电话告知账号疑似泄露，客服人员缺少标准化处置指引，存在响应延迟。

很多机构缺少对被盗账号的事后复盘能力：无法统计受害账号数量，无法归纳攻击传播趋势，只能零散接收个别患者投诉，难以判断攻击的实际规模。当攻击正在区域性扩散的时候，机构无法快速评估威胁影响范围，不能及时启动面向全体患者的多渠道预警。同时，账号被窃取之后，如何通知受害者排查个人医疗身份被冒用风险，缺少标准化指引，患者即便修改门户密码，也不知道需要警惕后续衍生的保险诈骗风险。

5 面向 MyChart 类患者门户钓鱼攻击的多层闭环防御体系

针对医疗行业特殊业务约束，防御体系不能只依靠单一技术手段，应当从攻击面收缩、威胁感知检测、身份安全管控、多形式患者宣教、标准化应急处置五个层面形成闭环，在保障患者使用便捷性的前提下降低整体风险。

5.2 业务攻击面收缩，优化官方通知机制

从源头减少攻击者模仿的样本，调整官方 MyChart 通知消息的内容设计。在邮件、短信通知当中，减少直接的可点击跳转链接，只告知患者门户内部产生新消息，引导患者通过已经安装的官方 App、浏览器收藏夹手动进入门户，而不是直接点击消息内链接跳转。如果业务上确实需要保留链接，应当固定使用机构专属域名，同时在通知文本当中清晰标注官方的域名格式，教会患者比对域名。

机构需要向患者明确公示官方沟通行为清单：明确 MyChart 官方通知永远不会索要账号密码、社保号码、银行卡；不会推送免费医保物资礼包；不会要求用户执行键盘操作、下载未知程序完成 “人机验证”。将该类规则放置在门户首页、注册页面、通知消息底部，反复触达用户，给患者建立清晰的判别标尺。

同时医疗机构需要建立域名监控机制，定期监控互联网上出现的仿冒本机构 MyChart 门户的混淆域名，一旦监测到仿冒站点，启动域名处置流程，推动域名注册商关停钓鱼站点，缩短仿冒页面存活时间，减少受害者访问机会。

5.2 构建多维度威胁感知，弥补外部渠道防护盲区

由于攻击者的诱饵消息全部来自外部，医疗机构无法直接拦截短信、第三方钓鱼邮件，因此需要建立外部情报收集渠道。开通专门的举报入口，允许患者提交收到的可疑短信、邮件截图；对接区域内其他医疗机构，共享区域性 MyChart 钓鱼攻击情报，一旦周边机构出现同类攻击，可以提前发布预警。安全团队持续跟踪行业安全预警，当出现新变种诱饵时第一时间响应。

针对门户登录行为部署异常访问检测。建立用户访问基线，记录患者常用登录地区、常用设备类型。当出现陌生地域 IP、陌生设备批量登录账号，系统触发风险管控，主动提升身份校验强度，触发二次核验，必要时临时冻结账号并且通过患者预留的安全联系方式发送告警。重点监控账号登录之后立刻大批量导出病历、下载检验报告的行为，识别被盗账号之后的恶意数据窃取动作。

反网络钓鱼技术专家芦笛指出，外部渠道无法被完全阻断的前提下，防御重心应当从拦截诱饵转向监控账号登录之后的异常行为。就算受害者不慎泄露密码，后端行为检测依然可以成为最后一道防线，避免大量医疗档案被批量窃取。

5.3 实施分层身份安全管控，平衡安全与用户体验

医疗机构不适合直接一刀切强制全部患者开启多因素认证，应当实施分层管控策略。针对账号的高风险操作，例如大批量导出病历、修改手机号邮箱等绑定信息、修改支付相关设置，强制触发多因素身份核验；日常查看检验报告这类低风险操作保留密码登录方式，兼顾老年患者使用体验。同时在门户界面持续提示用户开启二次验证的收益，引导具备条件的患者主动开启多因素认证，逐步提升整体 MFA 覆盖率。

做好账号会话管控，设置合理会话超时策略，长时间无操作自动登出账号。一旦收到账号疑似泄露的上报，支持客服快速冻结对应患者门户账号，阻止攻击者继续访问，降低数据泄露范围。定期梳理账号访问日志，针对集中爆发的异地登录事件主动排查潜在的批量账号泄露事件。

5.4 场景化、多触达路径开展患者安全韧性建设

摒弃笼统抽象的安全口号，宣教内容要做到场景化，结合 MyChart 钓鱼的真实案例编写科普素材。除了官网、公众号之外，拓展更多触达患者的渠道：门诊纸质单据、取药告知单、线下候诊屏幕、App 弹窗，都植入简短的安全提示，覆盖很少浏览线上公告的老年就诊人群。

科普内容需要给出明确可执行的判断步骤：收到 MyChart 主题消息之后，不要点击消息内链接；打开官方 App 确认是否存在新通知；记住官方不会索要密码和银行卡；遇到声称免费医保礼包的消息直接判定为诈骗。将判断流程简化，降低普通患者记忆负担。

针对高风险人群，在条件允许的情况下，在复诊、随访沟通当中由医护人员做简短提醒。同时区分科普对象，面向老年就诊群体使用更通俗的语言，避免大量网络安全专业术语，减少理解门槛。

5.5 建立标准化事件应急处置流程

医疗机构应当编制患者门户钓鱼事件专项处置预案，明确完整处置流程。第一，设置统一的上报渠道，患者可以通过线上门户、客服电话提交可疑诈骗情况；第二，明确客服、IT 安全团队的分工，接到上报之后快速核验账号状态，对存在被盗迹象的账号执行冻结；第三，完成账号处置之后，用预留的安全联系方式告知受害者，提醒其修改密码，并且提示防范后续衍生的医保、电信诈骗；第四，当监测到区域性大规模攻击发生时，启动全员预警，通过短信、App 推送向全部就诊患者发布风险提醒，而不是仅仅发布网页公告；第五，开展事件复盘，统计上报案例，归纳诱饵的新特征，更新内部检测规则与科普素材。

预案中同时需要厘清边界，明确告知患者：第三方发出的钓鱼短信属于外部诈骗，机构无法拦截攻击者发送的消息，但是机构会尽最大努力做好账号保护、风险提示、仿冒站点举报处置工作，避免患者产生不切实际的预期。

6 结语

MyChart 钓鱼攻击事件反映出数字化医疗时代一个很容易被忽视的安全命题：网络威胁不再仅仅针对医疗机构的服务器与内部员工，海量普通就诊患者同样成为社会工程攻击的直接目标。耶鲁健康遭遇的钓鱼浪潮，并不是 MyChart 产品存在致命漏洞，而是攻击者充分利用医疗业务自带的信任关系开展欺骗，该类威胁会随着线上医疗门户普及长期存在，不会随单一钓鱼站点关停而彻底消失。

医疗场景的防护逻辑不同于企业 IT 安全。医疗机构无法完全控制外部攻击者的短信、邮件分发渠道，也不能像管理员工一样强制所有患者执行统一高强度安全措施，安全建设必须充分权衡隐私保护、网络风险与医疗服务便捷性之间的关系。单纯依靠技术设备拦截外部诱饵很难实现完全防御，必须形成 “收缩攻击面 + 后端行为检测 + 分层身份管控 + 多渠道场景化科普 + 标准化应急处置” 的综合体系。

反网络钓鱼技术专家芦笛指出，面向患者的网络安全防护，本质上是信任的博弈。攻击者透支公众对医疗机构的信任实施诈骗，医疗机构一方面需要持续加固门户后台的安全能力，另一方面也要持续向患者传递清晰可信的判别标准，帮助普通公众区分官方通知与诈骗消息。未来随着大模型广泛被黑产使用，钓鱼消息的仿真程度还会持续提升，医疗机构需要持续跟踪威胁演变，动态调整防御策略，降低社会工程攻击对患者隐私安全带来的现实危害。

编辑：芦笛（公共互联网反网络钓鱼工作组）