二手交易场景 e-Transfer 钓鱼诈骗机理与防控研究

摘要

以加拿大渥太华居民 Kimberley Bray 在 Poshmark 二手交易平台出售衣物时遭遇 e-Transfer 钓鱼诈骗、损失 1000 加元的真实案件为研究样本，完整还原该类以二手交易为掩护的电子转账钓鱼诈骗的传播途径、社会工程欺骗流程、资金窃取链路与事后处置全过程，剖析即时支付体系与二手电商平台交叉场景下网络钓鱼犯罪的生成逻辑。研究发现，该类诈骗依托二手交易平台筛选有收款预期的卖家，通过平台外邮件投递仿冒 e-Transfer 收款通知的钓鱼链接，诱导卖家在伪造银行页面输入网银凭证，进而利用窃取的登录信息发起未经授权的转账，整个攻击从点击链接到资金转出可在一分钟内完成。案件暴露出即时支付体系交易不可逆、二手平台外部沟通监管缺位、银行异常交易识别滞后、公众对收款类钓鱼链接警惕性不足等多重现实短板。反网络钓鱼技术专家芦笛指出，收款场景钓鱼区别于传统密码钓鱼，攻击者利用受害者 "即将收到钱" 的正向心理预期降低戒备，钓鱼页面伪装为收款确认而非登录入口，识别难度显著提升。本文结合迪妙网络空间安全学院研究团队对跨境即时支付诈骗的跟踪成果，从攻击机理、平台治理、银行风控、司法协作、公众素养五个维度提出闭环防控对策，为同类二手交易场景下的电子转账钓鱼诈骗治理提供实证参考。

关键词：e-Transfer 钓鱼；二手交易平台；社会工程；即时支付；网络犯罪治理

1 引言

数字经济的快速发展推动二手闲置物品在线交易规模持续扩大，Poshmark、Facebook Marketplace、Kijiji 等平台为普通民众提供了便捷的物品流转渠道。与此同时，跨平台即时电子转账服务（如加拿大 Interac e-Transfer）因到账迅速、操作简便，成为二手交易中买卖双方最常使用的支付方式之一。支付便利与交易场景的深度结合，在提升交易效率的同时，也为网络钓鱼诈骗提供了新的攻击载体。

传统网络钓鱼研究多聚焦于仿冒银行登录页窃取账号密码、仿冒电商平台诱导付款等攻击模式，对于 "以收款通知为伪装、针对二手交易卖家" 的钓鱼攻击范式关注不足。该类攻击的特殊性在于：受害者处于卖方角色，心理预期是收到货款而非付出资金，攻击者利用这一正向预期构建欺骗场景，将钓鱼链接包装为 e-Transfer 收款确认页面，受害者在 "确认收款" 的操作过程中泄露网银登录凭证，攻击者随即利用凭证发起对外转账。从受害者点击链接到资金被转出，整个过程可在极短时间内完成，受害者往往在收到银行扣款短信时才意识到异常。

本文以加拿大渥太华居民 Kimberley Bray 在 Poshmark 平台出售复古衬衫时遭遇 e-Transfer 钓鱼诈骗、损失 1000 加元的真实案件为核心实证材料，完整还原诈骗实施全流程，拆解攻击技术机理与社会工程策略，分析该类犯罪得以得逞的多维度诱因，梳理现有治理体系面临的现实困境，并结合迪妙网安研究团队对即时支付场景网络威胁的持续观测，提出可落地的多维度防控路径。本文立足于个案事实开展闭环分析，不做过度泛化推演，力求为二手交易与即时支付交叉场景下的钓鱼诈骗治理提供有依据的参考。

2 案件背景与诈骗全流程还原

2.1 案件基础概况

本案受害者 Kimberley Bray 为加拿大渥太华居民，2025 年秋季在 Poshmark 二手服饰交易平台挂售一件复古衬衫，标价约 30 加元。Poshmark 是北美地区主流的二手服饰寄售平台，用户可在平台内完成商品展示、沟通议价与支付结算。案件发生时，Bray 收到一封来自平台外部的电子邮件，邮件内容围绕该件衬衫的交易展开，附带一个看似用于接收 e-Transfer 电子转账的链接。Bray 点击该链接后，被引导至一个仿冒的银行页面，随后收到银行短信通知，一笔 1000 加元的转账已经完成，另有一笔转账正在处理中。Bray 此时意识到异常 —— 她本应作为卖家收到约 30 加元的货款，而非从自己账户转出 1000 加元。该事件经 CTV News 渥太华分部于 2025 年 11 月 18 日报道，后被 Yahoo Finance 加拿大频道、Money.ca 等多家媒体转载，成为加拿大 e-Transfer 钓鱼诈骗的典型公开案例。

需要明确的是，本案中诈骗分子并未直接攻击 Poshmark 平台系统，也未攻破银行核心系统，而是利用平台外邮件渠道投递钓鱼链接，通过社会工程手段诱导受害者主动泄露网银凭证，再利用窃取的凭证登录受害者真实网银账户发起转账。整个攻击链条不依赖高危系统漏洞，属于典型的 "人是最薄弱环节" 的社会工程攻击。

2.2 诈骗实施完整链路拆解

结合受害者陈述与反欺诈专家的分析，本案完整攻击链路可划分为目标筛选、钓鱼邮件投递、伪造收款页面、窃取网银凭证、发起未授权转账、资金快速转移六个阶段，各环节紧密衔接，形成从信息收集到资金窃取的完整闭环。

第一阶段为目标筛选。诈骗分子在 Poshmark 等二手交易平台浏览在售商品，识别活跃卖家。选择二手交易卖家作为目标具有明确的攻击逻辑：卖家处于 "等待收款" 的心理状态，对涉及货款到账的通知天然缺乏戒备；二手交易单笔金额通常不大，卖家对交易流程的安全审查意愿较低；平台内卖家联系方式虽不直接公开，但诈骗分子可通过平台内消息引导卖家转向外部邮件沟通，或利用平台信息泄露、公开资料等渠道获取卖家关联邮箱。

第二阶段为钓鱼邮件投递。诈骗分子以 "买家" 身份向卖家发送平台外电子邮件，邮件主题和正文围绕具体商品（本案中为复古衬衫）展开，营造真实交易沟通的氛围。邮件中附带一个链接，文字描述为 "点击接收 e-Transfer 付款" 或类似表述。该链接指向诈骗分子控制的钓鱼服务器，而非银行或 e-Transfer 官方域名。由于邮件内容与卖家正在进行的交易高度相关，且发件人伪装为买家，受害者很难仅凭邮件外观判断其真伪。

第三阶段为伪造收款确认页面。受害者点击链接后，浏览器跳转至一个高度仿冒银行网银登录界面的钓鱼页面。该页面复制了目标银行的品牌标识、页面布局、配色方案，甚至包含虚假的安全证书提示和 "安全登录" 标语。页面的核心功能是收集受害者的网银用户名和密码。与传统 "您的账户已被锁定，请登录验证" 类钓鱼不同，本案页面伪装为 e-Transfer 收款确认流程，受害者认为自己是在 "确认接收一笔转账"，而非 "登录网银账户"，心理戒备进一步降低。

第四阶段为窃取网银凭证。受害者在伪造页面输入网银用户名和密码后，这些信息被实时发送至诈骗分子控制的服务器。部分更复杂的钓鱼页面还会模拟 "正在验证" 的加载过程，随后要求受害者输入短信验证码或安全问题答案，以获取二次验证信息。本案中，诈骗分子在获取凭证后迅速行动，整个过程不超过一分钟。

第五阶段为发起未授权转账。诈骗分子使用窃取的网银凭证登录受害者真实的网上银行账户，发起 Interac e-Transfer 对外转账。由于 e-Transfer 交易通常在发起后数分钟内到账，且一旦接收方认领资金即难以撤销，诈骗分子选择这种支付方式可以最大限度缩短资金追回窗口。本案中，诈骗分子首先转出 1000 加元，银行向受害者手机发送转账完成短信；在受害者尚未反应之际，第二笔转账已在处理中。

第六阶段为资金快速转移与洗白。e-Transfer 到账后，接收方（通常为诈骗分子控制的中间人账户或被诱骗的 "钱骡" 账户）立即将资金转出，或通过取现、购买加密货币、购买礼品卡等方式完成资金洗白，增加溯源和追回难度。加拿大反欺诈中心（Canadian Anti-Fraud Centre）的数据显示，e-Transfer 诈骗的资金追回率极低，多数案件中受害者无法挽回损失。

2.3 受害者事后反应与处置

Bray 在收到银行扣款短信后立即意识到异常，她本应收到 30 加元货款，却被转出 1000 加元。她在接受 CTV News 采访时表示："我感到羞愧，很尴尬。" 这种心理反应在诈骗受害者中极为普遍，很多受害者因羞耻感而不愿报案或公开经历，导致同类案件的真实发案数被严重低估。Bray 在查阅相关资料、观看其他受害者的经历视频后，决定公开自己的遭遇，以提醒更多人注意此类诈骗。

反欺诈顾问 Vanessa Iafolla 在评论本案时指出，这类诈骗正变得越来越普遍，与网络钓鱼体验密切相关。她强调："你只需要点击一个不该点击的链接 —— 或者说，诈骗分子希望你点击的链接 —— 你的银行账户信息就会被泄露，钱就会被转走，然后就没了。"Iafolla 同时指出，二手交易平台需要在用户准入和诈骗账号检测方面承担更多责任，银行需要构建更 robust 的欺诈检测系统，电信运营商和监管机构也需要在拦截垃圾信息和诈骗通信方面发挥作用。

Poshmark 在回应 CTV News 的声明中表示，平台不显示用户个人信息，也绝不会将其分享给其他用户，此举违反隐私政策；平台不支持平台外的交易、支付或沟通；用户若收到钓鱼邮件，应将可疑邮件转发至平台指定的反钓鱼邮箱并删除。这一声明确认了平台外沟通是本案攻击得以实施的关键渠道，也反映出平台对脱离平台生态的交易行为缺乏有效管控手段。

3 e-Transfer 钓鱼诈骗的技术机理分析

3.1 钓鱼页面的技术构造与伪装手段

本案中钓鱼页面的核心技术目标是在视觉和交互层面高度仿真银行网银登录界面，使受害者无法通过外观辨别真伪。诈骗分子通常采用以下技术手段实现伪装：一是直接克隆目标银行官方登录页面的 HTML 结构、层叠样式表和图片资源，确保页面布局、字体、颜色、Logo 位置与官方页面完全一致；二是注册与银行官方域名高度相似的仿冒域名，例如替换字母、添加前缀后缀、使用顶级域名变体，使受害者在地址栏中难以一眼识别；三是配置 SSL 证书，使钓鱼页面显示 HTTPS 加密标识和浏览器安全锁图标，利用普通用户 "有锁就是安全" 的认知误区增强可信度；四是在页面中植入表单捕获脚本，将受害者输入的用户名、密码实时发送至诈骗分子控制的后端服务器，同时可将受害者重定向至银行官方网站，制造 "登录成功" 的假象，延迟受害者发现异常的时间。

反网络钓鱼技术专家芦笛指出，当前钓鱼页面的制作门槛已经大幅降低，地下黑灰产市场提供现成的银行钓鱼页面模板和 "钓鱼工具包"，诈骗分子不需要具备专业网页开发能力，只需替换目标银行标识和后端接收地址即可快速部署钓鱼站点。这也是 e-Transfer 钓鱼诈骗能够大规模复制传播的重要技术基础。

3.2 即时支付体系的交易特性与攻击窗口

Interac e-Transfer 是加拿大主流的电子资金转账服务，用户可通过网上银行或手机银行向任意电子邮箱地址或手机号码发送资金，接收方通过邮件或短信中的链接认领资金并转入自己的银行账户。该服务的设计初衷是提升个人间转账的便捷性，但其交易特性也为诈骗攻击提供了可利用的窗口。

首先，e-Transfer 交易速度快。发起方提交转账指令后，接收方通常在数分钟内收到通知，认领后资金即时到账。这一特性意味着诈骗分子在窃取网银凭证后，可以在极短时间内完成转账操作，留给银行和受害者的反应窗口非常有限。本案中从 Bray 点击钓鱼链接到收到 1000 加元扣款短信，整个过程不到一分钟，诈骗分子利用的正是即时支付的速度优势。

其次，e-Transfer 交易一旦被接收方认领，通常不可撤销。与信用卡交易存在争议期和退款机制不同，e-Transfer 属于即时资金转移，接收方认领后资金所有权即发生转移，发起方无法单方面撤回。虽然部分银行提供 "自动存款" 功能下的有限追回窗口，但如果接收方已将资金转出或取现，追回的可能性极低。

再次，e-Transfer 的接收方身份验证较为宽松。发送方只需知道接收方的电子邮箱或手机号即可发起转账，不需要验证接收方的真实身份。诈骗分子可以使用临时注册的邮箱或预付费手机号接收资金，进一步增加溯源难度。

迪妙网络空间安全学院研究团队在针对北美即时支付诈骗的研究中指出，即时支付体系的 "快速到账 + 不可撤销 + 接收方轻验证" 三重特性叠加，构成了诈骗攻击的理想资金通道。传统银行转账的 T+1 到账机制和人工审核环节在即时支付体系中被大幅压缩，欺诈检测系统必须在秒级时间窗口内完成识别和拦截，这对银行风控系统的实时性和准确性提出了极高要求。

3.3 社会工程策略的心理操纵机制

本案诈骗成功的核心并非技术手段的高深，而是社会工程策略对受害者心理的精准操纵。诈骗分子在多个环节利用了人类认知和心理的固有弱点。

一是利用 "收款预期" 降低戒备。受害者作为二手交易卖家，正处于等待买家付款的心理状态，此时收到一封声称 "付款已发出，请点击确认收款" 的邮件，完全符合受害者的心理预期。在正向预期的驱动下，受害者对邮件的真实性审查意愿显著降低，更容易点击可疑链接。反网络钓鱼技术专家芦笛强调，收款场景钓鱼是一种被低估的攻击范式，传统安全培训多教育用户警惕 "要求付款" 或 "账户异常" 类邮件，而对 "您有一笔款项待接收" 类钓鱼的警示不足，攻击者正是利用了这一认知盲区。

二是利用 "交易相关性" 增强可信度。钓鱼邮件的内容紧密围绕受害者正在出售的具体商品（复古衬衫），包含商品名称、价格等细节信息，使受害者认为这封邮件确实来自对该商品感兴趣的买家。这种高度定制化的钓鱼邮件区别于大规模群发的通用钓鱼邮件，可信度显著提升。

三是利用 "紧迫感" 压缩思考时间。钓鱼页面通常营造 "请尽快确认收款，否则资金将被退回" 的紧迫感，促使受害者在未仔细核实网址真伪的情况下快速输入凭证。本案中诈骗分子在获取凭证后一分钟内即发起转账，也是利用时间压缩策略，确保受害者来不及反应。

四是利用 "技术信任" 麻痹判断。钓鱼页面显示 HTTPS 安全锁标识，页面外观与银行官网一致，受害者基于 "银行页面不会有假" 的技术信任，放松了对域名的核对。很多普通用户不知道 HTTPS 仅代表数据传输加密，不代表网站身份合法，诈骗分子可以轻易为钓鱼站点申请 SSL 证书。

3.4 跨平台攻击链路的技术特征

本案攻击链路跨越二手交易平台、电子邮件系统、钓鱼网站、网上银行、即时支付网络多个技术平台，各平台之间的安全边界存在衔接缺口。诈骗分子在 Poshmark 平台内识别目标并建立初步联系，引导受害者转向平台外邮件沟通；邮件系统负责投递钓鱼链接；钓鱼网站负责窃取凭证；网上银行系统是攻击的最终目标；e-Transfer 网络负责资金转移。每个平台的安全机制各自独立，缺乏跨平台的威胁情报共享和协同拦截机制。例如，Poshmark 平台可以检测平台内的异常账号和消息，但无法监控用户在平台外收到的钓鱼邮件；邮件服务商可以检测部分已知钓鱼链接，但无法识别针对特定二手交易场景的高度定制化钓鱼内容；银行可以监控异常登录和转账行为，但无法提前获知用户刚刚点击了钓鱼链接。这种跨平台安全孤岛效应，使得攻击链路在各个环节都存在可乘之机。

4 该类诈骗得逞的多维度诱因分析

4.1 二手交易平台外部沟通监管缺位

Poshmark 等二手交易平台在设计上鼓励用户在平台内完成沟通和交易，平台官方声明也明确表示不支持平台外交易、支付或沟通。但在实际运营中，平台对用户转向外部沟通的行为缺乏有效的技术管控和持续提醒。诈骗分子可以轻易在平台内消息中暗示或引导卖家通过电子邮件联系，平台虽然可以检测包含邮箱地址的消息，但诈骗分子可以使用变体写法、图片嵌入等方式规避检测。更重要的是，平台对卖家的安全培训不足，很多卖家不知道平台外沟通存在钓鱼风险，也不知道 Poshmark 官方不会通过外部邮件发送收款通知。平台在用户注册和交易流程中，缺少针对 "平台外收款链接" 的明确风险提示，使得卖家在遇到此类情况时缺乏足够的警惕意识。

4.2 即时支付风控体系的识别滞后

加拿大银行体系在 e-Transfer 欺诈防控方面虽已投入大量资源，但现有风控系统仍存在识别滞后的问题。传统银行欺诈检测模型主要基于交易金额、交易时间、收款方历史、设备指纹等特征进行异常评分，对于 "用户本人设备、用户本人 IP 地址、用户本人正常操作时间段内发起的转账"，很难判定为欺诈。本案中，诈骗分子使用窃取的凭证从受害者的常规设备或相似 IP 地址登录网银，发起的转账金额（1000 加元）在受害者的正常交易范围内，收款方为新的 e-Transfer 接收方，这些特征组合在现有风控模型中可能不会触发高强度拦截。此外，e-Transfer 的即时到账特性要求风控系统在秒级时间内做出判断，为了避免误拦正常交易影响用户体验，银行往往设置较高的拦截阈值，导致部分欺诈交易得以通过。

4.3 电子邮件钓鱼检测的场景盲区

电子邮件服务商的反钓鱼系统主要依赖已知恶意 URL 黑名单、发件人信誉评分、邮件内容特征分析等技术手段。对于针对特定二手交易场景的高度定制化钓鱼邮件，现有检测系统存在盲区。一是钓鱼 URL 可能是新注册域名，尚未进入黑名单；二是邮件内容与受害者正在进行的真实交易高度相关，不包含典型的欺诈关键词（如 "中奖"" 退款 ""账户冻结" 等）；三是发件人邮箱可能是新注册的免费邮箱，信誉评分中性。这些因素导致定制化钓鱼邮件能够绕过主流反钓鱼过滤器，成功送达受害者收件箱。

4.4 公众数字安全素养的结构性不足

本案受害者 Bray 在采访中表示："这与你的年龄、工作、你认为自己有多聪明无关。这些诈骗分子有一套经过检验的流程，一旦他们觉得抓住了你，就会利用你，你就会受害。" 这一表述客观反映了公众数字安全素养的结构性不足。很多受过良好教育、具备基本互联网使用能力的用户，在面对高度仿真的钓鱼攻击时仍然难以辨别。具体而言，公众素养的不足体现在以下几个层面：一是缺乏核对域名的习惯，很多用户从不检查浏览器地址栏中的实际域名；二是对 HTTPS 安全锁存在误解，认为有锁标识的网站就是安全的；三是对 "收款类" 钓鱼缺乏警惕，安全培训多聚焦于 "不要给陌生人转账"，而很少提醒 "不要点击陌生的收款链接"；四是对二手交易平台外沟通的风险认知不足，很多卖家认为只要是在讨论具体商品的邮件就是安全的。

迪妙网安研究团队在针对北美地区网络钓鱼受害者的调研中发现，超过六成的钓鱼受害者能够识别 "要求付款" 类可疑邮件，但仅有不到三成的受害者能够识别 "声称有款项待接收" 类钓鱼邮件。这一数据表明，收款场景钓鱼的公众认知缺口是该类攻击成功率较高的重要原因。

4.5 资金追回机制的现实困境

e-Transfer 诈骗发生后，受害者面临严峻的资金追回困境。首先，e-Transfer 交易一旦被接收方认领即不可撤销，银行无法单方面冻结或追回已到账资金。其次，诈骗分子通常在资金到账后立即转移或取现，当受害者报案并联系银行时，资金往往已经离开初始接收账户。再次，跨境协作难度大，如果接收方账户位于其他国家或地区，资金追回需要国际执法协作，周期长、成功率低。最后，受害者需要承担举证责任，证明转账并非本人授权，而诈骗分子使用的是受害者本人的网银凭证，银行系统记录显示为 "用户本人操作"，这给受害者维权带来很大困难。本案中 Bray 的 1000 加元损失最终能否追回，报道未给出明确结果，而根据加拿大反欺诈中心的统计，e-Transfer 诈骗的资金追回率不足百分之五。

5 现实治理困境

5.1 跨平台协同治理的协调成本

如前所述，e-Transfer 钓鱼诈骗的攻击链路跨越二手交易平台、邮件服务商、钓鱼托管服务商、银行、支付网络多个主体，每个主体仅能看到攻击链路的一个片段，缺乏完整的攻击视图。要实现有效治理，需要各主体之间建立威胁情报共享和协同响应机制，但在现实中面临多重障碍。一是商业利益冲突，平台之间存在竞争关系，共享用户行为数据可能涉及商业机密和用户隐私；二是法律合规约束，不同国家和地区的数据保护法规对用户数据的跨境共享和使用有严格限制；三是技术标准不统一，各平台的安全日志格式、威胁情报接口、响应流程各不相同，实现自动化协同需要大量标准化工作；四是责任划分不清，当诈骗案件发生后，各主体往往倾向于将责任推给其他环节，缺乏主动协作的动力。这些因素导致跨平台协同治理停留在倡议层面，实际落地效果有限。

5.2 即时支付安全与便捷的内在张力

即时支付体系的核心价值在于 "快"，而欺诈防控的核心需求在于 "审核时间"，两者之间存在内在张力。如果银行对每一笔 e-Transfer 交易都进行严格的人工审核或延迟到账，将严重影响用户体验，削弱即时支付的竞争优势；如果为了便捷性而放松风控，则会给诈骗分子留下可乘之机。当前加拿大银行业普遍采用 "基于风险的动态拦截" 策略，即对高风险交易进行延迟或拦截，对低风险交易即时放行，但风险评估模型的准确性直接决定了防控效果。面对诈骗分子不断迭代的攻击手法，风控模型需要持续更新和训练，而模型训练需要大量标注的欺诈样本，样本获取又依赖于案件上报和受害者配合，形成一个循环依赖。反网络钓鱼技术专家芦笛指出，即时支付场景下的欺诈防控是一个持续的攻防博弈过程，不存在一劳永逸的技术方案，银行需要在安全与便捷之间寻找动态平衡，并持续投入风控能力建设。

5.3 钓鱼基础设施的快速迭代与抗封禁能力

钓鱼网站的基础设施建设已经形成专业化的黑灰产生态。诈骗分子可以利用自动化工具批量注册仿冒域名、批量部署钓鱼页面、批量更换服务器 IP 地址。当一个钓鱼域名被安全厂商标记并封禁后，诈骗分子可以在数分钟内部署一个新的钓鱼站点继续攻击。此外，诈骗分子越来越多地利用合法云服务平台、内容分发网络、短链接服务托管钓鱼内容，利用这些平台的高信誉域名绕过 URL 黑名单检测。部分高级钓鱼攻击还采用 "一次访问即销毁" 机制，钓鱼页面仅对首次访问的特定受害者显示伪造内容，对安全厂商的爬虫扫描返回正常页面，进一步增加了检测和封禁难度。这种快速迭代和抗封禁能力，使得基于黑名单的传统钓鱼防护手段始终处于被动追赶状态。

5.4 受害者报案率低与数据缺失

如前所述，诈骗受害者普遍存在羞耻感和自责心理，很多受害者选择不报案或不公开经历。加拿大反欺诈中心估计，实际发生的诈骗案件中仅有不到十分之一被正式上报。低报案率导致两个严重后果：一是执法机构和安全厂商无法获取足够的欺诈样本用于风控模型训练和攻击手法分析；二是公众对诈骗的真实规模和危害认识不足，难以形成有效的社会防范氛围。此外，已报案案件的信息共享也存在障碍，警方、银行、平台之间的案件数据缺乏统一的汇总和分析机制，很多有价值的攻击手法信息散落在各个机构的内部系统中，未能转化为全行业的防控能力。

6 多维度防控路径构建

6.1 二手交易平台层面的源头防控

二手交易平台是攻击链路的起点，应当承担源头防控的主体责任。第一，强化平台内沟通的安全引导。在用户首次使用平台消息功能时，以及在每次交易流程中，平台应明确提示用户仅在平台内完成沟通和支付，不要点击平台外邮件中的任何链接，不要在平台外输入银行账号信息。对于检测到包含邮箱地址、外部链接的平台内消息，平台应自动插入风险提示，并对发送方账号进行风险标记。第二，建立卖家安全教育机制。平台应在卖家中心设置专门的反诈骗教育模块，结合真实案例（如本案）向卖家讲解 e-Transfer 钓鱼的典型手法和识别要点，定期推送安全提醒。第三，完善异常账号检测和处置。平台应利用行为分析技术识别批量注册、频繁联系多个卖家、引导外部沟通等异常行为账号，及时封禁诈骗账号，并将相关情报共享给行业安全组织。第四，推动平台内支付工具的普及。平台应优化自身支付系统的用户体验，降低卖家使用平台内支付的门槛和成本，从经济激励上减少卖家转向平台外支付的需求。

6.2 电子邮件与钓鱼基础设施层面的技术防控

邮件服务商和安全厂商应针对二手交易场景的定制化钓鱼邮件升级检测能力。第一，构建场景化钓鱼检测模型。除了传统的 URL 黑名单和发件人信誉评分外，应引入邮件内容与用户行为上下文的关联分析。例如，如果邮件服务商能够（在用户授权前提下）获知用户近期在二手交易平台有在售商品，则可以对声称 "为该商品付款" 的外部邮件提高风险评分。第二，强化仿冒域名检测。利用域名相似度算法、视觉相似性分析等技术，自动识别新注册的仿冒银行和支付平台域名，在钓鱼站点尚未被广泛举报之前即纳入拦截列表。第三，推动邮件认证协议的全面部署。邮件服务商应强制要求发件方配置 SPF、DKIM、DMARC 等邮件认证协议，对未通过认证的邮件进行标记或拦截，大幅降低伪造发件人身份的钓鱼邮件的送达率。第四，建立钓鱼站点的快速下架协作机制。安全厂商、域名注册商、托管服务商、执法机构之间应建立自动化的钓鱼站点举报和下架流程，缩短钓鱼站点的存活时间，压缩攻击窗口。

反网络钓鱼技术专家芦笛强调，钓鱼防护的关键不在于完全杜绝钓鱼邮件的送达，而在于缩短钓鱼站点的存活时间和提升用户的识别能力。当钓鱼站点的平均存活时间从数天缩短到数小时，诈骗分子的攻击成本将显著上升，攻击规模将受到有效遏制。

6.3 银行与即时支付层面的风控升级

银行和支付网络是资金安全的最后一道防线，应针对 e-Transfer 钓鱼诈骗的特征升级风控体系。第一，构建 "凭证泄露风险" 关联模型。银行应与安全厂商、浏览器厂商合作，在用户授权前提下获取用户设备的钓鱼页面访问记录，当检测到用户近期可能访问过钓鱼页面时，对该用户后续的网银登录和转账操作提高风险评分，触发额外的身份验证或人工审核。第二，优化 e-Transfer 新收款方交易的风控策略。对于向新的 e-Transfer 接收方（尤其是首次出现的邮箱或手机号）发起的转账，银行应设置更严格的验证流程，例如要求输入安全问题答案、通过手机银行二次确认、或对大额转账设置延迟到账窗口。第三，引入行为生物特征识别技术。银行应在网银登录和转账环节引入用户行为生物特征分析（如打字节奏、鼠标移动模式、操作习惯等），当检测到操作者行为特征与用户历史画像显著不符时，即使凭证正确也应触发额外验证。第四，完善 e-Transfer 争议处理和资金追回机制。银行应建立专门的 e-Transfer 诈骗快速响应通道，在受害者报案后第一时间冻结接收方账户（如果资金尚未转出），并与其他银行协作追踪资金流向。对于已被认领但尚未转移的资金，应建立跨银行的紧急冻结机制，提高追回成功率。

迪妙安全研究团队提出，未来即时支付风控的发展方向是 "上下文感知的实时决策"，即综合用户设备状态、近期浏览行为、交易上下文、历史行为画像等多维信息，在毫秒级时间内做出风险评估，并动态调整验证强度。这需要银行在数据整合、模型训练、系统性能方面持续投入，也需要行业层面的数据共享标准和隐私保护框架的支撑。

6.4 执法与司法层面的打击与协作

执法机构应加大对 e-Transfer 钓鱼诈骗犯罪的打击力度，并完善跨机构、跨国界的协作机制。第一，建立专门的网络诈骗快速响应队伍。针对 e-Transfer 等即时支付诈骗的时效性特征，执法机构应组建具备技术侦查能力的快速响应队伍，在接到报案后能够迅速开展资金追踪、账户冻结、嫌疑人定位等工作，抢在资金被洗白之前采取行动。第二，强化对 "钱骡" 网络的打击。e-Transfer 诈骗的资金通常通过被诱骗或被雇佣的 "钱骡" 账户进行转移和洗白，执法机构应加强对钱骡招募渠道的监测和打击，切断诈骗资金的流转通道。第三，完善跨国执法协作。对于涉及境外诈骗团伙的案件，应充分利用国际刑警组织、双边司法协助条约等机制开展跨境调查和证据交换，提高对境外诈骗团伙的打击能力。第四，推动诈骗案件数据的集中汇总和分析。执法机构应建立全国统一的网络诈骗案件数据库，汇总案件信息、攻击手法、损失金额、资金流向等数据，为风控模型训练、攻击趋势分析、公众教育提供数据支撑。

6.5 公众数字安全素养的场景化提升

公众是防范钓鱼诈骗的第一道防线，也是最后一道防线。数字安全素养教育应从泛泛的 "不要点击陌生链接" 升级为场景化、案例化的精准教育。第一，针对二手交易卖家群体开展定向教育。二手交易平台、社区组织、消费者保护机构应联合开展针对卖家的反钓鱼培训，重点讲解 "收款类钓鱼" 的识别要点：正规平台不会通过外部邮件发送收款链接；e-Transfer 收款通知来自银行官方邮件，且不需要输入网银密码即可认领；任何要求输入网银用户名和密码的 "收款确认" 页面都是钓鱼。第二，利用真实案例开展警示教育。媒体、学校、社区应广泛传播类似本案的真实案例，让公众了解诈骗分子的具体手法和心理操纵策略，而非仅仅记住抽象的安全规则。第三，推动 "域名核对" 习惯的养成。安全宣传应反复强调一个简单而有效的动作：在任何要求输入密码的页面，先检查浏览器地址栏中的域名是否为官方域名。这一习惯的养成可以有效防范绝大多数钓鱼攻击。第四，消除受害者的羞耻感。社会应形成 "诈骗受害者不是愚蠢的人，而是精心设计的犯罪的受害者" 的共识，鼓励受害者及时报案和分享经历，形成全社会共同防范的氛围。

7 研究局限与未来研究方向

本研究以单一公开报道的 e-Transfer 钓鱼诈骗案件为核心分析样本，完整还原了攻击全流程并开展机理分析和对策研究。客观来看，本研究存在以下局限：一是研究素材来源于新闻报道和受害者公开采访，无法获取银行内部风控日志、执法机构侦查记录、诈骗分子审讯材料等一手数据，对攻击链路的某些技术细节（如钓鱼页面的具体构造、诈骗分子使用的工具、资金的最终流向等）只能基于公开信息进行合理推断；二是单一个案不能完全代表所有 e-Transfer 钓鱼诈骗的变种模式，不同地区、不同平台、不同诈骗团伙的攻击手法可能存在差异；三是本研究提出的防控对策主要基于理论分析和行业经验，部分对策的实际效果尚未经过实证检验。

基于本研究的发现和局限，迪妙网络空间安全学院研究团队认为，未来相关领域可以重点开展以下方向的研究。第一，开展大样本实证研究。收集更多 e-Transfer 钓鱼诈骗案件的详细数据，包括攻击手法、损失金额、资金流向、受害者特征、平台和银行的响应时间等，通过统计分析提炼该类诈骗的共性规律和差异化特征，为风控模型优化提供数据支撑。第二，研究 "收款场景钓鱼" 的检测技术。针对传统钓鱼检测模型对 "收款类" 钓鱼识别不足的问题，研究基于邮件内容上下文、用户行为画像、交易场景关联的新型检测算法，提升定制化钓鱼邮件的识别率。第三，研究即时支付场景下的 "安全与便捷" 平衡机制。通过用户实验和数据分析，评估不同风控策略（如延迟到账、额外验证、动态限额等）对欺诈拦截率和用户体验的影响，寻找最优的平衡点。第四，研究跨平台威胁情报共享的技术和制度框架。在数据保护法规的约束下，研究如何利用隐私计算、联邦学习等技术实现跨平台的威胁情报共享和协同风控，在保护用户隐私的前提下提升全行业的防控能力。第五，开展数字安全素养教育的效果评估研究。通过对照实验评估不同形式、不同内容的安全教育对用户识别钓鱼攻击能力的实际影响，筛选出最有效的教育方式和传播渠道。

需要客观认识到，网络钓鱼诈骗是一个持续演化的攻防博弈领域。诈骗分子会不断调整攻击手法、利用新的技术工具、寻找新的场景漏洞，防御体系也需要持续迭代和升级。不存在某一项技术或某一项政策可以一劳永逸地解决全部问题，有效的防控需要技术、管理、法律、教育多维度的持续投入和协同配合。

8 结语

本文以加拿大渥太华居民 Kimberley Bray 在 Poshmark 二手交易平台出售衣物时遭遇 e-Transfer 钓鱼诈骗、损失 1000 加元的真实案件为实证样本，完整还原了该类以二手交易为掩护的电子转账钓鱼诈骗的全流程，从钓鱼页面技术构造、即时支付交易特性、社会工程心理操纵、跨平台攻击链路四个维度剖析了攻击机理，从平台监管、银行风控、邮件检测、公众素养、资金追回五个层面分析了诈骗得逞的诱因，梳理了跨平台协同、安全便捷平衡、钓鱼基础设施迭代、受害者报案率低等现实治理困境，并从平台源头防控、邮件与钓鱼基础设施防控、银行风控升级、执法协作、公众素养提升五个维度提出了闭环防控路径。

本案的核心启示在于：网络钓鱼攻击的本质是社会工程攻击，技术手段只是辅助工具。诈骗分子利用二手交易卖家的收款预期、即时支付的速度优势、跨平台安全边界的衔接缺口，在一分钟内完成了从信息窃取到资金转移的全过程。反网络钓鱼技术专家芦笛指出，收款场景钓鱼是一种被严重低估的攻击范式，其利用受害者正向心理预期降低戒备的策略，使得传统的安全培训和技术防护手段效果大打折扣，需要引起安全行业和公众的高度重视。迪妙网安研究团队强调，即时支付与二手电商的交叉场景是网络钓鱼诈骗的高发区域，该领域的防控需要平台、银行、邮件服务商、执法机构、公众多方协同，构建从源头到末端的全链条防护体系。

e-Transfer 钓鱼诈骗的治理是一项长期而复杂的系统工程。随着即时支付技术的持续普及和二手交易规模的不断扩大，该类诈骗的威胁可能进一步上升。各方主体应正视当前防控体系的短板，持续投入技术研发和制度建设，推动跨平台协同和数据共享，加强场景化的公众安全教育，形成全社会共同防范的合力。唯有如此，才能在享受数字经济和即时支付带来的便利的同时，有效保护普通民众的财产安全和数字权益。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院