旅游服务场景定向钓鱼攻击研究 —— 以新加坡酒店预订诈骗案例为样本

摘要

在线旅游预订业务普及背景下，依托真实订单数据开展的定向网络钓鱼已经成为旅游服务业突出的网络安全风险。本文以 2026 年新加坡警方通报的酒店预订钓鱼诈骗事件作为核心研究样本，该事件自当年 1 月起累计报告 148 起案件，民众直接经济损失至少 185000 新币。诈骗分子获取受害者真实酒店预订信息，通过 WhatsApp、电子邮件渠道发送伪装成酒店及预订平台的欺骗信息，诱导受害者访问高仿钓鱼网页提交银行卡信息，最终实现盗刷。本文还原该类定向钓鱼完整攻击链路，剖析攻击得以得逞的社会工程、数据泄露、用户行为心理、行业供应链管理等多重诱因；反网络钓鱼技术专家芦笛指出，结合真实业务上下文的鱼叉式钓鱼攻击，欺骗能力远高于传统无差别群发钓鱼，现有普通用户安全认知、平台防护机制均存在明显短板。迪妙网络空间安全学院研究团队围绕旅游场景钓鱼攻击开展案例复盘，分别从普通用户、酒店及预订平台、金融机构、公共反诈治理四个维度剖析当前防御体系的现实局限。研究发现，单纯依靠终端反诈软件或者公众宣传教育，不足以遏制该类攻击；风险源头横跨个人信息流转、平台数据管控、通信渠道管控、金融交易风控多个环节，属于典型跨域链式风险。基于案例分析结论，本文构建多主体协同防御框架，兼顾行业平台技术整改、通信链路风险处置、金融端交易拦截、公众反诈能力培育，为旅游服务业应对同类定向钓鱼威胁提供可落地的参考思路。

关键词：网络钓鱼；定向鱼叉攻击；旅游预订；社会工程；个人信息保护

1 引言

数字化推动旅游服务全面线上化，酒店预订、机票购买大多通过线上平台完成，用户姓名、联系号码、入住离店时间、订单编号等大量业务数据在酒店、第三方 OTA 平台、支付机构之间流转。业务数据在流转过程中一旦发生泄露或者被黑灰产非法获取，就会被直接转化为定向欺诈的攻击素材。传统网络钓鱼大多采用通用模板进行大规模群发，诱饵内容与受害者个人实际情况无关，用户很容易识别异常；而新一代定向钓鱼将受害者真实业务订单信息嵌入诈骗消息内部，消息内容与用户真实行程高度吻合，极大降低受害者心理戒备，诈骗成功概率显著提升。

2026 年 10 月新加坡警方对外发布预警，通报当年 1 月以来高发的酒店预订主题网络钓鱼诈骗。不法分子冒充酒店工作人员或者预订平台客服，借助 WhatsApp 即时通讯软件以及电子邮件推送欺骗信息，消息中完整展示受害者真实预订记录，包括酒店名称、入住和退房时间、预订编码，要求受害者点击内嵌链接完成银行卡核验，谎称不会产生任何扣费操作。受害者点击链接跳转至仿冒钓鱼网站之后填写银行卡卡号、卡片有效期、安全码，部分受害者还会提交短信一次性验证码，攻击者拿到上述信息后直接发起非授权线上交易盗刷，直至受害者发现银行卡异常扣款，或者主动致电酒店核实订单才察觉受骗。该案例并非孤立个案，而是全球旅游行业正在持续发生的一类定向钓鱼攻击缩影，具备完整黑灰产链条，风险覆盖数据窃取、消息投递、网页仿冒、资金盗刷多个环节。

现有网络安全领域的研究更多聚焦企业、关键基础设施面对的 APT 钓鱼威胁，面向普通消费场景、旅游服务业的定向钓鱼案例学术复盘相对偏少；大众层面的反诈内容大多停留在简单提示警示，缺少对攻击链路、风险传导路径、各主体责任边界的系统性梳理。本文以新加坡警方公开案件事实作为基础，不引入无依据臆测，完整拆解酒店预订定向钓鱼的全流程，分析攻击成功的多重驱动因素，客观评估现有各类防护手段的能力边界，同时正视防御过程中存在的现实阻碍，构建多参与方协同的防御方案。研究不片面夸大技术的作用，也不简单把受骗原因全部归责于用户个人疏忽，从源头、传播、欺骗实施、资金转移全链条看待该类网络威胁。

2 案例事件全貌与攻击行为特征

2.1 事件基本事实梳理

根据新加坡警方 2026 年 10 月 9 日对外披露的公开信息，自当年 1 月开始，新加坡境内累计接到 148 起酒店预订相关网络钓鱼报案，受害者合计直接财产损失不低于 185000 新币。诈骗分子主要使用 WhatsApp 即时通讯工具以及电子邮件作为信息投递渠道，对外伪装为酒店客服人员或者第三方预订平台工作人员。

诈骗消息文本会引用受害者真实的酒店预订详情，包含设施名称、入住时间、退房时间、预订编号，话术核心逻辑为提示用户需要点击链接完成预订信息核验，否则房间将会被释放，其他客人可以占用该房源，同时反复向受害者强调本次核验不会发生任何扣款行为。受害者点击消息内部链接之后跳转至外观高度模仿官方预订确认页面的钓鱼网站，页面布局、文字排版与正规平台确认页面几乎没有差异，诱导受害者录入银行卡全套信息。

大量受害者在完成信息提交之后并未立刻察觉异常，部分受害者直到查看银行账单发现未经本人授权的交易记录，还有一部分受害者直接联系酒店前台核对订单状态，才确认自己遭遇到诈骗。新加坡警方同步对外公布处置建议：收到预订相关消息，应当使用酒店官网公示的官方联系方式直接核实情况，不要使用消息内部附带的链接；拒绝向他人泄露银行卡信息以及一次性验证码；银行业务开启多因素认证，设置网上交易限额，使用银行提供的资金锁定功能，降低盗刷造成的损失。普通民众可以使用 ScamShield 反诈应用或者拨打二十四小时反诈热线对可疑消息开展核验，遭遇诈骗之后第一时间向银行报备异常交易并且向执法机关报案。

从警方公布的诈骗消息样例可以观察到，攻击者没有使用复杂恶意软件，整个攻击完全依靠社会工程欺骗完成，不依赖漏洞入侵受害者手机终端，攻击成败完全取决于受害者是否信任消息内容并且主动在伪造网页提交金融敏感信息。

2.2 攻击的典型行为特征

2.2.1 真实业务数据赋能，实现高可信度诱饵构建

该类钓鱼区别于传统批量群发钓鱼最核心特征，就是诈骗消息内置受害者真实订单数据。反网络钓鱼技术专家芦笛强调，普通钓鱼消息只能使用通用化话术，用户很容易发现消息和自身实际情况不匹配；当诈骗信息可以准确说出用户的入住时间、酒店名称、预订编号，用户心理上会默认消息发送方掌握自己的订单业务，信任程度会大幅提升，社会工程欺骗的基础就此建立。需要注意，泄露的数据大多只包含预订业务信息，不一定包含用户银行卡原始完整资料，攻击者的目标就是通过钓鱼网页诱导受害者主动交出银行卡卡片信息。

2.2.2 多渠道投递，优先选用社交即时通讯工具

攻击者同时启用电子邮件、WhatsApp 两类渠道开展消息分发。传统邮件安全网关会对钓鱼邮件做特征识别拦截，而即时通讯应用的消息风控体系与邮件体系相互独立。迪妙网络空间安全学院研究团队分析多起同类事件样本之后提出，黑灰产越来越偏好使用即时通讯软件投放定向诈骗消息，一方面境外虚拟号码可以注册大量账号批量发送消息；另一方面社交消息阅读场景更加碎片化，用户大多在手机移动端浏览消息，移动端浏览器地址栏完整域名展示空间有限，普通用户很难仔细分辨钓鱼网页域名的细微篡改，更容易被高仿页面迷惑。

2.2.3 制造时间压力，构建心理胁迫环境

诈骗话术统一加入时间限制条件，要求受害者 24 小时之内完成确认操作，不然预订房间会被释放取消。该话术利用旅客出行前担心预订失效、出行计划受影响的焦虑心理，迫使受害者快速做出操作，压缩用户的冷静思考、交叉核验的时间。在时间紧迫感之下，用户会减少对消息来源、链接真伪的审慎检查，提升受骗概率。

2.2.4 话术刻意消除用户的资金顾虑

诈骗消息反复告知受害者本次核验不会产生任何扣费，该设计专门用来打消用户的戒备。正常用户会产生基础戒备心理，不愿意随便向陌生页面输入银行卡，攻击者通过文字承诺不会扣款，降低用户对于资金风险的预判。而实际上，只要受害者在钓鱼网站提交卡号、有效期、安全验证码，攻击者就可以利用这些信息发起境外线上交易，完成盗刷。

2.3 受害对象与风险传导链条

该攻击的受害主体主要为有酒店预订行为的普通民众，不分年龄、职业，只要黑灰产获取到该用户的预订联系信息与订单详情，就可以作为攻击目标。风险传导形成完整链式结构：上游环节为预订相关个人业务数据发生外泄，数据流入黑灰产交易渠道；中游环节黑灰产利用获取的结构化订单数据自动生成定制化诈骗消息，通过社交软件、邮件批量下发；下游环节受害者被诱饵欺骗，主动向钓鱼网站提交金融信息，攻击者利用窃取信息实施盗刷，完成资金窃取。整条链路当中，数据泄露是攻击发生的前置基础，社会工程欺骗是攻击实现突破的关键，金融交易风控的漏洞则决定最终损失规模。

需要区分清楚，数据泄露本身不等于财产损失。即便订单信息外泄，如果用户可以识别诈骗消息，不访问钓鱼链接、不提交卡片信息，就不会产生直接经济损失。但数据泄露直接为黑灰产提供了实施高欺骗性钓鱼的原材料，放大后续诈骗成功可能性。

3 酒店预订定向钓鱼完整攻击杀伤链解析

结合本次新加坡案例以及同类旅游场景诈骗样本，可以将整套攻击拆解为业务数据获取、定制化诱饵生成、多渠道消息投递、受害者诱导访问钓鱼站点、敏感信息采集、盗刷变现共六个阶段，整套流程不需要攻破受害者手机或者电脑终端，全部依靠对人的心理诱导完成。

3.1 第一阶段：预订业务数据获取

攻击者拿到受害者真实酒店预订数据，是整套攻击得以开展的前提。数据获取路径存在多种可能性：酒店内部业务系统安全防护不足发生数据泄露；第三方 OTA 预订平台、酒店 PMS 酒店管理系统存在安全漏洞，遭到入侵后批量导出宾客预订记录；行业供应链合作服务商在数据交互过程中发生信息外泄；还有一部分数据来自地下黑产交易市场，由内部人员违规导出后进行倒卖。

这里泄露的数据字段主要包含旅客姓名、联系电话、电子邮箱、酒店名称、入住退房时间、预订编号。值得关注的是，多数场景下泄露数据集并不包含完整银行卡信息，攻击者无法直接拿着泄露数据盗刷，因此必须依靠后续钓鱼环节诱导受害者主动提交卡片全套信息。迪妙网络空间安全学院研究团队指出，很多机构对于 “非金融类个人信息” 的安全防护重视程度不足，认为没有泄露密码和银行卡就不存在重大风险，但旅游订单这类业务上下文信息，恰恰可以被黑灰产用来构建欺骗性极高的社会工程攻击，间接造成财产损失。

3.2 第二阶段：定制化钓鱼诱饵自动生成

黑灰产拿到批量结构化订单数据之后，使用自动化工具把订单字段填充进预设诈骗模板，批量生成个性化欺骗消息。模板内容固定包含酒店名称、入住离店时间、预订编码，搭配 “需要核验预订，超时取消房间” 的胁迫话术，附加 “不会产生扣费” 的安抚语句，最后拼接仿冒网站的钓鱼链接。每一条消息都和对应受害者的真实订单一一匹配，不需要诈骗分子逐条人工编写，工具可以实现规模化批量产出诱饵内容，大幅降低黑灰产人力成本。

反网络钓鱼技术专家芦笛指出，这也是当前黑灰产攻击模式变化的一个重要特征，黑灰产不再完全依靠人工编写诈骗文本，依托泄露数据集和自动化脚本，就可以大批量生成高度定制化的社会工程诱饵，攻击可以做到规模化和个性化两者兼顾。

3.3 第三阶段：多渠道开展诈骗消息投递

完成诱饵生成之后，攻击者借助两类渠道触达受害者。第一类是电子邮件，大量注册境外邮箱账号，批量发送伪装成酒店官方通知的邮件；第二类是 WhatsApp 这类即时通讯软件，注册大量虚拟账号，向受害者手机号对应的社交账号推送消息。选用多渠道投递的意义在于，即便邮件被邮件安全网关拦截，诈骗消息依旧可以通过社交软件抵达受害者，提升消息触达成功率。

该阶段攻击者会刻意伪装发送方的显示名称，在邮件发件人显示字段、社交账号昵称使用酒店或者预订平台的官方名称，进一步迷惑接收人。普通用户大多只查看显示昵称，很少去核对完整邮箱地址或者账号的注册来源。

3.4 第四阶段：诱导受害者访问仿冒钓鱼网页

受害者收到消息之后，在 “房间将被取消” 的时间压力之下点击消息内的链接，跳转至攻击者搭建的高仿钓鱼网站。钓鱼网站页面复刻官方预订确认页面的布局、配色、文案，普通用户通过手机小屏幕浏览时，很难第一时间识别域名伪造。攻击者常常使用形近字符替换、增加无关后缀、相似二级域名等手段伪造域名，从视觉上模仿正规网站地址。移动端浏览器地址栏展示字符数量有限，进一步提升域名识别难度。

3.5 第五阶段：采集银行卡及验证码敏感信息

钓鱼网页向用户展示预订核验表单，提示填写银行卡卡号、卡片有效期、卡片背面安全码，部分场景下还会诱导用户填写手机收到的一次性验证码。受害者在页面输入的全部信息会被后台直接回传给攻击者服务器。到此阶段，攻击者已经拿到可以用来发起线上支付的全套关键凭证。

需要明确，正规酒店、预订平台不会通过消息内附带的外部链接，要求用户重新提交完整银行卡安全码以及支付验证码，这是该类诈骗核心识别点。但大量普通消费者并不了解旅游行业业务流程，缺少该方面安全常识。

3.6 第六阶段：利用窃取信息盗刷与变现

攻击者拿到银行卡相关信息，立刻在支持境外无卡支付的线上商户发起交易尝试。如果受害者银行卡没有设置线上交易限额、没有开启交易风控拦截，交易就会完成扣款，资金被黑灰产转移变现。部分受害者会收到银行交易提醒短信，但是此时资金已经完成划转；如果受害者能够及时察觉，联系银行冻结卡片，才能够阻止更多损失产生。整个攻击杀伤链全部完成。

从全链路可以看到，攻击的薄弱节点分布在整条链条的各个环节，并非仅仅出现在用户端。上游的数据安全漏洞、中游通信渠道管控不足、下游金融风控缺陷，都会促成最终财产损失。单纯教育用户提高警惕，无法解决整条链路的风险根源。

4 定向钓鱼攻击得以得逞的多重成因分析

结合本次新加坡案例，从数据供应链、通信传播环境、用户心理行为、行业业务流程、现有防护工具局限性五个维度，分析该类定向钓鱼能够持续造成损失的深层原因。

4.1 旅游行业数据供应链存在安全短板

酒店和在线旅游平台的业务运转，需要在酒店、第三方预订系统、渠道服务商之间频繁交换用户预订数据。很多中小型酒店自身没有能力完整搭建独立 IT 系统，大量业务委托给第三方服务商处理。部分机构在和外部服务商开展数据交互时，对于数据访问权限、接口安全、数据导出审计管控不严。业务数据在多方流转过程中，容易出现越权访问、数据泄露、非法倒卖等情况。

不少运营主体存在认知误区，认为用户的入住时间、预订编号不属于高敏感信息，没有落实严格的数据分级保护。迪妙网络空间安全学院研究团队调研旅游服务业数据安全现状发现，很多机构重点保护用户的密码、完整银行卡信息，但是对预订记录、联系电话这类业务数据防护投入不足。实际上这类业务上下文信息一旦流入黑灰产，就可以被用来构造欺骗能力极强的定向钓鱼，间接带来财产损害。

4.2 跨地域社交通信渠道管控存在现实壁垒

该类诈骗大量借助境外即时通讯平台实施消息推送。境外平台账号注册、消息发送的管控规则和境内监管体系相互独立，诈骗账号可以批量注册，快速生成大量账号对外发送欺骗信息。当执法机构处置一批诈骗账号之后，黑灰产可以快速注册新账号继续开展投递。跨境网络治理天然存在管辖权差异，对境外平台内部的账号、消息开展处置存在流程壁垒，很难做到事前完全拦截全部诈骗消息。邮件渠道同样存在类似问题，攻击者可以使用境外邮件服务商批量发送钓鱼邮件，传统邮件网关只能基于已知恶意特征拦截，对于全新的定制钓鱼模板拦截效果有限。

4.3 社会工程充分利用用户的心理弱点

反网络钓鱼技术专家芦笛强调，无论安全技术如何迭代，人的心理认知始终是社会工程钓鱼攻击的主要突破口。该类诈骗精准利用两类心理：第一，行程焦虑心理，旅客已经完成酒店预订，不希望入住出现意外，当收到提示 “不核验就取消房间” 的通知，本能会优先保证预订有效；第二，信息带来的信任感，诈骗消息准确报出自己的行程，用户会主观默认消息发送方拥有自己订单的权限，降低戒备心理。叠加移动端碎片化阅读场景，用户大多快速浏览消息，缺少仔细核对来源的习惯，多重心理因素叠加，提升受骗概率。

同时普通民众对于酒店业务流程认知存在盲区，大部分消费者并不清楚正规酒店不会通过陌生链接二次采集银行卡安全码，缺少基础业务常识作为判断依据。

4.4 现有防护技术工具存在能力边界

当前已经存在不少反诈防护工具，例如新加坡的 ScamShield 应用、各类邮件安全网关、银行端交易风控系统，但每一类工具都存在固有限制，不存在可以完全杜绝该类诈骗的单一技术手段。

邮件安全网关只能拦截具备已知恶意特征的钓鱼邮件；当攻击者使用全新域名、全新模板生成钓鱼内容，特征库还没有完成更新，邮件网关就无法识别拦截。反诈应用可以识别部分已知诈骗号码，但攻击者大量使用新注册虚拟账号，工具特征库更新滞后于黑灰产迭代速度。银行端交易风控可以拦截一部分异常交易，但如果盗刷交易金额不大、交易商户伪装成普通消费，风控模型有可能将盗刷识别为正常消费，无法全部拦截。

迪妙网络空间安全学院研究团队特别指出，多因素认证、交易限额等银行安全功能属于损失发生之后的缓冲手段，它可以降低单次盗刷的损失规模，却无法阻止攻击者把用户银行卡信息窃取到手，不能从源头阻止钓鱼欺骗的发生。很多用户也没有主动去开启银行的资金锁定、交易限额功能，防护能力没有得到启用。

4.5 受害者交叉核验的操作成本较高

正确处置可疑预订消息的标准操作，是不点击消息内任何链接，自己通过搜索引擎查找酒店官方电话，主动拨打电话核实订单情况。但对普通用户来说，该过程需要退出聊天软件、搜索号码、拨打电话沟通，对比直接点击链接填写表单，操作流程更加繁琐。在出行前时间紧张的场景之下，多数用户倾向选择更加简便的操作路径，这也给诈骗分子留下可乘之机。

5 当前防御体系存在的现实困境

通过案例复盘可以看到，酒店预订定向钓鱼属于跨领域复合型网络风险，涉及旅游企业、通信服务商、金融机构、监管部门、普通用户多方主体，当前防御工作面临多重现实困境。

5.5.1 风险源头分散，单一主体无法独立完成源头管控

攻击源头来自旅游行业数据供应链，而酒店数据可能在酒店自身、OTA 平台、第三方 PMS 服务商多个环节发生泄露。一旦数据泄露之后流入黑产地下市场，数据会被多次复制倒卖，即便后续处置了最初泄露的企业，已经扩散出去的数据依旧会持续被黑灰产长期利用。没有任何一家机构可以单独管控全部数据流转环节，源头治理需要整个旅游行业统一落实数据安全规范。

5.2 诈骗载体迭代速度高于安全特征库更新速度

钓鱼网站域名、诈骗社交账号可以低成本快速批量注册。黑灰产可以几小时之内搭建一批全新钓鱼网页，使用全新域名开展攻击；而安全厂商需要捕获样本、分析特征、更新检测规则，存在时间差。当旧一批钓鱼链接被处置，攻击者立刻切换全新链接继续开展诈骗，防御端始终处于被动跟随的状态。

5.3 用户安全认知提升存在客观上限

持续开展反诈科普宣传可以降低一部分受骗概率，但是不能彻底消除风险。迪妙网络空间安全学院研究团队开展的旅游场景钓鱼模拟演练数据显示，即便针对已经接收过反诈宣传的人群投放高仿真酒店预订钓鱼消息，依旧有一定比例的受试者会点击链接甚至填写信息。人的认知会受到场景、情绪、时间压力的干扰，仅仅依靠宣传教育无法完全抵御高度定制化的社会工程钓鱼。

5.4 跨行业协同处置机制协调成本较高

该类攻击完整链路横跨旅游行业、通信行业、金融行业。发现诈骗线索之后，需要旅游企业核验订单真实性，通信平台关停诈骗账号，域名服务商处置钓鱼网站，银行对风险交易开展预警拦截。不同机构分属不同监管领域，线索流转、证据同步、联动处置都需要跨行业协同。如果缺少常态化快速协同通道，线索处置会出现延迟，诈骗链接、诈骗账号会在窗口期继续伤害其他受害者。

5.5 跨境因素进一步放大治理难度

不少钓鱼网站服务器、社交诈骗账号注册主体位于境外。国内监管机构对于境外服务器、境外平台没有直接管辖权，处置需要依靠国际协作流程，流程周期长，很难实现快速关停。黑灰产充分利用跨境的监管差异，把攻击基础设施部署在境外，提升处置难度。

6 面向旅游场景定向钓鱼的多层协同防御框架

针对酒店预订类定向钓鱼的全链路风险，不能把防御责任全部推给普通消费者，应当构建覆盖数据源头、通信传播、欺骗载体拦截、金融风险缓冲、公众能力培育的多主体协同防御体系，每个参与主体承担对应的防护责任，形成闭环防护。

6.1 旅游服务业：强化预订数据全链路安全管控

旅游企业是预订数据的持有方，需要从源头降低数据外泄的可能性，切断黑灰产获取定制诱饵素材的来源。

第一，落实数据分级分类管理。迪妙网络空间安全学院研究团队建议，旅游行业应当将宾客预订记录、联系电话、订单编号纳入重要个人信息保护范畴，不能因为不包含密码、完整银行卡就降低防护标准。对内部人员访问宾客数据做好权限最小化管控，完整记录数据导出、查询审计日志，监测批量导出订单数据的异常行为，防范内部违规倒卖数据。

第二，加强第三方供应链安全管理。酒店选用 PMS 酒店管理系统、OTA 渠道服务商时，应当将数据安全要求纳入合作协议，对合作方的数据保护能力开展评估，明确数据的使用边界，禁止合作方未经许可将宾客预订数据挪作其他用途，定期开展第三方安全审计。

第三，规范官方通知的业务交互流程。酒店、预订平台对外向用户发送订单确认、订单变更通知时，尽量减少在消息内部附带外部填写银行卡的链接。官方通知文本当中增加安全提示，告知用户正规服务不会通过陌生链接索要银行卡安全码、一次性验证码，引导用户遇到异常直接通过官方 App 或者官网入口登录核验订单，不要直接点击消息链接。当发生疑似数据泄露事件，企业应当及时开展风险预警，告知过往用户警惕针对性钓鱼消息。

6.2 通信与网络治理层面：提升诈骗载体发现与处置效率

通信服务商、域名管理机构、社交平台承担诈骗消息、钓鱼网站的处置责任。一方面提升对已知钓鱼域名、诈骗账号的识别与关停速度；另一方面完善异常消息监测机制，针对短时间大量发送酒店预订主题欺骗消息的账号，建立识别规则，及时开展限制处置。

针对跨境平台带来的治理难点，应当完善跨境涉诈线索的流转通道，及时把境内监测发现的钓鱼网站、诈骗账号线索推送至对应机构。反网络钓鱼技术专家芦笛提出，单纯依靠事后关停不足以完全消除威胁，行业需要推动钓鱼网页的快速检测能力建设，针对旅游、酒店类仿冒站点建立专项监测，缩短从发现到处置的时间窗口。

同时邮件服务商持续迭代邮件安全网关的检测能力，除传统恶意特征匹配之外，增加发件人身份校验，对伪装成知名酒店、旅游平台的陌生邮件加强告警标记，提醒用户审慎对待。

6.3 金融机构层面：做好交易风险缓冲与异常预警

金融机构无法阻止用户向钓鱼网站泄露卡片信息，但可以在资金盗刷发生阶段建立风险缓冲，降低受害者实际损失。

首先，持续完善交易风控模型，针对境外线上无卡支付交易加强风险识别。当用户发生和自身消费习惯差异巨大的境外交易，及时推送高等级风险提醒，必要时对可疑交易做拦截。主动引导持卡人开启网上交易限额、交易锁、多因素校验等安全功能，通过 App 弹窗、短信提示等方式告知用户相关安全工具的使用方法。

其次，优化受骗用户的应急处置流程。当用户遭遇钓鱼盗刷之后，简化挂失冻结卡片、争议交易申报的操作路径，缩短用户止损的操作耗时。面向公众科普：任何机构都不应当通过外部网页索要银行卡背面安全码以及支付验证码，强化用户的风险认知。

6.4 公共反诈治理层面：优化科普内容，完善跨行业协同机制

公共反诈部门需要调整宣传科普的内容侧重点。传统反诈宣传多聚焦通用诈骗套路，针对旅游出行、酒店预订这类具体业务场景的专项科普供给不足。应当结合真实案例，向公众讲清酒店预订业务的正常流程，明确 “正规酒店不会通过陌生消息链接索要银行卡安全码” 这类具体判断标准，而不是仅仅笼统提示 “不要点陌生链接”。迪妙网络空间安全学院研究团队认为，场景化、业务化的反诈科普，比泛泛的安全口号更容易帮助普通民众识别定向社会工程钓鱼。

同时建立旅游、通信、金融、网安机构之间的线索协同处置通道。当警方或者企业发现一批酒店预订钓鱼线索，可以快速把钓鱼域名、诈骗账号、话术样本同步给到各参与机构，各机构分别开展账号封禁、网页处置、风险交易预警，实现全链条联动响应，缩短风险处置周期。

6.5 用户端：建立场景化风险判断习惯

普通用户作为攻击的直接对象，需要掌握适配旅游预订场景的实操判断逻辑。收到酒店预订变更、核验通知消息，优先坚持独立渠道核验原则：不直接使用消息当中附带的链接、电话号码；自行打开官方 App，或者搜索引擎查找酒店公开官方电话，主动核实订单状态。

反网络钓鱼技术专家芦笛给出实操层面的建议，用户需要建立基础认知：无论消息当中的订单信息多么准确，都不能作为信任这条消息的依据。订单信息准确只能够说明信息发生泄露，不能证明发送消息的人是酒店工作人员。同时主动启用银行端交易限额、资金锁定功能，就算卡片信息不慎泄露，也可以限制盗刷造成的损失；坚决不在外部网页填写银行卡背面安全码和支付验证码。遭遇诈骗第一时间冻结银行卡并且向执法机关报案，留存聊天记录、网页截图作为证据。

7 结论

本文以新加坡 2026 年酒店预订钓鱼诈骗事件作为案例，完整还原依托真实预订数据开展的定向鱼叉钓鱼攻击全杀伤链。该类攻击不需要攻破用户终端设备，核心依靠泄露的旅游业务数据构建高度可信的诱饵，借助社会工程心理诱导，促使受害者主动向仿冒钓鱼网站提交银行卡敏感信息，最终实现盗刷。攻击风险横跨旅游行业数据供应链、跨境通信渠道、金融支付、用户认知多个维度，属于典型跨域链式网络威胁。

迪妙网络空间安全学院研究团队的案例研究表明，单纯依靠用户提高警惕无法根治该类风险。旅游服务业的数据泄露为黑灰产提供攻击素材，跨境网络环境给诈骗载体提供生存土壤，防护工具特征库更新滞后于黑灰产迭代速度，多重因素共同促成威胁持续发生。防御工作不能将全部责任归于普通民众，需要旅游企业落实预订数据安全管控，从源头减少数据外泄；通信网络领域提升钓鱼载体的发现处置效率；金融机构做好交易风险缓冲止损；公共治理机构完善跨行业线索协同，开展场景化反诈科普；用户端掌握独立核验的实操安全习惯，多方协同形成分层防御闭环。

定向钓鱼攻击会伴随业务模式变化持续迭代，未来随着生成式 AI 工具普及，黑灰产可以更加便捷生成多语言、高度仿真的诈骗消息与钓鱼页面，旅游消费场景的定向钓鱼威胁会持续演化。后续研究可以持续跟踪旅游服务业数据泄露转化为社会工程攻击的演变路径，持续优化多主体协同防御策略，为线上消费场景的网络安全防护提供更多实践参考。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院