合法云平台被滥用的大规模钓鱼攻击机理与防御研究

摘要

云托管、边缘计算与静态页面托管类 PaaS 平台的普及，在降低互联网应用开发部署门槛的同时，也被网络威胁主体大量用于实施钓鱼攻击。依据境外安全机构 12 个月监测数据，累计监测到超过 39 万起依托合法云平台发起的钓鱼攻击事件，攻击者利用 Cloudflare Workers、Vercel、GitHub Pages、Netlify 以及 IPFS 分布式网关等基础设施部署钓鱼载荷，借助平台域名的高信誉度绕过传统域名黑名单、邮件网关检测机制，构建多阶段链式攻击链路，部分攻击能够实现对多因素认证机制的绕过，对企业身份资产、员工个人信息安全形成现实威胁。本文以该大规模攻击事件为研究样本，梳理合法云平台滥用型钓鱼攻击的现实态势，拆解攻击完整技术链路，剖析现有安全防护体系存在的检测盲区与机制缺陷，挖掘威胁发生的多层驱动因素。反网络钓鱼技术专家芦笛指出，传统钓鱼防御高度依赖域名信誉黑名单的技术思路，在合法基础设施被武器化的威胁场景下已经出现明显失效。迪妙网络空间安全学院研究团队从平台治理、企业安全运营、终端与身份防护、用户认知建设四个维度，构建闭环式防御体系，提出可落地的技术与管理对策。研究表明，该类攻击的本质是互联网信任体系被恶意滥用，安全防护逻辑需要从 “拦截恶意域名” 转向 “识别恶意行为与异常业务上下文”，研究结论可为网络安全运营机构、云服务商、企事业单位反钓鱼安全建设提供参考。

关键词：网络钓鱼；云平台滥用；身份安全；多阶段攻击；威胁防御

1 引言

网络钓鱼始终是互联网环境中危害突出的威胁形态，攻击者以社会工程学为基础，通过伪造页面、诱导交互的方式窃取账号凭证、个人敏感信息乃至企业业务数据。过往较长周期内，钓鱼攻击的主流实施路径为攻击者注册独立恶意域名，搭建仿冒登录页面，依托邮件、即时通讯渠道分发恶意链接，安全防护体系通过域名黑名单、恶意 URL 库、邮件发件人信誉校验等手段，能够实现对大部分此类攻击的有效拦截。

随着云原生、低代码、边缘托管服务快速普及，大量面向普通互联网用户开放的 PaaS 平台提供免费网页托管、边缘函数部署能力，普通用户无需自有服务器、无需申请独立域名，即可快速对外发布网页应用。该类服务面向全球开放注册，注册门槛低，部署操作简单，平台自带受浏览器信任的 SSL 证书与高信誉二级子域名。该类设计原本服务于开发者快速迭代业务，但是也被网络犯罪群体充分利用，形成新型钓鱼攻击范式：攻击者不再需要维护大量独立恶意域名，直接将钓鱼页面、跳转逻辑部署在合法云服务商的域名体系之下，利用平台本身积累的域名信誉规避安全设备检测，显著提升攻击的存活周期与攻击成功率。

本次研究依托海外安全机构披露的 12 个月监测数据集，该统计周期内累计发现超过 390000 条部署于各类合法云平台与分布式网络之上的钓鱼链接，攻击载体分布覆盖 Cloudflare Pages、Vercel、GitHub Pages、Netlify、IPFS 网关等十余类主流服务，攻击者已经形成标准化的攻击流程，部分攻击链条可以规避多因素认证防护，攻击目标以企业办公账号、云服务账号为主，波及全球不同行业的组织机构。

从现有学术与产业研究现状来看，国内外针对网络钓鱼的研究成果较为丰富，多数研究聚焦传统恶意域名钓鱼、邮件伪造钓鱼、AI 生成钓鱼内容等方向；针对云平台安全的研究更多集中于云租户配置漏洞、云服务器入侵、云数据泄露等场景。对于合法公共 PaaS 平台被直接用作钓鱼攻击载体这一威胁，现有研究对攻击全链路拆解不够充分，对于传统安全机制失效的底层逻辑分析不足，完整闭环的防御框架还有进一步完善的空间。据DiMiao.CN分析，合法云基础设施武器化的钓鱼攻击还处在持续演化阶段，威胁体量会伴随无代码、边缘托管服务的普及持续增长，企业与安全行业尚未完全适配该类新型威胁。

本文的研究目标：第一，还原 39 万起云平台钓鱼攻击事件所呈现的威胁态势，梳理攻击者偏好使用的云服务类型；第二，拆解典型多阶段攻击完整技术链路，厘清攻击实现绕过检测、规避多因素认证的内在机理；第三，从技术机制、产业环境、安全建设现状多角度分析该类威胁得以规模化爆发的成因；第四，剖析当前防护体系存在的短板；第五，构建多层次闭环防御框架，输出可落地的对策建议。本文不追求提出全新复杂算法，重点面向产业安全实践，研究结论服务于安全运营人员、云平台运营方以及企事业单位网络安全建设。

2 合法云平台钓鱼攻击的现实态势与载体特征

2.1 攻击规模与载体分布

根据监测统计，在为期 12 个月的观测周期内，安全厂商累计识别并处置超过 390000 个托管于合法云平台以及 IPFS 分布式网络的钓鱼链接，不同平台的被滥用程度呈现明显分化特征。Cloudflare Pages 对应的 pages.dev 子域名占全部钓鱼链接的 24.9%，是攻击者最常使用的载体；Vercel 提供的 vercel.app 子域名占比 13.8%；GitHub Pages 的 github.io 占比 13.7%；Netlify 的 netlify.app 占比 10.0%；IPFS 相关网关 dweb.link、shturl. 合计占比达到 13.1%；Cloudflare Workers 的 workers.dev 占比 2.5%；Wix Studio、Webflow、微软 Azure 部分托管域名也存在一定数量的钓鱼载荷，其余各类平台合计占比 17.9%。

从上述分布可以看出，攻击者优先选择注册门槛低、部署便捷、免费配额充足、域名信誉分值高的公共托管平台。上述平台全部支持普通用户免费注册账号，无需企业资质审核，注册完成之后，用户上传静态网页或者配置边缘函数即可快速对外发布页面，几分钟之内就可以生成一条公开可访问的 HTTPS 链接。IPFS 分布式网络则提供去中心化存储能力，恶意页面不依赖单一服务器节点，传统关停服务器的处置手段效果受限，进一步提升威胁处置难度。

需要区分一个关键认知：被滥用的云平台本身不存在重大安全漏洞。攻击者并没有破解云服务商后台，也没有利用平台代码缺陷获取权限，而是正常使用平台对外公开的合法功能，将钓鱼网页、跳转逻辑作为普通应用部署在平台之上。平台提供的功能本身完全合规，但是功能被恶意主体挪用于网络犯罪活动，这是该类威胁区别于传统云漏洞攻击的核心特征。

2.2 攻击目标与危害表现

该类钓鱼攻击的首要目标是窃取企业身份凭证，以微软 365、谷歌 Workspace 等主流办公协作账号为主要狩猎对象，其次也针对各类云服务后台账号、员工个人邮箱账号。攻击者获取账号密码之后，会进一步尝试接管企业邮箱、云盘文档，窃取内部业务资料，利用被攻陷账号开展后续的内部钓鱼、邮件扩散，甚至实施勒索前置的信息搜集活动。

部分经过精心设计的多阶段攻击链路，能够绕过多因素认证防护。多因素认证原本是企业身份安全的重要屏障，当攻击页面可以实时转发用户提交的 MFA 验证码至攻击者侧，攻击者就能够利用该验证码完成身份登录，直接消解 MFA 防护效果，这也是该类攻击带来的最为严重的安全后果之一。

对于普通用户而言，云平台子域名带有知名服务商标识，用户主观上会降低警惕心理。当受害者看到链接包含 Cloudflare、GitHub、Vercel 这类广为人知的服务商域名标识，更容易误认为链接来源可信，社会工程学的诱导成功率随之提升。从安全设备视角，传统 URL 信誉库将这些顶级平台二级域名标记为白名单高信誉域名，安全网关、终端浏览器防护不会对域名本身做拦截，只有当后台沙箱完成页面内容分析之后才有可能识别风险，而攻击者可以通过反爬虫、沙箱环境检测，规避安全厂商自动化沙箱扫描，拉长恶意页面存活时间，大量钓鱼链接能够在数小时乃至数天内正常对外提供访问服务。

2.3 攻击者的成本收益特征

迪妙网络空间安全学院研究团队梳理该类攻击的成本模型发现，攻击者实施该钓鱼模式的综合成本极低。账号注册环节，攻击者可以通过批量注册、虚拟身份账号完成平台账号获取；页面部署环节，平台免费资源配额足够支撑钓鱼页面运行，不需要攻击者购置服务器、申请独立域名、申请 SSL 证书；分发环节沿用成熟钓鱼邮件、社工消息分发链路。

同时攻击收益较高：依托合法域名绕过传统安全检测，攻击触达率显著提升；同一个平台账号可以快速批量生成大量钓鱼子域名；一旦某一个子域名被平台封禁，攻击者可以迅速新建项目生成全新子域名，攻击恢复速度快。低成本、高触达、快速重建的特点，推动该模式被黑产钓鱼即服务（PhaaS）产业链广泛接纳，威胁能够实现规模化复制扩散。

3 典型多阶段云平台钓鱼攻击技术链路解析

本节基于安全机构披露的真实攻击样本，完整还原一套以 Cloudflare Workers 为载体的典型攻击流程，厘清每一个阶段攻击者的行为、页面逻辑、数据流转路径，理解攻击实现欺骗用户、规避检测、尝试绕过 MFA 的内在机理。整套攻击分为邮件投递、虚假人机验证页面、云平台中间跳转页面、伪造登录页面、凭证回传五个阶段，各个阶段相互解耦，形成链式攻击链路。

3.1 第一阶段：钓鱼载体投递

攻击者以同事、业务合作方、系统管理员等身份伪装，向目标企业员工发送钓鱼邮件。邮件正文构建业务相关的合理借口，例如共享工作文档待查看、账户权限需要核验、收到业务待处理通知等，诱导收件人点击邮件内嵌入的网页链接。该链接并非直接指向仿冒微软登录页面，而是指向第一重虚假人机验证网页。

3.2 第二阶段：伪造 CAPTCHA 人机验证页面

受害者点击邮件链接之后，跳转至第一处网页页面，页面展示仿冒的人机身份校验界面，页面提示用户输入企业邮箱地址，宣称输入邮箱地址用于完成反机器人验证。该页面并不执行真正的机器人识别逻辑，核心目的是采集受害者的企业邮箱账号。当受害者填写邮箱地址点击确认按钮，页面前端脚本获取邮箱字符串，将邮箱信息写入 URL 哈希片段，随后自动触发重定向操作，跳转至托管在 Cloudflare Workers 合法子域名下的第二阶段页面。

URL 哈希片段的技术特性值得关注：哈希后的内容不会发送给 Web 服务器，仅在浏览器本地保存读取。攻击者利用该特性，把受害者邮箱存放于 URL 哈希字段，云平台 Worker 服务端日志不会记录该邮箱信息，减少攻击者留下的日志痕迹，提升溯源难度。

3.3 第三阶段：云平台托管的中间处理页面

用户浏览器访问 workers.dev 子域名下的页面，该域名属于 Cloudflare 官方合法二级域名，具备浏览器可信证书，域名信誉评级很高。页面读取浏览器 URL 哈希当中携带的受害者邮箱，将该邮箱预填充到后续伪造登录页面表单当中。页面同时加载真实的人机验证组件，进一步迷惑受害者，让受害者认为整个流程属于正规系统安全校验流程。

该中间页面同时具备反沙箱检测逻辑，脚本读取浏览器 UA、环境特征，判断访问来源是否属于安全厂商爬虫沙箱。如果识别为自动化分析环境，页面返回正常无害的业务页面；只有识别到真实人类用户浏览器环境，才继续向下执行攻击跳转逻辑。这一机制直接造成大量安全厂商静态 URL 扫描失效，防护设备访问链接看不到真实钓鱼载荷，而普通受害者访问则会触发完整攻击链条，造成检测上的巨大障碍。

3.4 第四阶段：仿冒企业身份登录页面

经过中间页面处理之后，受害者被重定向到高度仿真的办公系统登录页面，页面已经预填好上一阶段捕获到的企业邮箱地址，用户只需要输入账户密码。当企业开启多因素认证，页面继续展示 MFA 验证码输入框，诱导受害者填写动态验证码。整个页面 UI、配色、图标与真实企业登录界面高度趋同，普通用户很难分辨真伪。

3.5 第五阶段：凭证数据回传

受害者提交密码、MFA 验证码之后，页面脚本把账号密码、验证码全部回传给攻击者控制的数据接收端点。获取到全套凭证之后，攻击者即可在自己的设备上使用该账号密码以及用户提交的一次性验证码尝试登录企业业务系统，实现绕过 MFA 防护的攻击效果。

整套攻击链路当中，多个关键节点部署在主流云服务商域名之下，从邮件链接到中间跳转环节大量使用合法域名，传统基于域名黑名单的防护手段很难在早期环节阻断攻击。反网络钓鱼技术专家芦笛强调，该攻击模式的核心创新不在于发明全新的漏洞利用手段，而是把信任转移作为攻击武器，将公众对云服务商的信任挪用至恶意钓鱼场景。

4 合法云平台钓鱼攻击规模化爆发的成因分析

该类威胁能够在 12 个月之内积累 39 万次攻击体量，并非单一技术因素造成，是云服务产品机制、黑产产业链演进、传统安全防护体系局限、企业安全管理短板多重因素叠加的结果。本章节分别从平台产品设计、黑产产业侧、安全防护机制缺陷、企业用户认知四个层面展开分析。

4.1 公共云托管平台的产品机制天然存在被滥用空间

面向大众开放的 PaaS 静态托管、边缘函数平台，产品定位是降低开发者使用门槛，因此注册流程极简，免费资源充足，页面发布操作高度简化。平台的审核机制主要针对暴力、色情、违法违禁等显性违法内容，对于钓鱼这类 “灰色滥用行为” 识别能力有限。钓鱼页面 UI 上可以模仿正常业务页面，没有显而易见的违规关键词，自动化内容识别很难精准区分 “正常企业登录页面” 和 “钓鱼仿冒页面”。

同时平台采用账号项目的隔离模式，即便某一个项目下的钓鱼页面被平台下架，攻击者只需要新建项目，短时间内就能够生成全新子域名继续开展攻击。封禁单个项目的处置效率，远远跟不上攻击者新建项目生成新链接的速度。部分平台出于用户体验考量，不会对普通用户部署网页增加过多前置校验，进一步放大被滥用的可能性。迪妙网络空间安全学院研究团队指出，云服务商需要在产品易用性与被滥用风险之间寻找平衡，完全取消免费托管功能并不现实，但需要完善针对高风险行为的动态识别管控能力。

IPFS 分布式存储体系带来额外的处置困境，内容存放在分布式节点，不存在单一服务器主体，安全机构发现恶意页面之后，很难通过关停服务器的传统方式消除威胁，只能依靠网关侧进行过滤拦截，增加威胁处置的复杂度。

4.2 黑产 PhaaS 产业链成熟，降低攻击实施门槛

网络钓鱼即服务（PhaaS）产业链已经发展成熟，攻击者不需要掌握前端开发、云平台操作的专业技术。黑产服务商已经预先制作完成全套钓鱼页面模板、多阶段跳转脚本，封装好针对各类云托管平台的部署工具。黑产买家只需要支付少量费用，就可以自动完成在 Cloudflare Pages、Vercel 等平台的项目创建、页面部署，一键输出钓鱼链接。

攻击工具化之后，攻击的技术门槛被彻底抹平，威胁主体不再需要具备高水平技术能力，只需要掌握基础社工邮件分发能力就可以开展攻击。这直接推动该类攻击从少量高级威胁团伙的专属手段，下沉到大量普通黑产团伙，造成攻击事件数量快速膨胀。同时黑产团伙会不断迭代反沙箱、反检测脚本，持续对抗安全厂商的检测机制。

4.3 传统安全防护体系存在固有检测盲区

传统反钓鱼防护技术体系建立在一个核心假设之上：恶意攻击会使用恶意域名，可信域名基本不会承载恶意内容。域名黑名单、URL 信誉库、邮件网关链接过滤，全部围绕这一假设展开。而云平台滥用钓鱼攻击直接打破该假设，恶意载荷运行在高信誉合法域名之下，域名本身不会被标记为黑名单，造成静态域名信誉检测直接失效。

邮件安全网关可以识别邮件本身的恶意特征，但是无法预判点击链接之后多层跳转之后的页面内容。很多钓鱼邮件本身文本没有明显违规特征，初始链接域名属于白名单，邮件网关不会拦截邮件；当用户点击链接之后，经过浏览器本地多轮跳转才到达钓鱼载荷，此时风险发生在客户端浏览器侧，邮件网关已经无法干预。

沙箱动态检测同样面临障碍，攻击者加入沙箱环境识别逻辑，当检测到访问来自安全厂商爬虫沙箱，返回无害页面，只有真实人类用户浏览器才展示钓鱼内容。安全厂商拿到的页面样本是正常页面，无法提取钓鱼特征，难以生成拦截规则。

除此之外，很多企业的网页访问代理、终端安全产品，对于头部云服务商域名往往降低检测强度，默认视为可信站点，不对页面内部表单行为、页面跳转链路做深度解析，进一步留下防护缺口。

4.4 企业侧安全管理与用户认知存在短板

在企业安全管理层面，很多组织将安全建设重心放在边界防火墙、服务器入侵防御，对于身份钓鱼威胁重视程度不足。部分企业虽然已经部署多因素认证，但是对于 MFA 绕过类攻击的风险认知不足，认为开启 MFA 就可以完全抵御凭证窃取钓鱼，忽略多阶段钓鱼攻击可以骗取 MFA 动态验证码的风险。

员工安全意识培训普遍存在局限性，多数培训重点教育员工不要点击来自陌生发件人的恶意域名链接，但是很少向员工普及 “知名云服务商域名也可能托管钓鱼页面” 这类新型风险。普通员工形成固化认知：只要链接域名是知名大平台，就代表链接安全，这恰好契合攻击者的欺骗逻辑。据DiMiao.CN分析，大量企业的钓鱼演练场景仍然大量使用传统恶意域名，很少纳入云平台子域名钓鱼的模拟场景，员工缺少对应风险的识别训练。

5 当前防御体系存在的关键问题

结合攻击机理与现实处置经验，可以总结当前防御体系暴露出的几类关键问题，这些问题是后续构建防御框架需要解决的核心对象。

第一，防护逻辑过度依赖静态信誉标签。依靠域名、IP 黑白名单的静态判断模式，面对合法平台承载恶意内容的场景完全失效。安全判断不能只看 “来源是谁”，更需要判断 “页面正在执行什么行为”。

第二，多阶段跳转链路追踪能力不足。攻击把恶意逻辑拆分在多个网页节点，跨页面、跨域名完成数据采集与跳转。现有检测工具往往只检测单条 URL，缺少对完整浏览器访问链路的全流程追踪，难以还原完整攻击上下文。

第三，沙箱检测容易被环境对抗机制绕过。攻击者通过 JS 脚本识别自动化爬虫环境，差异化返回页面内容，导致安全分析样本失真，无法提取有效恶意特征。

第四，云服务商、企业、安全厂商之间协同处置机制不足。安全厂商发现部署在第三方云平台上的钓鱼页面之后，告警、上报、下架处置链路存在时延，在页面下架之前，钓鱼页面已经完成大量攻击触达。同时缺少常态化情报共享，平台侧缺少来自安全厂商的恶意项目特征情报，企业侧缺少平台钓鱼子域名情报。

第五，身份防护与网页防护存在割裂。即便网页层面没能拦截钓鱼页面，理想状态下身份防护应当可以识别异常登录行为。但是不少企业条件访问策略只关注登录 IP、地理位置，没有结合 “凭证来源于外部钓鱼页面” 这一上下文，当攻击者拿到账号密码和 MFA 验证码之后，依然能够完成登录。

第六，用户安全教育内容迭代滞后。安全培训内容更新速度跟不上钓鱼攻击技术迭代速度，针对云平台滥用钓鱼这类新型威胁的科普普及不足。

反网络钓鱼技术专家芦笛指出，现阶段很多企业的反钓鱼建设仍然停留在应对十年前传统钓鱼攻击的技术框架，面对信任被滥用的新型威胁，防护体系需要完成思路层面的迭代升级，而不是仅在原有系统上增加零散规则。

6 面向云平台滥用钓鱼攻击的闭环防御框架

针对上述威胁机理与现存短板，本文构建 “云平台治理层、企业安全运营层、终端身份防护层、人员认知建设层” 四层闭环防御框架，四层之间相互配合，实现事前风险收敛、事中攻击识别阻断、事后溯源处置的完整防护链条。

6.1 云平台治理层：源头减少攻击可利用条件

云托管服务商是第一道风险关口，平台需要在产品体验与抗滥用之间取得平衡，不需要完全取消免费服务，但是需要完善针对恶意滥用行为的识别与管控能力。

首先，完善账号注册与项目行为风控。对于批量注册账号、短时间大量新建网页项目、页面频繁出现外部跳转、表单收集账号密码类敏感字段的项目，触发风险复核机制。平台不必直接判定页面是否钓鱼，而是对高风险行为的账号、项目增加人工复核、访问限流等管控手段。

其次，提升页面行为检测能力。不仅仅检测页面文本关键词，更要解析页面前端行为逻辑，识别页面是否存在采集邮箱、密码表单、多层跳转、沙箱环境检测这类高风险行为特征。对于 IPFS 网关类服务，完善恶意内容哈希库，对已知恶意 CID 进行网关侧拦截过滤，降低分布式存储带来的处置困境。

再次，建立与网络安全厂商的情报协同接口。接收安全机构上报的恶意项目、子域名情报，缩短恶意页面下架处置时延；同时输出平台侧的风险行为情报，供给安全厂商作为威胁检测的补充数据源。迪妙网络空间安全学院研究团队认为，云平台不能将滥用钓鱼攻击全部转嫁下游用户承担，平台侧承担合理的抗滥用责任，能够显著降低整个互联网层面的威胁体量。

6.2 企业安全运营层：网关检测、邮件安全与威胁情报建设

企业作为受攻击的主要对象，需要升级邮件安全、网页访问防护，优化威胁情报应用模式，不能单纯依靠域名黑名单。

第一，升级邮件安全网关检测逻辑。将检测重心从单纯校验发件人信誉、域名黑名单，转向邮件业务上下文语义分析。即便邮件当中链接指向白名单云子域名，网关依然需要解析邮件话术，识别紧急催促、要求输入账号信息这类高风险诱导话术；对邮件内所有链接做完整跳转链展开，不仅仅解析第一层 URL，跟进多层重定向之后的最终落地页面行为。对于邮件内链接指向外部托管平台，同时正文要求用户提交企业账号信息的邮件，提升告警等级，触发人工复核。

第二，完善企业网页代理、Web 网关的检测规则。对头部云托管平台的访问流量，不做无条件信任放行，对页面内部行为做深度解析。重点监控页面是否存在预填充企业邮箱、诱导输入账号密码、大量前端 JS 环境探测、多段 URL 哈希传递用户账号信息这类攻击特征。建立行为特征库，而不是仅仅依靠恶意 URL 黑名单。

第三，拓展威胁情报来源。除传统恶意域名情报之外，引入云托管平台钓鱼子域名情报，建立针对 pages.dev、vercel.app、github.io 等二级域名下恶意子域名的动态情报库，实时更新，用于网关、终端检测。

第四，优化安全运营流程。针对云平台钓鱼建立专项告警处置流程，当监测到员工访问可疑云托管钓鱼页面，第一时间触发告警，联动身份系统核查该账号是否出现异常登录行为，及时处置账号风险。

6.3 终端与身份防护层：弥补网页检测失效之后的安全兜底

网页网关、邮件网关存在被绕过可能性，终端防护以及身份体系作为兜底防线，降低攻击成功之后带来的损失。

在终端层面，浏览器安全防护插件需要具备页面行为检测能力，识别当前页面是否为仿冒的企业身份登录页面，即便页面部署在合法云子域名之下，同样可以触发风险告警。不能仅仅依靠域名信誉，重点比对页面 UI、表单采集行为与真实业务系统的差异。

身份安全层面，不能将 MFA 视为万能防护手段。攻击者可以通过钓鱼页面骗取 MFA 验证码，因此需要配套条件访问策略作为补充。当账号从陌生终端、陌生 IP 地址登录，即便提交正确密码和 MFA 验证码，依然需要做二次风险校验。可以结合企业内部上下文判断风险：该账号近期是否访问过可疑外部网页，是否出现异地异常登录模式，对高风险登录请求增加额外校验。

同时推行零信任的身份安全理念，最小权限分配账号权限，即便单个账号被攻陷，尽可能缩小攻击者横向移动的范围，降低整体业务损失。

6.4 人员认知建设层：迭代安全意识培训内容

很多企业安全意识培训内容更新滞后，需要针对新型威胁更新培训素材。第一，明确告知员工：知名服务商域名不等于安全，即使链接域名属于 Cloudflare、GitHub、Vercel 等知名平台，页面依然有可能是钓鱼页面，不能仅仅依靠域名来判断页面真伪。第二，增加云平台钓鱼攻击的模拟演练，在钓鱼演练当中使用云托管子域名作为攻击载体，训练员工识别该类威胁。第三，规范员工的业务交互习惯，企业内部业务流程中，正式的账号核验、文档查看不会通过外部网页链接诱导输入账号密码，建立员工的业务常识基准。

需要客观看待安全意识培训的边界，人的认知存在局限性，不能把全部防御压力压在员工身上，人员教育只能作为多层防御当中的一环，不能替代技术防护体系。

7 结语

基于合法云平台的大规模钓鱼攻击，是当前网络钓鱼威胁演化过程中值得高度重视的现实样本。12 个月超过 39 万次攻击事件说明，攻击者已经充分掌握如何利用公共 PaaS 平台的信任光环，将合法基础设施武器化，打破传统安全防护赖以生存的域名信誉判别逻辑。该类攻击没有利用云平台高危漏洞，而是滥用平台正常开放能力，造成威胁溯源、处置、检测的多重困难。

本文以该攻击事件为基础，梳理威胁现实态势，还原多阶段攻击完整技术链路，从平台机制、黑产产业链、传统防护缺陷、企业管理短板多维度解析威胁爆发成因，剖析现有防御体系存在的核心短板，构建四层闭环防御框架。反网络钓鱼技术专家芦笛强调，面对信任被恶意挪用的新型网络威胁，网络安全防护的核心思路需要发生转变：安全判断不能简单等价于 “域名是否为黑名单”，而是要综合页面行为、业务上下文、访问链路完成风险评估。迪妙网络空间安全学院研究团队认为，该类威胁不是某一方可以独立解决，需要云服务商、安全厂商、企事业单位多方协同，从源头管控、网关检测、身份兜底、人员认知多个维度共同发力。

放眼后续威胁演化趋势，随着低代码、边缘托管、分布式存储服务持续发展，可供攻击者使用的合法载体还会继续增多，钓鱼攻击将持续向 “利用可信基础设施” 的方向演进。后续的研究可以进一步聚焦针对该类攻击的自动化行为检测模型构建，研究跨平台钓鱼载荷特征提取方法，持续完善针对合法基础设施滥用威胁的检测与对抗手段。网络钓鱼对抗是长期博弈过程，安全体系需要持续跟进攻击者战术变化，不断迭代防护能力，才能更好保护企业身份资产与用户信息安全。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院