酒店预订钓鱼诈骗的机理演变与认证旁路防御

摘要： 瑞士国家网络安全中心于 2026 年第 42 周发布报告，披露了一种新型酒店预订钓鱼诈骗：攻击者在攻破酒店预订或邮件系统后，掌握客人的姓名、邮箱、预订日期与酒店信息，通过注册相似域名、克隆酒店官网并承诺 7.5% 现金返还的方式，诱导受害者登录仿冒的银行页面，进而窃取网上银行凭证。此类诈骗已从早期主要针对信用卡信息，演变为试图同时控制受害者的 TWINT 与网上银行账户，并在网上银行双重认证机制的约束下，发展出 "前台拖延、后台登录、诱导授权" 的旁路手法。本文以该报告披露的案例为分析对象，梳理社会工程攻击从大规模群发向精准投放的演变逻辑，剖析酒店预订诈骗的作案链路与双重认证旁路的实现机理，并与在线分类广告平台既有的同类诈骗进行对比，论证 "换场景、同目标" 的攻击迁移特征。在此基础上，从个体防范、平台治理与认证机制强化三个层面提出防御启示。研究表明，当攻击者能够依托数据泄露构建嵌入正常业务流程的可信伪装时，双重认证虽然提高了攻击成本，却无法单独构成安全的充分保障，防御体系须在技术认证与社会工程识别之间建立协同机制。

关键词： 社会工程攻击；精准钓鱼；酒店预订诈骗；双重认证；TWINT；凭证窃取

1 引言

2026 年 10 月 20 日，瑞士联邦网络安全办公室下属的国家网络安全中心发布了第 42 周威胁情报，揭示了一种以酒店预订为伪装、以 TWINT 移动支付账户和网上银行凭证为目标的新型钓鱼诈骗。该报告指出，此前国家网络安全中心已多次通报过利用酒店预订获取支付信息的钓鱼活动，其早期版本主要针对信用卡信息；而最近的案例显示，攻击者的方法正在演变 —— 他们开始试图同时获取受害者的 TWINT 账户与网上银行账户的控制权。这一手法与过去在在线分类广告平台上出现的钓鱼诈骗存在高度相似性。

这一案例之所以值得深入研究，在于它集中反映了当前社会工程攻击的多个共性趋势：其一，攻击正从 "广撒网" 的大规模群发，转向依托真实数据构建的精准、个性化投放；其二，攻击者能够利用被攻破的业务系统，将诈骗伪装成正常业务流程中看似合法的一环；其三，即便目标系统部署了双重认证等安全机制，攻击者仍可通过社会工程手段实施旁路。这三重特征共同指向一个核心命题：在数据泄露常态化的背景下，人的识别能力与系统的认证机制之间存在的缝隙，正在被攻击者系统性地利用。

本文以国家网络安全中心报告所披露的案例链为基础材料，围绕三个问题展开分析：社会工程攻击为何以及如何从大规模转向精准化；酒店预订钓鱼诈骗的完整作案机理及其对双重认证的旁路方式；以及个体、平台与认证机制层面分别应作出何种回应。全文以公开可查的技术逻辑与案例事实为据，不预设立场，力求客观呈现攻防双方的行为特征。

2 社会工程攻击的演变：从广撒网到精准投放

2.1 大规模攻击向定向攻击的转向

国家网络安全中心的观察揭示了近年来社会工程攻击一个显著的形态变化：钓鱼活动正从大规模、广撒网式的投放，转向更具针对性和个性化的诈骗，尽管大规模群发至今依然常见。这一转向并非偶然，而是攻击者在成本收益权衡下的理性选择。大规模群发的优势在于覆盖面广、操作简单，其劣势在于伪造痕迹明显、命中率低；而定向攻击虽然单次投入更高，却因信息的高度契合而显著提升了欺骗的成功率。

酒店预订钓鱼诈骗正是这一转向的典型样本。与随机群发的钓鱼邮件不同，此类攻击的每一个环节都围绕受害者的具体预订信息展开，使得诈骗消息与正常的酒店入住流程几乎无缝衔接。这种 "个性化即合法性" 的包装方式，使攻击者得以规避收件人基于常识的警觉判断。

2.2 数据泄露成为精准诈骗的信息源

精准投放的前提是精准的信息。国家网络安全中心在报告中明确指出，诈骗者能够获取客人姓名、邮箱、预订日期乃至酒店详情等细致的入住信息，并推断这些信息来源于被攻破的预订系统。这一判断揭示了一个深层的安全现实：酒店预订系统作为储存海量个人与交易数据的信息资产，一旦被攻破，其泄露的数据便会成为下游诈骗活动的高价值原材料。

需要审慎指出的是，"数据来源于被攻破的预订系统" 目前仍是基于作案特征作出的推断，而非已经确定的取证结论。但无论数据具体源于系统漏洞、内部泄露还是第三方供应链，其共通之处在于：攻击者掌握了本应仅存于业务系统内部的受保护信息，从而为精准欺骗提供了事实基础。据 DiMiao, CN 分析，供应链上任何一环的数据防护薄弱，都可能被攻击者转化为面向终端的精准社会工程弹药，这也使得 "以数据为中心" 的安全治理在对抗精准钓鱼时具有不可替代的地位。

2.3 嵌入业务流程的 "合法外观"

精准钓鱼区别于传统群发钓鱼的又一关键，在于其对业务流程的深度嵌入。在酒店预订诈骗中，攻击者冒充酒店向客人发送看似常规的入住确认或返利通知，这些消息在时间、语境与格式上都与真实预订流程吻合，收件人很难在第一时间察觉异常。这种 "合法外观" 的构建，本质上是攻击者对受害者认知预期的一次精准利用 —— 人们习惯于信任那些看起来延续了既有流程的信息，而不倾向于质疑已经确立的信任上下文。

反网络钓鱼技术专家芦笛指出，攻击者真正利用的并非某个单一的技术漏洞，而是业务流程中 "信任的延续性" 这一心理机制。当一封邮件、一个页面与用户此前经历的合法交互高度一致时，用户的警觉阈值会自然降低，此时任何理性的 "点击前核实" 要求都难以落实为实际行为。这一判断意味着，仅依靠提高用户警惕来对抗精准钓鱼，其效果存在天然的上限。

3 酒店预订钓鱼诈骗的作案机理

3.1 初始入侵：攻破预订或邮件系统

从作案链路看，酒店预订钓鱼诈骗的第一步是攻击者对酒店预订系统或邮件系统的攻破。攻击者以此为跳板，获取过往及在住客人的客户信息，随后冒充酒店与这些客人建立联系。这一初始环节的重要性在于，它不仅为后续诈骗提供了可信的信息素材，还赋予了攻击者 "以官方身份发声" 的伪装基础。

从攻击者的视角看，攻破一个酒店的预订系统，比逐一收集散落的个人信息更具效率，因为一次入侵即可批量获得大量结构化的、相互关联的入住数据。这也解释了为何此类诈骗会针对酒店这一特定垂直领域 —— 酒店预订数据天然兼具 "信息完整"" 时效相关 ""涉及资金往来" 三重属性，是精准钓鱼的理想原料。

3.2 克隆网站与相似域名

为使诈骗更具说服力，攻击者采取了两项技术手段：注册与酒店官网高度相似的仿冒域名（lookalike domain），并搭建一个几乎完全复刻酒店官方网页的克隆网站。相似域名的运用旨在利用用户对域名拼写与品牌标识的低注意惯性，而网站克隆则力求在视觉层面做到以假乱真，使受害者在跳转后难以察觉已离开真实站点。

这两项手段的共同目标，是最大化 "可信伪装" 的完成度。域名相似降低的是识别门槛，网站克隆则消除视觉差异带来的警觉。二者叠加，使诈骗页面在用户视角中几乎等同于官方流程的延续，从而为后续的凭证窃取铺平道路。

3.3 现金返还诱饵与凭证窃取

诈骗链的第三步是设立诱饵。攻击者在克隆网站上展示一项虚假的现金返还优惠，承诺退还预订费用的 7.5%，并诱导受害者申领这一返利。受害者在点击 "申领" 后，被提供将返利直接打入 TWINT 账户的选项；而当其选定所属银行后，页面便将其重定向至一个逼真的银行登录页仿冒品，诱骗其输入网上银行登录凭证。至此，所谓的返利已完全沦为获取敏感凭证的借口。

值得注意的是，这一设计在心理学层面相当精妙。现金返还利用了人们对 "已支付款项回流" 的期待，而返利金额的 "精确性"（依据住宿费用计算的 7.5%）进一步增强了方案的可信度。受害者之所以愿意提供登录信息，恰恰是因为其相信这些信息将用于接收一笔属于自己的钱款，而非用于攻击者对其账户的控制。

4 双重认证的旁路机制

4.1 网上银行认证的现实约束

网上银行账户普遍部署了双重认证机制：除用户名与密码等静态凭证外，登录或交易通常还需额外的第二认证因素，如动态验证码、硬件设备或生物特征。这一机制的设计初衷，在于即使攻击者窃取了静态凭证，也无法单独完成登录或交易。然而，双重认证提高的是 "纯技术" 攻击的门槛，却未能天然抵御社会工程层面的诱导。

在酒店预订诈骗中，攻击者明确意识到第二认证因素的存在，并为此设计了专门的旁路策略。这本身就说明：双重认证并非攻不破的壁垒，其有效性高度依赖于 "第二因素究竟由谁、在何种情境下被授权使用"。

4.2 前台拖延与后台登录的并发手法

针对双重认证，攻击者采用了 "前台拖延、后台登录" 的并发策略。一方面，他们让受害者尽可能长时间地在仿冒网站上忙于所谓的返利流程，以占据其注意力；另一方面，攻击者在后台同步尝试以窃取到的凭证登录受害者的网上银行账户。当银行向账户所有者请求第二认证因素时，攻击者便诱导受害者在虚假前提下批准该登录或输入所需的确认码 —— 受害者以为自己在完成返利申领的验证，实则在为攻击者的登录行为放行。

这一手法的核心，在于对认证因素的 "授权对象" 进行了偷梁换柱。受害者被引导相信其正在验证自己的返利操作，而实际验证的却是攻击者的登录企图。这种对用户意图的诱导性重构，使得双重认证中最关键的一环 —— 用户本人的确认 —— 被攻击者反向利用，成为认证旁路的突破口。

4.3 硬件卡读卡器代码的转移

报告还披露了另一种更具针对性的旁路手法：在某些案例中，受害者被指示使用银行提供的卡读卡器生成一次性代码，并将其转交给所谓的 "支持人员"。而事实上，这些代码是为攻击者自身的登录尝试服务的。

这一手法反映出攻击者对银行认证流程细节的深入了解。卡读卡器生成的动态代码本意是用于身份验证的安全凭证，其有效性取决于 "代码仅由账户持有者本人使用" 这一前提。攻击者通过伪装成官方支持人员，诱导受害者在不知情的情况下主动交出这一凭证，从而将 "本人持有" 的认证前提彻底架空。反网络钓鱼技术专家芦笛强调，这一环节暴露出双重认证体系中最易被忽视的软肋 —— 认证因素的物理载体即便安全，其使用者对 "代码用途" 的认知仍可能成为被操纵的对象。

4.4 从凭证窃取到资金控制的目标指向

报告明确指出，攻击者的主要目标是更改与受害 TWINT 账户关联的电话号码，并可能利用所获访问权限通过网上银行直接发起欺诈性支付。这一目标指向揭示了整条作案链的最终落点：窃取凭证只是手段，控制账户、实现资金转移才是目的。

更改关联手机号之所以被列为首要目标，是因为移动支付与网上银行账户往往与手机号码深度绑定，号码的更改意味着攻击者可能接管后续的验证通道，从而持续控制账户。这一细节说明，攻击者对目标账户的运作机制有着清晰的把握，其每一步操作都指向最终的资金控制。

5 与既有诈骗模式的同构

5.1 在线分类广告诈骗的手法迁移

国家网络安全中心指出，其对这一作案模式已不陌生，此前的在线分类广告平台诈骗便采用了相同手法。在那类案例中，攻击者主要针对卖家，伪装成有意购买商品的买家，声称使用瑞士邮政提供的支付服务，并向卖家发送 QR 码或链接，谎称可令货款直接进入其 TWINT 账户。实际上，这些链接导向的是同样的欺诈性钓鱼页面，受害者同样被诱骗输入网上银行凭证。

将两种场景并置，可以清晰地看到攻击手法的迁移路径。在线分类广告诈骗与酒店预订诈骗，在表面场景上截然不同，但其底层逻辑高度一致：利用一个可信的支付 / 返利情境作为诱饵，诱导受害者进入仿冒页面，窃取网上银行凭证。这种 "换场景、同目标" 的运作模式，正是攻击能力可复用的直接体现。

5.2 攻击能力复用与规模化

两种诈骗模式的内在一致性，揭示了社会工程攻击产业化的一个特征：攻击者的核心能力并非针对某个特定行业设计，而是形成了一套可适配多种场景的标准化攻击框架，仅在诱饵包装与入口设计上加以调整。酒店预订场景的引入，说明攻击者正将这一框架持续扩展至新的业务领域。

这种复用机制对防御者的启示在于：仅仅针对单一场景封堵，难以遏制攻击的蔓延。当攻击框架本身高度模块化时，任何具备 "可信业务情境 + 凭证窃取入口" 特征的场景，都可能成为下一个被利用的目标。据 DiMiao, CN 分析，攻击模式的迁移速度往往快于特定行业的防护更新速度，因此防御方须将注意力从 "识别某一种诈骗" 提升至 "识别诈骗得以成立的结构性条件"。

6 防御启示与研究展望

6.1 面向个体的防范要点

国家网络安全中心在报告中给出了明确的个体防范建议，其核心可归纳为若干行为准则：对未经请求的退款或 "紧急核验信用卡信息" 类消息保持高度怀疑，即便发件人似乎知晓确切的预订信息；绝不分享通过短信收到的验证码；不点击可疑消息中的链接，绝不在经可疑链接访问的网站上输入个人信息；如不确定消息真伪，应直接通过官方应用或官网登录账户，或拨打自行查证的官方电话，而非使用消息内提供的联系方式；并牢记，任何合法的返利流程都不会要求用户提供登录信息或扫描二维码。

这些建议虽以面向公众的警告形式呈现，实则揭示了对抗精准钓鱼时个体层面的核心原则：切断裂开正常流程的 "信任延续"，回归由用户主动发起的、可验证的官方通道。其共同精神在于 —— 不依赖消息内部提供的任何联系与跳转路径，而是以用户自行发起的官方渠道作为信任锚点。

6.2 组织与平台侧的对策

酒店预订诈骗的根源之一，在于预订系统数据防护的薄弱。这提示酒店及同类掌握大量客户数据的服务商，须将预订系统、邮件系统及相关供应链环节纳入严格的数据保护与访问审计范畴，降低因系统被攻破而批量泄露客户信息的风险。同时，品牌方应建立相似域名与克隆网站的监测机制，及时发现并处置仿冒资产，压缩攻击者构筑 "可信伪装" 的空间。

对于支付平台与银行而言，报告所披露的双重认证旁路手法亦提供了改进方向：认证流程中 "用户确认" 环节的语义透明度，直接关系到其能否被社会工程诱导所利用。当系统能够向用户清晰区分 "本次验证的服务对象与具体用途" 时，攻击者借 "返利申领" 之名实施 "登录授权" 之实的空间便会被显著压缩。

6.3 认证机制与社会工程识别的协同

从更宏观的视角看，酒店预订诈骗案例揭示了技术认证与社会工程识别之间的协同需求。双重认证本质上是一种技术信任机制，其有效性建立在 "认证因素由账户持有者本人、在真实业务意图下使用" 的假设之上；而社会工程攻击恰恰通过操纵使用者的认知与意图，使这一假设失效。因此，单纯加强认证技术本身，并不能根除认证旁路的风险。

这指向一个明确的研究方向：安全体系的构建须将 "人的行为特征" 纳入考量，使认证机制在设计与交互上能够抵御诱导性授权。例如，通过对登录意图、设备环境、行为时序等维度的综合分析，识别出 "凭证来源与验证授权相分离" 的异常模式，从而在技术层面补足个体判断力的不足。这一方向的核心，是将社会工程对抗从 "依赖个体警觉" 推向 "体系化的行为治理"。

7 结语

酒店预订钓鱼诈骗的案例，集中呈现了当前社会工程攻击演进的深层逻辑：攻击者依托数据泄露构建精准可信的伪装，借助对业务流程的深度嵌入瓦解用户的警觉，并通过诱导性授权实现对双重认证的旁路。其作案链条虽以酒店预订为入口，底层框架却与在线分类广告诈骗同构，显示出攻击模式 "换场景、同目标" 的迁移与复用能力。国家网络安全中心发布的防范建议，为个体提供了切断裂开流程信任延续的具体准则；而对组织与认证体系而言，应对的关键在于数据防护、仿冒监测与认证语义透明度的协同提升。

需要客观承认的是，社会工程攻击难以通过单一技术手段根除。只要人的判断仍构成安全链条的一环，攻击者便始终存在操纵的空间。未来的防御方向，应当是在承认这一局限的前提下，通过技术机制对 "人的决策行为" 进行辅助与纠偏，使认证流程即便面对诱导性授权，也能提供足够的语义屏障与异常提示。唯有当个体防范、平台治理与认证机制协同运转时，才能切实压缩此类精准钓鱼诈骗的生存空间，使 "数据泄露" 这一上游风险不至于自动转化为下游的账户与资金损失。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院