基于社会工程与流程仿冒的新型钓鱼攻击研究——以2025年PayPal“账户资料完善”邮件诈骗为例

摘要

近年来，随着多因素认证（MFA）技术的普及，传统凭证窃取类网络钓鱼攻击的有效性显著下降。然而，攻击者正转向利用用户对品牌流程的信任，通过高度仿真的社会工程手段实施新型钓鱼攻击。本文以2025年PayPal“账户资料设置”主题的钓鱼事件为研究对象，系统分析其攻击链路、技术特征与社会工程机制。研究表明，该类攻击通过伪造合规性催促语境、滥用品牌信任惯性、结合URL伪装与中间人代理技术，成功绕过传统安全防护。攻击者不仅窃取凭证与双因素验证码，更通过实时会话劫持实现即时账户控制。本文进一步提出包括FIDO2硬件密钥部署、用户行为延迟验证、企业级邮件安全策略优化等综合防御框架。研究强调，在金融类服务场景中，安全防护需从“防御边界”向“人机交互过程”延伸，构建涵盖技术、流程与用户认知的多维防御体系。

关键词：网络钓鱼；社会工程；PayPal；会话劫持；多因素认证绕过；电子邮件安全；FIDO2

一、引言

在数字金融服务日益普及的背景下，支付平台账户已成为个人与企业数字资产的核心载体。PayPal作为全球领先的在线支付服务提供商，拥有超过4亿活跃用户，其账户安全性直接关系到用户的资金安全与平台信誉。随着网络安全防护技术的演进，诸如静态密码暴力破解、SQL注入等传统攻击手段已受到有效遏制。然而，攻击者正逐步将重心转向利用人类认知偏差与流程信任机制的社会工程学攻击。

2025年初，全球范围内爆发新一轮针对PayPal用户的钓鱼攻击。该攻击以“完善账户资料”或“验证商业档案”为主题，通过精心构造的电子邮件诱导用户访问仿冒页面，进而窃取登录凭证、双因素验证码（2FA）乃至身份证明文件。与以往钓鱼攻击不同，此次事件呈现出高度的流程仿真性、技术协同性与攻击即时性，标志着网络钓鱼已从“粗放式凭证收集”进入“精准式流程劫持”阶段。

本文基于公开安全报告与技术分析，对该事件进行系统性还原与机理剖析，旨在揭示此类新型钓鱼攻击的技术内核与社会工程逻辑，并提出具有可操作性的防御对策，为金融类服务提供商与企业安全管理者提供理论参考与实践指导。

二、攻击事件还原与技术分析

（一）攻击载体：高度仿真的钓鱼邮件

本次钓鱼攻击的初始载体为电子邮件，其主题行通常包含“Action Required: Complete Your PayPal Account Setup”“Verify Your Business Profile to Avoid Limitations”等表述。此类措辞精准利用了用户对账户合规性的关注，特别是商户用户对收款功能受限的担忧，形成心理压迫。

邮件内容设计模仿PayPal官方通知风格，包含品牌标识、标准排版与“安全提醒”类脚注，增强可信度。关键攻击向量为嵌入的链接，其呈现方式具有以下特征：

域名伪装：使用与paypal.com高度相似的域名，如paypa1.com（字母l替换为数字1）、paypal-secure.com等；

URL跳转链：采用短链接服务（如bit.ly）或合法平台的重定向接口（如paypal.com.tracking.example.com），在邮件安全网关检测时呈现为“可信域”，点击后跳转至恶意站点；

参数混淆：在真实PayPal链接后附加大量追踪参数（如?utm_source=phish&utm_medium=redirect），掩盖实际跳转目标。

（二）攻击流程：从诱导到账户控制

攻击者构建的仿冒页面与PayPal官方登录及KYC（了解你的客户）页面高度一致，包括：

登录表单（捕获用户名与密码）；

双因素认证输入界面（捕获一次性验证码）；

身份文件上传区域（诱导用户提供身份证、营业执照等）。

与传统钓鱼不同，攻击者并非简单收集凭证后离线破解，而是采用实时中间人代理（Man-in-the-Middle Proxy） 技术：

用户在仿冒页面输入凭证后，数据被即时转发至真实PayPal服务器；

PayPal返回的会话令牌（Session Token）被中间人截获；

攻击者立即利用该令牌登录用户账户，实现“会话劫持”（Session Hijacking）。

此技术可有效绕过基于时间的一次性密码（TOTP）与短信验证码（SMS 2FA），因为验证过程已在用户无感知的情况下完成。

（三）攻击后果：即时资金转移与账户滥用

一旦获得账户控制权，攻击者通常执行以下操作：

发起小额测试交易（如向预控钱包转账1-5美元），验证账户活性；

添加受控的银行账户或电子钱包作为收款方式；

发起虚假买家纠纷（Chargeback）或利用“亲友转账”功能套现；

将账户作为洗钱中转站，提升其在其他平台的欺诈成功率。

由于操作行为模拟真实用户模式，且初始交易金额较小，往往难以被风控系统即时识别。

三、攻击机理与成功因素分析

（一）社会工程机制：信任惯性与合规压迫

攻击成功的核心在于对用户心理的精准操控：

品牌信任惯性：用户长期接收PayPal官方通知，形成“此类邮件可信”的认知定势。邮件安全网关出于业务连续性考虑，通常对知名品牌的邮件设置较低拦截阈值，进一步强化了用户的信任感知。

合规性压迫：邮件中“账户将被限制”“无法收款”等表述，触发用户对业务中断的焦虑，促使其在未充分验证的情况下采取行动，符合行为心理学中的“紧迫性偏差”（Urgency Bias）。

（二）技术协同：多因素认证绕过与流程仿真

该攻击实现了技术手段与社会工程的深度协同：

MFA绕过：通过实时代理转发，将用户的双因素验证“合法化”，规避了MFA的安全价值；

流程仿真：完全复刻PayPal的账户设置流程，使用户在心理上认为其正在进行“合规操作”，而非“风险行为”。

（三）基础设施利用：合法服务的滥用

攻击者广泛利用合法互联网基础设施提升隐蔽性：

使用Cloudflare等CDN服务托管钓鱼页面，获得HTTPS加密与高可用性；

利用GitHub Pages、Firebase Hosting等平台部署前端，规避传统恶意IP检测；

采用动态域名生成（DGA）与快速域名切换（Fast-Flux）技术延长攻击生命周期。

四、防御对策与安全建议

（一）用户层面：提升安全认知与操作规范

独立访问原则：对于涉及账户安全的操作，应手动在浏览器地址栏输入paypal.com，而非点击邮件链接；

域名核验：确认网站顶级域（TLD）为paypal.com，警惕子域名或相似拼写；

延迟验证策略：对“需立即处理”的邮件，可延迟10-15分钟，通过官方App或独立访问网站核实状态；

启用FIDO2硬件密钥：使用YubiKey等安全密钥作为主要认证方式，其基于公钥加密的认证机制可有效防止会话中继攻击。

（二）企业与组织层面：强化邮件安全与身份管理

部署DMARC、DKIM与SPF：通过配置邮件身份验证协议，防止攻击者伪造企业域名发送钓鱼邮件；

启用MTA-STS（Mail Transfer Agent Strict Transport Security）：强制邮件服务器间通信使用TLS加密，防止邮件在传输过程中被篡改；

实施BIMI（Brand Indicators for Message Identification）：在支持的邮件客户端显示品牌标识，帮助用户识别真实邮件；

财务邮箱独立管理：为财务、高管等高风险岗位设置专用邮箱，限制外部邮件接收，并启用高级威胁防护。

（三）平台责任：优化安全交互设计

减少高权限操作的邮件引导：避免通过邮件引导用户进行账户设置、资金转移等敏感操作；

增加操作确认层级：对关键变更（如添加收款方式、大额转账）引入延迟执行与多级审批；

提供授权监控接口：允许用户实时查看活跃会话、设备登录记录，并支持一键登出。

五、结论

2025年PayPal“账户资料完善”钓鱼事件，标志着网络钓鱼攻击已进入一个以流程仿冒和社会工程深度协同为特征的新阶段。攻击者不再依赖技术漏洞，而是精准利用用户对品牌流程的信任、合规性焦虑以及安全防护中的“信任惯性”盲区，实现高效收割。

本研究揭示，此类攻击的成功并非源于单一技术突破，而是多重因素协同作用的结果：包括品牌信任的滥用、多因素认证机制的绕过、以及用户认知偏差的利用。其防御不能仅依赖传统边界防护，而需构建涵盖技术防护、流程设计与用户教育的多维体系。

未来，随着AI生成内容（AIGC）与深度伪造技术的发展，此类攻击的仿真度将进一步提升。金融类服务提供商应主动优化安全交互设计，减少对高风险邮件引导的依赖；企业组织需强化邮件安全策略与员工培训；用户则应建立“独立验证”与“最小权限”意识。唯有如此，方能在日益复杂的网络威胁环境中，有效守护数字资产安全。

编辑：芦笛（公共互联网反网络钓鱼工作组）