摘要
近年来，针对主流金融平台的钓鱼攻击呈现高度情境化与流程仿真的特征。2025年，一种新型PayPal钓鱼骗局在全球范围内扩散，其核心策略是伪装为“完善账户资料”或“验证商业档案”的合规性通知，利用用户对平台官方流程的信任及对账户功能受限的焦虑心理，诱导其点击嵌入邮件中的伪造链接。该链接通过合法跳转服务、子域名混淆或URL参数伪装，最终导向高保真仿冒页面，实时收集用户名、密码、一次性验证码（OTP）乃至身份证明文件。攻击者随即利用中间人代理（Adversary-in-the-Middle, AiTM）技术捕获有效会话令牌，在数分钟内完成小额测试交易、添加受控收款方式或发起恶意买家纠纷以套现。本文基于对2024—2025年数百起真实事件的技术回溯，系统剖析此类攻击的三大技术支柱：品牌信任惯性导致的安全网关放行、多因素认证（MFA）的实时绕过机制、以及社会工程中的紧迫性压迫策略。在此基础上，提出涵盖身份认证强化、用户行为干预、邮件基础设施加固与浏览器端防护的四维防御框架，并给出FIDO2绑定、DMARC策略配置及浏览器地址栏验证等关键技术实现示例。研究强调，衡量防御成效不应仅依赖传统点击率指标，而应聚焦“会话令牌被成功中继率”与“欺诈交易首次发生时间”等更具操作性的安全度量。本工作为金融机构、中小企业及个人用户提供了一套可落地的纵深防御方案。
关键词：PayPal钓鱼；账户资料诱骗；中间人代理；FIDO2；DMARC；MTA-STS；BIMI；多因素绕过
1 引言
网络钓鱼作为最古老的网络攻击形式之一，其有效性并未随安全意识提升而显著下降，反而在攻击策略上不断进化。尤其在金融领域，攻击者不再依赖粗劣的拼写错误或明显伪造的发件人地址，而是深度嵌入用户熟悉的业务流程，制造“合规性压力”以促发非理性操作。2025年初，多家网络安全机构（包括Proofpoint、Cofense与eSecurity Planet）报告了一类针对PayPal用户的新型钓鱼活动，其主题高度聚焦于“账户资料不完整将限制收款功能”或“商业档案需重新验证”，精准击中商户用户对资金流动中断的敏感神经。
此类攻击的成功率远超传统通用钓鱼邮件。根据PayPal官方2025年Q2安全报告，涉及“账户设置”类主题的钓鱼邮件平均打开率达38.7%，点击率高达12.3%，远高于一般促销类钓鱼（<3%）。其背后原因在于：一方面，PayPal确实在特定场景下（如新商户注册、大额交易触发风控）会要求用户补充KYC信息；另一方面，企业邮件安全网关长期将PayPal官方域名（如paypal.com、paypal-email.com）列入白名单，形成“信任惯性”，对包含相似域名或经合法跳转链的邮件缺乏深度检测。
更值得警惕的是，攻击者已普遍部署AiTM代理架构，在用户与真实PayPal服务之间建立透明中继，实时捕获完整会话（含MFA响应），使传统短信或TOTP验证码形同虚设。本文旨在系统解构此类攻击的技术链条与心理机制，提出以“消除会话价值”“阻断信任滥用”“强化邮件真实性”“引导用户验证行为”为核心的防御体系，并论证新型安全度量指标的必要性。
2 攻击流程与技术实现
2.1 邮件构造与信任伪装
攻击邮件通常具备以下特征：
主题行：Action Required: Complete Your PayPal Business Profile 或 Your Account Is Limited – Verify Now；
发件人地址：service@paypa1.com（数字1替代字母l）、noreply@paypal-security.net，或通过合法邮件营销平台（如Mailgun）发送，显示为“PayPal Security”；
正文内容：模仿PayPal官方通知模板，包含真实Logo、配色方案，并引用真实政策条款（如“根据欧盟PSD2要求…”）；
链接伪装：使用以下任一手法：
子域名混淆：https://secure.paypal-login[.]com/account/verify；
合法跳转服务：https://click.paypal-track[.]info/r?u=https%3A%2F%2Ffake-verify[.]xyz；
参数伪装：https://www.paypal.com/cgi-bin/webscr?cmd=_account-update&redirect=https://phish-site[.]com（利用PayPal旧式接口漏洞）。
2.2 高保真钓鱼页面
钓鱼页面通过以下手段提升可信度：
动态加载PayPal官方CSS与JS资源（如https://c.paypal.com/da/s/scripts/pa/core.js），使页面渲染与真实站点一致；
集成reCAPTCHA v3或Cloudflare Turnstile，过滤自动化爬虫；
根据用户IP自动切换语言与地区格式（如欧元符号、地址字段顺序）。
页面表单通常分两步：
凭证收集：输入邮箱与密码；
MFA与身份验证：要求输入6位OTP，并上传身份证/营业执照照片。
2.3 中间人代理（AiTM）实现实时会话劫持
攻击者部署反向代理服务器，完整中继用户与PayPal之间的通信：
Victim → [Phishing Proxy] ↔ [https://www.paypal.com]
当用户提交凭证后，代理将其转发至真实PayPal登录页；PayPal返回MFA挑战，代理原样传递给用户；用户输入OTP后，代理再次转发，获取有效会话Cookie（如X-PP-SILOVER、.ASPXAUTH）。整个过程对用户透明。
Python示例（简化版AiTM代理）：
from flask import Flask, request, Response
import requests
app = Flask(__name__)
PAYPAL_REAL = "https://www.paypal.com"
@app.route('/', defaults={'path': ''}, methods=['GET', 'POST'])
@app.route('/<path:path>', methods=['GET', 'POST'])
def proxy(path):
url = f"{PAYPAL_REAL}/{path}"
headers = {k: v for k, v in request.headers if k.lower() not in ['host']}
# 转发请求
resp = requests.request(
method=request.method,
url=url,
headers=headers,
data=request.get_data(),
cookies=request.cookies,
allow_redirects=False
)
# 检查是否为登录成功响应（含会话Cookie）
if "Set-Cookie" in resp.headers and "X-PP-SILOVER" in resp.headers["Set-Cookie"]:
session_cookie = resp.cookies.get("X-PP-SILOVER")
log_stolen_session(session_cookie) # 存储用于后续登录
# 构造响应返回给受害者
excluded_headers = ['content-encoding', 'content-length', 'transfer-encoding']
response_headers = [(k, v) for k, v in resp.raw.headers.items() if k.lower() not in excluded_headers]
return Response(resp.content, resp.status_code, response_headers)
该代理不仅窃取凭证，更直接获取可重放的会话令牌，绕过所有基于密码的MFA。
3 攻击成功的三大促成因素
3.1 邮件安全网关的信任惯性
企业级邮件网关（如Mimecast、Proofpoint）长期将PayPal相关域名加入信誉白名单。攻击者利用此机制，通过以下方式绕过检测：
使用PayPal官方跟踪域名（如paypal-track.info）作为初始跳转点；
在邮件HTML中嵌入真实PayPal图片资源（<img src="https://www.paypalobjects.com/en_US/i/logo/logo_paypal.gif">），提升“合法性”评分；
避免使用恶意附件或脚本，仅含纯文本与链接。
结果：此类邮件常被标记为“低风险”甚至“可信”，直接进入收件箱。
3.2 多因素认证的结构性缺陷
尽管PayPal支持短信、TOTP及FIDO2等多种MFA，但绝大多数用户仍使用短信OTP。而AiTM攻击完全无视OTP的一次性特性——因为攻击者是在用户完成认证的瞬间捕获整个会话，而非尝试重放OTP本身。即使启用TOTP，若未绑定设备指纹或IP上下文，会话仍可被异地重用。
3.3 社会工程中的紧迫性压迫
邮件文案刻意制造功能受限的紧迫感：
“您的账户因资料不完整已被限制收款。请在24小时内完成验证，否则将暂停所有交易功能。”
研究表明，当用户感知到“经济损失风险”时，其对链接真实性验证的意愿下降67%（来源：2024年USENIX Security用户行为研究）。这种“合规性恐惧”成为攻击成功的关键心理杠杆。
4 防御体系构建
4.1 启用FIDO2硬件密钥消除会话中继价值
FIDO2基于公钥密码学，其断言（Assertion）与特定RP ID（Relying Party Identifier）及客户端环境绑定，无法被中继重放。
前端注册示例（WebAuthn API）：
const createCredentialOptions = {
publicKey: {
rp: { name: "PayPal", id: "paypal.com" }, // 强制绑定顶级域
user: {
id: new TextEncoder().encode("user123"),
name: "user@example.com",
displayName: "John Doe"
},
challenge: Uint8Array.from(window.atob("randomBase64Challenge"), c => c.charCodeAt(0)),
pubKeyCredParams: [{ type: "public-key", alg: -7 }], // ES256
authenticatorSelection: {
userVerification: "required", // 强制生物识别或PIN
residentKey: "required"
}
}
};
const credential = await navigator.credentials.create(createCredentialOptions);
// 发送credential.response至服务器验证
服务端验证要点：
严格校验rp.id === "paypal.com"；
绑定客户端证书（若支持）；
拒绝跨子域断言（如login.paypal.com ≠ paypal.com）。
4.2 用户行为干预：地址栏验证与延迟策略
教育用户：始终手动输入paypal.com或从书签访问，绝不点击邮件链接；
实施延迟验证：收到“紧急补全资料”邮件后，等待1小时再处理，期间通过官方App或客服确认真实性；
浏览器扩展辅助：部署插件高亮非*.paypal.com域名，或自动拦截含“verify”“update”关键词的可疑链接。
4.3 企业邮件基础设施加固
组织应部署以下协议降低仿冒成功率：
DMARC（Domain-based Message Authentication, Reporting & Conformance）：
策略示例（DNS TXT记录）：
_dmarc.paypal.com. IN TXT "v=DMARC1; p=reject; rua=mailto:dmarc-reports@paypal.com; ruf=mailto:forensics@paypal.com; fo=1"
强制拒收未通过SPF/DKIM验证的邮件。
MTA-STS（SMTP MTA Strict Transport Security）：
强制加密传输，防止中间人篡改邮件内容：
_mta-sts.paypal.com. IN TXT "v=STSv1; id=20250601;"
mta-sts.paypal.com. IN A 203.0.113.1
并在/.well-known/mta-sts.txt提供策略文件。
BIMI（Brand Indicators for Message Identification）：
在支持BIMI的邮箱（如Gmail、Yahoo）中显示官方Logo，提升用户识别能力：
default._bimi.paypal.com. IN TXT "v=BIMI1; l=https://paypal.com/bimi-logo.svg; a=paypal.pem"
4.4 浏览器端防护：安全上下文绑定
推动PayPal等平台实施以下措施：
Token绑定：将OAuth 2.0 Access Token与TLS客户端证书绑定（RFC 8705）；
会话绑定设备指纹：记录可信设备的硬件哈希、屏幕分辨率、时区等，异常则强制登出；
浏览器隔离：对敏感操作（如添加收款方式）强制在远程隔离环境中执行，防止本地恶意脚本窃取。
5 安全度量指标重构
传统“钓鱼邮件点击率”无法反映真实风险。建议采用以下核心KPI：
会话令牌被成功中继率：捕获的会话中能成功登录并执行操作的比例；
欺诈交易首次发生时间（TTF）：从凭证提交到首笔测试交易的时间（目标<5分钟即告警）；
FIDO2用户受攻击成功率：对比FIDO2用户与OTP用户的账户失陷率。
某欧洲支付机构实施新指标后发现：尽管钓鱼邮件点击率稳定在8%，但FIDO2用户的TTF中位数为0秒（因无法中继），而OTP用户为3.2分钟，直接推动全员FIDO2迁移。
6 讨论：金融钓鱼的范式转移
当前PayPal钓鱼攻击标志着金融网络犯罪的三大转变：
从广撒网到流程嵌入：攻击不再泛化，而是深度模拟特定业务场景；
从凭证窃取到会话劫持：目标从密码转向可直接使用的会话令牌；
从技术对抗到心理操控：利用合规焦虑压倒理性判断。
这要求防御策略从“阻止点击”转向“确保即使点击也无法造成损失”。
7 结论
PayPal新型钓鱼骗局通过滥用用户对账户合规流程的信任，结合高仿真页面与AiTM会话劫持技术，实现了极高的攻击效率。其成功根源在于现有安全体系过度依赖邮件网关过滤与静态MFA，而忽视了会话层风险与用户心理弱点。本文提出的四维防御框架——以FIDO2消除会话价值、以用户行为干预阻断冲动操作、以DMARC/MTA-STS/BIMI加固邮件真实性、以浏览器端绑定提升会话安全性——构成应对当前威胁的有效路径。更重要的是，安全度量必须从“是否点击”转向“是否造成实际损害”，方能真实驱动防御能力进化。未来工作将聚焦于跨平台会话绑定标准推广与AI驱动的钓鱼邮件语义风险评分模型。
编辑：芦笛（公共互联网反网络钓鱼工作组）
扫一扫
753
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
