邮件攻击案例系列一：仿冒国家部委发布虚假劳动补贴邮件

1. 案例描述

2023 年 2 月，某单位职员小孙的工作邮箱收到一封名为《最新个人通知》的邮件，发件人签名为“財務部”，主要内容为“关于 2023 年个人劳动(补贴)申领通知”，并提示“过期将作废”。邮件附有一份名为“重要通知.docx”的附件。

看到“过期将作废”的提示，小孙不疑有他，赶紧打开邮件，看到如下正文内容。文中宣称，扫描文件中的二维码，可以申请到 1000 元以上的劳动补贴。

扫描附件中的二维码之后，小孙开始“申领”所谓的“劳动补贴”，并按页面要求填写 了包括姓名、身份证、手机号、卡内余额等个人信息；最后小孙还根据收到的短信，在页面上填写了一个短信验证码；随后，他便看到页面提示：“系统认证中，请勿刷新页面”。紧接着，小孙就收到了银行发来的 4000 元转账通知短信。此时，小孙才确认，自己上当了。

事实上，这种打着劳动补贴名义实施的钓鱼邮件诈骗活动，自 2021 年起就一直处于持续流行状态。邮件内容大多是打着人力资源部或财政部的名义发放“劳动补贴”，只不过扫码之后的钓鱼网站页面有多种不同变化而已，但大多都会套取身份信息和银行卡信息。骗子们在获得关键信息后，就会开始盗刷网银，并诱骗受害者在钓鱼页面上填写验证码，从而完成盗刷转账活动。
此类诈骗手法之所以会绕过很多邮件安全防护系统，主要是因为攻击者将诈骗信息进行了多层隐藏：攻击者没有将恶意网址以链接的形式直接写在正文中，而是将恶意网址以二维码的形式藏在了邮件的附件中。而邮件附件本身也不带毒，所以，除非邮件安全防护系统打开附件，并识别附件中的二维码后，才有可能判断出邮件的附件中含有恶意信息。不过，此类钓鱼邮件也是由明显的特征的，只要掌握识别方法，还是可以通过“肉眼”轻松识破的。以下几点可以参考。

2. 鉴别方法 

1. 任何国家部委机关都不可能直接给普通的个人邮箱发送邮件。所以，来自任何国家机关的“广告式”邮件一定都是诈骗。

2. 如果真是国家有关部门发出的正式邮件，发件人的邮箱后缀一版都是“.gov”，而不可能是任何其他后缀。

3. 以 Word 文档、压缩包为附件，也是比较明显的恶意特征。政企机构给员工发邮件，附件一般都是 PDF 格式。

4. 陌生人发来的邮件中包含二维码也是明显的恶意特征。如果是真正的公益信息或需要向公众广而告之政务的信息，不论是通过短信还是邮件，一般都会直接给出短信链接，收件人直接点开就可以了，很方便。而采用扫码的方式，二维码还藏在附件当中，显然要麻烦一些，只有当攻击者想要隐藏链接防范安全系统识别时，才会采用这种方式。
下面三图分别是冒充公司人力资源部发放“工资津贴”、“个税申报”的钓鱼邮件，以及冒充财政部发出的夏季高温补贴邮件。同样是要求扫码申请，相关套路大同小异。

参考来源：邮件攻击案例系列一：仿冒国家部委发布虚假劳动补贴邮件 | MailABC邮件知识百科