欧盟委员会对Booking.com启动调查，聚焦虚假房源与钓鱼诈骗
欧盟委员会已对Booking.com正式启动调查，评估这家在线旅行平台如何处理虚假住宿房源与冒充身份诈骗。据网络安全媒体Cybernews 10月23日报道，调查将核查Booking.com是否已识别、评估并缓解与虚假房源、冒名欺诈及不合规住宿产品相关的风险，以及现有措施是否有效，包括下架欺诈与不合规房源。委员会还将审查利用预订信息和住客数据实施的钓鱼攻击，并了解其站内消息服务的设计与运作方式，判断平台是否具备足够防护，避免客户数据被用于钓鱼或骗取付款。此外，调查将评估Booking.com是否遵守《数字服务法》（DSA）的广告透明度义务：住宿方可以支付更高佣金提升搜索排名，但用户应能分辨某条房源是因符合需求而出现，还是付费推广。负责技术主权、安全与民主的欧盟委员会执行副主席Henna Virkkunen表示，欧洲人应当能够在不必担心被骗的情况下预订假期，DSA对平台设定了明确责任。调查由欧盟委员会与荷兰消费者与市场管理局（ACM）以及Booking.com所在成员国的数字服务协调机构合作进行。今年4月，Booking.com曾披露预订数据外泄，诈骗者正以与预订相关的追加付款请求为目标联系旅客。
微软联合执法机构捣毁中文钓鱼即服务平台，涉逾 10 亿条钓鱼邮件与短信
微软10月14日表示，其数字犯罪部门联合执法机构与行业伙伴，捣毁了一个以钓鱼即服务（PhaaS）为核心的中文网络犯罪生态的开发者和基础设施。行动目标是微软追踪为Storm-3119的地下市场YAM Store，以及被合并追踪为Storm-2990的三款钓鱼工具包CoGUI、Haozi和Iron Man System。据微软称，自今年1月以来，这些工具包的运营者已助力发送超过10亿封钓鱼邮件和短信，触及全球逾7.5万家机构，涉及医疗、金融、批发分销和IT等行业，日本与美国受影响最重。仅Iron Man一款就提供逾2300个诱饵模板，覆盖139个以上国家，可冒充政府、银行、物流企业和知名品牌。微软称其分工具有网络犯罪典型特征：YAM Store充当访问代理，接管教育或非营利机构的Microsoft 365和Google租户，再转售账号、存储、DNS与钓鱼支持；工具包开发者出售带地理围栏、CAPTCHA门和IP过滤等规避功能的订阅，并提供实时受害者控制及凭据或卡信息被提交时的Telegram告警。买家将其用于凭据窃取、设备码钓鱼和支付欺诈，付款方式包括加密货币、支付宝和微信支付CyberScoop报道称合作方包括日本当局和Health-ISAC，逾2万个账号被停用，但微软文章未说明具体域名查封或法院令，这些内容应视为该媒体所报。
FBI查封7个域名，涉中国关联黑客组织的扫描与钓鱼工具
美国联邦调查局（FBI）与司法部查封了7个与 Microscan和FishHub相关的域名，这两款黑客工具据称由总部位于中国的Integrity Technology Group运营。这项经法院授权的行动于10月8日公布，旨在切断用于扫描关键基础设施、支持鱼叉钓鱼以及从失陷网络窃取文件的系统访问。在宾夕法尼亚州西区解封的法庭文件将该活动与Flax Typhoon组织联系起来。当局称该公司持有中国政府合同，其工具帮助客户发现薄弱系统并非法获取访问权限。据司法部公告，该公司用感染Mirai变种的联网设备搭建僵尸网络，并借助该网络对潜在目标运行Microscan。扫描可以发现网络可能的入口，但并不证明网络已被入侵。扫描目标包括南卡罗来纳州一家电力公司、日本和波兰的机场、台湾的天然气与电力公司、一家跨国非政府组织以及台湾两所大学。MicroScan是基于Python的Web应用，包含1300多个渗透测试脚本，可检查Oracle WebLogic Server、WordPress和Jenkins等漏洞。FishHub则用于支持鱼叉钓鱼，并在攻击者取得初始立足点后下载更多恶意软件，从而提供远程访问或定位并传输特定文件。已确认的FishHub受害者包括约20所台湾高校，与扫描目标中的两所台湾大学是不同群体，公告未说明两者是否重叠。
COLDCARD官方X账号被用于发布钓鱼链接，公司称查无登录记录
比特币硬件钱包厂商COLDCARD（由Coinkite运营）10月11日表示，正在调查一条含钓鱼链接的帖子为何从其官方X账号发布。公司在X上确认该帖已被删除，并提醒用户不要访问或与该链接互动，强调其唯一官方网站是coldcard.com。该账号自2017年起使用离线双因素认证，访问权限严格受限。COLDCARD称已联系X并审查所有账号访问记录，在标记X支持团队的后续消息中指出，账号上出现了钓鱼帖，却找不到对应的登录、会话或访问记录，其凭据与离线2FA仍然安全。公司担忧可能存在未经授权的平台层面或管理层面访问，要求X立即保全相关日志并展开调查，称这是一次有针对性、高度特定的攻击，并表示仍在等待X支持团队回复。据流传的截图，被删除的帖子以“URGENT COLDCARD SECURITY UPDATE”为名，声称较新固件在助记词生成方面存在新的严重漏洞，要求在特定版本上生成助记词的用户开始谨慎迁移，并称仅更新固件不能替换受影响的助记词；帖子引导用户访问migrate.coldcardwallet.io，并列出需检查的固件版本：Mk4/Mk5为5.6.0及以上、Q为 1.5.0Q及以上、Mk2/Mk3为4.2.0及以上。该域名与 COLDCARD或Coinkite无关。公司称未报告与该钓鱼链接互动直接相关的确认损失。
Capcom披露Capcom ID数据泄露，1170万条邮箱记录受影响
Capcom披露其在线会员服务发生数据泄露，影响超过1100万个客户账号，并警告玩家提防可能的钓鱼攻击。这家开发《生化危机》《怪物猎人》和《街头霸王》的公司表示，与 Capcom ID相关的客户信息于10月19日被第三方访问，全球共有1170万条邮箱地址记录受影响，泄露内容还包括账号创建日期与时间、最后登录日期与时间、登录次数以及最后登录时使用的客户端 IP 地址。其中43条记录涉及出生日期、性别、国家/地区与昵称，另有196个账号的Capcom ID 登录密码遭到未经授权的更改。Capcom称这些账号的密码已被重置，公司仍在调查此次事件的影响范围。Capcom强调，客户自行创建的密码并未泄露，信用卡信息也不在受影响信息之列，并且预计旗下电子游戏不会受到影响。公司表示已向大阪府警察和日本个人信息保护委员会报告此事，并告知客户可继续使用注册在 Capcom ID的邮箱地址，但提醒受影响信息有可能被滥用于发送欺诈邮件。Capcom建议，如收到可疑邮件或信息应保持警惕，不要访问其中的任何URL，也不要打开附件。公司未详细说明被入侵的方式，但表示已完成应急处置措施，并已识别和处理此次事件涉及的攻击手法。
伪造AI广告平台借浏览器嵌套窗口窃取账号凭据与MFA验证码
安全公司Island的研究人员Oleg Zaytsev与Ofek Ronen披露了一个“人工操作型钓鱼平台”，冒充Google Gemini、Anthropic Claude、OpenAI ChatGPT、Perplexity、Meta Muse和Manus等AI聊天机器人的广告产品。这些产品以广告活动优化、花费审计等名义，目的只有一个：通过浏览器嵌套（BitB）手法伪造登录窗口，窃取账号凭据和多因素认证（MFA）验证码。研究人员称，每个产品都围绕“Connect”构建，点击后在真实浏览器内绘制伪浏览器，假地址栏显示accounts.google.com或Okta租户等可信来源，真实浏览器仍停留在钓鱼域名上；平台会保留每次密码尝试、对设备做指纹识别，并让操作者选择受害者接下来看到哪种MFA验证。以2026年9月16日出现的museads.ai为例，其页面上的Connect按钮即触发BitB，受害设备同时被指纹识别，信息经Socket.IO发送至“/api/send/ip”端点，操作者据此实时尝试登录。据评估，用户是通过冒充这些可信品牌的虚假邀请邮件被引导至这些页面的。Island称，这些页面属于一个三线并行的更大平台，另两条为Google Ads主题的退款与付款确认和招聘类钓鱼网站。
美国法院判处尼日利亚籍男子八年监禁，涉1500万美元退税与身份欺诈
美国司法部宣布，联邦地区法院法官 Paul G. Gardephe 判处尼日利亚籍男子 Chukwuemeka Amachukwu 八年监禁，其罪行涉及多起欺诈、黑客入侵和身份盗用。据 Peoples Gazette 10 月 20 日报道，他已就共谋实施计算机入侵和共谋实施电汇欺诈认罪，法院另判令其支付 3,647,629.39 美元赔偿并没收 10,846,634.39 美元。据法庭公开文件和庭上陈述，自 2019 年前后起，Amachukwu 与同伙 Kingsley Uchelue Utulu 及其他尼日利亚籍共谋者通过鱼叉式钓鱼邮件入侵美国报税服务企业的系统，窃取至少 800 名客户以及数千人的税务和身份信息，用于向美国国税局（IRS）与各州税务部门提交虚假退税申报。其中一个计划申请退税约 840 万美元，实际获得至少约 250 万美元，共谋者还用窃得身份向小企业管理局（SBA）经济伤害灾难贷款项目骗取至少约 81.9 万美元。另一起计划中，他冒充富有海外金融家，向受害者推销并不存在的备用信用证投资，获利超过 700 万美元。
日本神户酒店冰箱后藏匿电脑被用于发送约 48 万封钓鱼邮件
日本调查人员称，神户一家酒店客房冰箱后藏匿的一台小型计算机被用于发送约 48 万封钓鱼邮件，居住在该市的一对中国籍夫妇 Ye Jiafeng（39 岁）与妻子 Shen Qi（39 岁）已因该邮件活动及另一起使用他人信用卡信息购物案被捕。据称 2025 年 5 月 15 日，Ye 与另一人冒充住客进入神户一家酒店，把设备藏在房间冰箱后并接入酒店 Wi-Fi。案件起因是一名钓鱼邮件收件人发现相关信息中的 IP 地址指向该酒店后联系酒店，员工找到设备并报警。被扣押的计算机存有约 240 万个邮箱地址和约 48 万封已发送邮件的记录，邮件冒充信用卡公司通知，将收件人引向套取卡号和个人信息的假网站，调查人员认为另有他人远程控制该设备、借酒店网络发信。Ye 面临妨害业务和非法侵入的指控，夫妇二人另因涉嫌计算机欺诈被捕，警方未公开其回应。日本媒体报道称，警方还在二人家中查获 74 部智能手机，调查显示他们自 2024 年前后起使用他人卡信息消费，总额达 1000 万日元；二人已于 2026 年 9 月因另一起经神户另一家酒店 Wi-Fi 发送钓鱼邮件的案件被起诉。
TraceX Labs 报告：Google Apps Script 被滥用至钓鱼与欺诈活动
TraceX Labs 发布威胁情报报告 GLOBAL-026，日期为 2026 年 9 月 30 日，威胁评级为高，状态为活跃与监控中，梳理公开可访问的 Google Apps Script Web Apps 如何可能被纳入钓鱼、欺诈、恶意软件分发、搜索引擎优化（SEO）操纵、垃圾信息、恶意重定向以及疑似儿童性虐待材料（CSAM）与儿童性剥削相关活动的更大规模行动。报告强调 Apps Script 本身是用于软件开发、自动化、教育、数据处理和 Google Workspace 工作流的合法平台，关注点在于第三方对合法基础设施的滥用。报告称，此类 Web Apps 可处理 HTTP 请求、生成 HTML、处理参数、与外部资源交互并参与重定向流程，因此一个 Apps Script URL 可能成为整个链条中的一环：用户从搜索引擎、社交媒体、邮件或即时通讯被引至该 URL，再转向落地页、动态应用或重定向器，最终到达外部基础设施。调查涵盖凭证窃取、恶意 APK 分发、恶意软件投递、投资与就业诈骗、虚假支付页面、UPI 相关欺诈、加密货币欺诈和冒充活动，相关证据被归类为已观察或已关联，而非假定所有部署均属恶意。
日本 Burger King App 遭未授权访问，约 1110 万用户个人信息泄露
Burger King 日本运营方 BK Japan 于 10 月 15 日公告称，其会员数据库遭未授权访问，约 1110 万名官方 App 注册用户的个人信息被泄露，泄露发生在 10 月 2 日至 7 日之间，10 月 13 日被发现。公司确认信用卡号和账户密码未遭泄露，目前也未核实到数据被滥用的情形。被泄露的数据库包含以汉字和假名书写的客户姓名，以及电话号码、电子邮箱、出生日期、性别、都道府县和会员编号，部分记录还包括注册信息、邮箱验证状态和客户是否使用过 App 的移动点餐功能；公司说明该字段仅反映账户是否有过购买记录，不含具体点餐内容，信用卡信息从未存放在受影响系统中。发现入侵后，BK Japan 切断了未授权来源的外部连接，成立内部事件响应小组，向日本个人信息保护委员会通报，并向受影响用户致歉；公司已聘请外部网络安全专家查明绕过访问控制的方式，但尚未确认作案者身份与被利用的具体漏洞，也无证据显示失窃记录已被发布。安全公司 SOCRadar 首席信息安全官 Ansar Seker 警告，姓名、出生日期与联系方式的组合足以支撑精准钓鱼，攻击者常借企业泄露公告诱导受害者访问以重置账户或验证凭证为名的假冒页面。
Ngrave 推送通知服务遭入侵，钓鱼攻击致用户损失约 256 万美元
比利时硬件钱包厂商 Ngrave 披露，攻击者入侵了其为 LIQUID 配套 App 提供推送通知服务的第三方供应商，并于 2026 年 10 月 17 日经由与正常通知相同的官方渠道向客户发送外观逼真的安全警报，称用户资产组合已在莫斯科的一台 Pixel 9 设备上同步，催促立即核查。用户点击后被引向仿冒的 Ngrave 网站，页面显示倒计时并提供批准或拒绝选项，但两者最终都要求输入 24 个单词的助记词或 Perfect Key，凭证提交后自动化脚本在数分钟内重建钱包并清空账户。Ngrave 调查称，约 70 个钱包地址在四条区块链上共损失约 256 万美元，按 10 月 17 日价格计算，其中比特币约 177 万美元、XRP 约 45.4 万美元、以太坊相关资产约 31.6 万美元、Stellar 为 1.8 万美元；ZERO 硬件设备及其中私钥从未被攻破，损失仅因受害者主动提供恢复凭证。对通知服务商的未授权访问可能最早始于 10 月 11 日，公司在警报出现后约一分钟内发现异常，至 21 时 40 分（UTC）切断首个密钥，第二个密钥仍持续发信至 22 时 45 分才全面停止。
尼克斯以「冠军戒指」邮件做钓鱼测试，员工选款后须参加安全培训
Yahoo Sports 10月23日报道，纽约尼克斯队新赛季开局不顺：球队正与 Karl-Anthony Towns 就续约问题公开争执，在升起总冠军旗帜后又在赛季首战输给 Philadelphia 76ers。据 The Athletic 报道，多名助理教练在周二的仪式上没有拿到冠军戒指，而是收到空盒子，反应从「真正的愤怒到恼火」不等；报道还称，Madison Square Garden 的多名长期员工，包括部分在尼克斯商业运营部门工作的人，完全不会获得戒指。更令员工不满的是，球队9月底向一长串员工发送邮件，让他们首次一睹可能到手的戒指：邮件顶部是两款不同款式戒指的图片，正文称「恭喜，你的员工冠军戒指已到」，并写明由 MSG 免费赠送、同一珠宝商、同样工艺、刻上姓名、员工无需付费。员工可在「Championship Gold」和「Garden Classic」两款中选择，但无论选哪一款，最终都会被安排参加一场强制的网络安全课程——因为这封承诺赠送冠军戒指的邮件实际上是一次钓鱼测试。报道称此类做法并非闻所未闻，但这支球队似乎仍给事情加上了典型的尼克斯色彩，文章还提到有关 Dolan 安全顾虑的另一篇报道。
布鲁克林男子因 Coinbase 钓鱼诈骗被判最高12年，涉案近1600万美元
CoinDesk 9月24日报道，纽约布鲁克林23岁居民 Ronald Spektor 因通过钓鱼与社会工程手法诈骗近100名 Coinbase 用户、窃取约1600万美元，被判处最高12年监禁。纽约地区检察官 Eric Gonzalez 周三表示，Spektor 在一年多时间里实施该计划，说服受害者相信其账户已被入侵，从而将资金转入他控制的账户。调查显示，他将数字资产在多个加密货币交易所之间兑换，归集到「套现点」，再转换为其他加密资产并下注，最后换成现金用于购买礼品卡或更多数字资产。他还被要求支付近1600万美元赔偿，并没收价值超过50万美元的现金、加密货币和个人财产。Gonzalez 称，该案相当于对近100名受害者的「数字抢劫」，其虚拟货币部门梳理数字证据、追踪资金流向并构建了完整证据链。正文提到，社会工程诈骗在2025年居加密领域威胁之首，今年情况还在恶化；WhiteBIT 称去年近41%的加密安全事件涉及欺骗受害者，Chainalysis 报告指出犯罪分子正日益针对个人而非基础设施。Gonzalez 还提醒，Coinbase 等公司不会致电客户要求转账到「安全钱包」，不要相信可被伪造的来电显示、发件人名和仿冒域名，也不要匆忙转账。
英外相警告伊朗不得在英国境内敌对活动，NCSC 指其黑客用 CHOSEN BRICK 窃密
Free Malaysia Today 9月26日援引 Sky News 于周四发出的报道称，英国外交大臣 Ed Miliband 在纽约联合国大会期间与伊朗外长 Abbas Araqchi 举行会晤，并在会谈中表示，对于来自与伊朗有关联团体的恐吓、威胁或在英国境内的敌对活动，英国「不会容忍」。报道引述英国外交部的说法称，两人是在联合国大会间隙会面，会上讨论了中东战争、重新开放霍尔木兹海峡的重要性，以及英国「打击伊朗关联团体在英国境内所构成威胁的坚定决心」。同一篇报道还在开头提到，英国国家网络安全中心（NCSC）上周表示，与伊朗国家有关联的黑客曾使用间谍软件窃取电子邮件、消息和其他敏感信息。据 NCSC 的说法，这些与伊朗国家有关联的网络行为体使用名为 CHOSEN BRICK 的间谍软件家族，通过在 WhatsApp、Telegram 等即时通讯平台上开展的「鱼叉式钓鱼」活动实施窃取。NCSC 使用的是「与伊朗国家有关联」这一表述，正文并未称相关活动由伊朗政府直接指挥。报道最后称，英国外交、联邦和发展办公室未立即回应路透社的置评请求。
韩国警方从5家交易所追回263亿韩元，1137名语音钓鱼受害者获退款
SBS 报道，首尔地方警察厅都市调查队9月29日宣布，2023年至近期在5家韩国国内加密货币交易所被冻结的语音钓鱼犯罪资金已完成追踪，共确认1137名受害者，并已向受害者退还263亿韩元损失。警方在2023年确认有大量语音钓鱼犯罪所得被冻结在加密货币交易所账户中，随后与交易所合作启动退款程序。报道指出，涉及银行账户的语音钓鱼案件在报案后，相关账户及关联账户的支付会被中止，银行之间共享信息后，由最终持有受损资金的金融机构向受害者退款；但与银行不同，加密货币交易所因未获得受害者信息而无法退还冻结资金。为此，警方自2023年4月起追踪1050个交易所电子钱包和约16.3万个银行账户的资金流向以查找受害者。警方还发现部分冻结资金在退款过程中流出：根据去年7月实施的《虚拟资产用户保护法》，虚拟资产服务提供商可在一定期限内限制账户存取款，但最长6个月冻结期届满后，账户持有人擅自处置了相关资金。警方估计以此方式被处置的受损资金达30.4亿韩元，目前正依据《犯罪所得隐匿规制及处罚法》对130名账户持有人展开调查。
Eskenazi Health 披露钓鱼入侵致数据泄露，社会保障号与病历受影响
teiss 9月30日报道，印第安纳波利斯公共安全网医疗系统 Eskenazi Health 披露一起数据泄露事件，患者的社会保障号和医疗信息被暴露。事件起因是一名可信业务联系人的邮箱账户被入侵，该账户随后向其通讯录中的大量人员发送数千封未授权邮件，其中包括一名 Eskenazi Health 员工。由于邮件看似来自熟悉的联系人，该员工未察觉异常，点击了伪装成安全文档通知的链接并完成所要求的身份验证流程，使攻击者获得其工作账户的访问权限。取证调查发现，未授权访问始于2026年6月1日前后，持续至7月27日该机构发现可疑活动并切断访问为止。对受影响账户的审查显示其中包含患者信息，该机构称未授权者在此期间可能访问了含有敏感数据的邮件和附件。被泄露信息包括姓名及其他人口统计或联系方式、社会保障号、病历号等内部标识、健康保险与账单信息、医疗与治疗记录，以及包括物质使用障碍诊断和治疗记录在内的敏感健康信息，具体受影响内容因人而异。Eskenazi Health 表示已保护该账户、实施额外防护措施，并正在评估强化安全控制和员工培训；该机构已开始通知受影响个人，免费提供信用监控等身份保护服务，并设立了应答中心。
钓鱼邮件投递 MSP360 RMM 安装包，继而部署 ScreenConnect 建立远程访问
网络安全专业媒体 SOC Prime 发布的分析称，攻击者正利用钓鱼活动投递伪装成可信软件的合法 MSP360 RMM 安装包。Microsoft Defender Experts 发现多组钓鱼诱饵，分别冒充 Zoom、Adobe 以及看似正常的会议邀请，用于分发 MSP360 v2.5.0.67。研究人员还原了感染链，从用户首次执行、UAC 提权，到服务安装以及第二个 RMM 工具的部署；调查还显示攻击者滥用 Amazon S3 和 Dropbox 等可信云平台托管恶意载荷。安装程序启动后建立持久化，随后下载并部署 ConnectWise ScreenConnect，为攻击者提供额外的远程访问通道，从而支持凭据窃取和敏感数据收集等后续活动。SOC Prime 建议企业严格控制获批的 RMM 工具，强制启用多因素认证（MFA）并落实应用程序控制策略，还可用基于证书的阻止规则限制特定签名应用，同时借助云交付防病毒与攻击面减少规则加强终端防护；发现未授权 RMM 安装时，应立即重置相关凭据并排查系统级账户。
与俄罗斯联邦安全局关联的 Star Blizzard 扩大钓鱼行动，转向大规模群发
据 The Record 报道，Microsoft 表示，与俄罗斯联邦安全局（FSB）有关联的国家支持黑客组织 Star Blizzard 今年大幅扩展了钓鱼行动，并采用一种能够简化受害者感染流程的新手法。该组织也被追踪为 Callisto 和 ColdRiver，其攻击范围已不再局限于乌克兰，而是扩大到全球 100 多个组织，包括美国与英国的非政府组织（NGOs）、智库、政府机构和金融机构。文章称，该组织已从高度定向的鱼叉式钓鱼转向大规模群发邮件，并改用事先被入侵的网站来托管和发送钓鱼信息，而不是依赖免费邮件服务。自 3 月起，其采用名为 RedFlick 的新恶意软件投递方式：向目标发送受密码保护的压缩包，受害者打开包内文件后，RedFlick 通过计划任务安装 CosmicPulse 后门，其余安装步骤由系统自动完成，只需这一次用户操作，不同于以往需要多次交互的手法。Microsoft 称，这些变化提升了 Star Blizzard 接触更多目标、规避检测以及提高入侵成功率的能力。
攻击者滥用合法签名的 ScreenConnect 客户端，借付款退款钓鱼获取远程控制
安全媒体 GBHackers News 报道称，攻击者正越来越多地滥用合法的远程监控与管理（RMM）软件而非自研植入程序。在近期一起钓鱼行动中，攻击者投递了真实的、经数字签名的 ConnectWise ScreenConnect 客户端。邮件声称已收到一笔 5,745.65 美元的付款，催促收件人打开包含订单信息的 PDF；但邮件中的“Click here”链接实际指向 hxxps://thelittlecupandsaucer[.]com[.]au/ScreenConnect.ClientSetup.exe。分析显示该载荷是正版 ScreenConnect 客户端，由 ConnectWise, LLC 通过 DigiCert G4 Code Signing CA1 证书签名，Authenticode 摘要与签名摘要一致，没有证据表明文件在签名后遭到篡改。攻击者似乎自行创建或获取了合法客户端，并把连接设置嵌入其配置，使其通过 TCP 443 端口连接 instance-v2e3e2-relay.screenconnect.com 上的 v2e3e2 云实例。受害者执行安装程序后，客户端即可回连攻击者运营的 ScreenConnect 环境，可能使运营者远程查看并控制该终端。Microsoft 表示该活动并未利用 ScreenConnect 漏洞，而是在受害者执行后滥用合法管理软件。
Fortra 称滥用远程管理工具的钓鱼攻击激增 475%，北美银行账户成重点
Fortra 于 10 月 8 日发布的研究显示，将远程监控与管理（RMM）工具纳入攻击链的钓鱼活动明显增多：2026 年前九个月，该公司记录的此类攻击比 2025 年全年多出 475%，北美金融机构和商业银行账户是重点目标。文章提醒，这一比较的基准期长度不同，475% 意味着观测数量为基准的 5.75 倍而非 4.75 倍，因此不应视为常规的同周期同比；它衡量的是 Fortra 观测到的攻击，而非全球钓鱼活动的全貌，也不等同于已确认的入侵或资金损失。Fortra 描述了冒充银行客服的欺诈页面：聊天提示引导受害者下载远程访问软件，常见的是 AnyDesk，攻击者随后引导受害者授予访问权限。该公司称，在 Firebase 链接下载受到限制后，相关活动转向其他基础设施投递，研究人员也在尝试阻断链条上的多个环节，而不仅是初始钓鱼页面。文章指出，这一手法并非全新：2023 年 1 月 CISA、NSA 与 MS-ISAC 的联合公告已描述滥用合法 AnyDesk 和 ScreenConnect 软件的退款诈骗，并提醒便携式可执行文件可在无需完整安装或管理员权限的情况下运行，因此仅阻止安装仍存在缺口。CISA 的公告建议审计远程访问工具、审查执行日志，并对未授权软件（包括便携版本）实施应用程序控制。
新型钓鱼工具包 Wazza 采用多级路由，规避检测后再投放 Device Code 钓鱼页
据 The Hacker News 报道，安全研究人员发现一个名为 Wazza 的新型钓鱼工具包，它通过多级路由链先筛查访问者和自动化流量，然后才投放最终载荷。这种做法已超出简单的登录页面复制，把过滤与流量控制直接集成到托管钓鱼页面的基础设施中。Wazza 主要针对位于美国、欧洲和澳大利亚的银行、制造业和政府机构。整条攻击链始于一个泛域名落地页，访问者会被依次引导经过多个端点，其中一个用于检查是否存在活跃活动，另一个用于生成短时效的签名会话令牌；该令牌随后与浏览器遥测信息一起在反机器人关卡接受校验，以过滤不需要的流量。只有通过这些检查后，访问者才会到达最终的 Adobe 主题 Device Code 钓鱼页面。这种分层设计使恶意行为无法从单一 URL 立即看出，初始检测因此更加困难。对托管安全服务提供商（MSSP）而言，复现完整的攻击序列并不容易，这种复杂度会延长调查时间，并增加不必要的升级处置。文章称，这反映出攻击者正把规避能力内建到钓鱼基础设施本身，而不仅依赖诱饵内容，使其更难被识别和阻断。
南卡罗来纳州教育厅调查供应商 ClassWallet 账号遭钓鱼事件
美国南卡罗来纳州教育厅正在调查一起网络安全事件，涉及一家负责经手州政府拨付给私立学校家庭资金的承包商。据该厅说明，ClassWallet 与州政府签约，负责处理该州教育奖学金信托基金（ESTF）的付款，该项目以公共资金提供奖学金，供学生就读私立学校。教育厅表示，这轮钓鱼活动仅通过供应商的个人电子邮箱针对供应商，南卡州教育厅、ClassWallet 家庭账户以及 ESTF 家庭均未受到影响。该厅在声明中称，教育厅与 ClassWallet 迅速采取行动，实施了预防性安全措施，对供应商账户进行全面审查，并已为低风险供应商恢复访问权限，其余账户的核查仍在进行。教育厅与 ClassWallet 随后认定，部分教育服务提供商遭到钓鱼邮件攻击，目的是骗取他们的 ClassWallet 账户凭据；出于谨慎，双方临时暂停了 ESTF 供应商账户活动，同时开展全面审计与风险评估。经审查，被判定遭入侵风险较低的供应商账户自 10 月 2 日起逐步恢复正常，其余供应商仍需完成进一步安全核验。声明指出，部分家庭曾短暂无法向账户处于审查中的教育服务提供商转账。教育厅表示，在完成所有受影响银行账户信息的核验之前，无法确定对教育服务提供商的完整影响范围。
日本警方逮捕 34 岁越南籍女子，涉嫌为语音钓鱼案件洗钱
据 Jiji Press 10 月 13 日发自东京的报道，日本警方当日表示，已以涉嫌在语音钓鱼（voice phishing）案件洗钱为由，逮捕一名 34 岁的越南籍女子。据日本警察厅（NPA）称，该女子名为 Nguyen Thi Huaon，已被控违反《组织犯罪处罚法》，警方认为她在多起语音钓鱼案件的资金流转中负责洗钱。她涉嫌清洗 2025 年 3 月一起语音钓鱼案件中骗得的 3,000 万日元，并被认为借由诈骗与洗钱团伙参与了其他案件。警察厅网络调查部门对 2024 年 10 月至 2025 年 4 月间约 80 起语音钓鱼案件进行了损失分析，合计约 29 亿日元，并查明其中约 15 亿日元已被转移至越南。该部门随后通过分析在另一起案件中查获的智能手机数据，锁定了她参与这笔资金转移的情况；上述金额与涉案判断均来自警察厅在逮捕阶段公布的信息。
SAP Cloud SDK for Python 曝 CVSS 10.0 严重漏洞
SAP 在 10 月 13 日发布的安全公告中表示，其 Cloud SDK for Python 存在一处缺陷，可将应用的 OAuth2 客户端凭据发送至攻击者控制的服务器。该漏洞影响在 SAP Business Technology Platform（BTP）上使用该 SDK 的多租户应用，该 SDK 是 SAP 面向 BTP 服务的官方 Python 客户端。攻击者必须能够控制租户子域名，即应用传给 SDK 用以指明请求所属租户的名称。漏洞编号为 CVE-2026-89111，SAP 给出的 CVSS 评分为 10.0（满分 10），公告将 8 月 21 日发布的 0.45.2 版本列为修复版本。该 SDK 使用应用的客户端 ID 与客户端密钥为上述服务处理认证，0.45.2 版新增了一项检查，拒绝任何不是简单名称的租户子域名。The Hacker News 发现，此后有六个版本并未在所有情况下应用该检查：9 月 10 日至 18 日发布的 0.53.0 至 0.55.0 在应用调用 SDK 的 Destination 服务模块时会跳过检查，原因是 0.53.0 将该模块迁移到新的令牌请求共享代码，而该代码未包含检查，0.55.1 于 9 月 18 日补上。SAP 将该缺陷归类为服务端请求伪造（SSRF），并称攻击者利用凭据能做什么取决于应用客户端的权限。
Talos 与 Recorded Future 披露哈萨克斯坦关联组织 Silent Lynx
Cisco Talos 与 Recorded Future 发布论文，详细披露其称为 Silent Lynx（又称 UAT-6275、TAG-193）的威胁行为者，这是一个与哈萨克斯坦有关联、在中亚从事间谍活动的组织。其目标包括俄罗斯南部、距哈萨克斯坦边境约 25 公里的 Orsk 炼油厂，以及位于莫斯科以东约 425 公里的下诺夫哥罗德政府。该组织至少自 2024 年起针对中亚各国政府机构、外交使团和公民社会组织发动定向入侵，并与 YoroTrooper、ShadowSilk、Hydra Saiga 等此前记录的集群存在重叠。其工具链刻意保持轻量：基于 PowerShell 的反向 shell、用 C++、C# 和 Go 编写的自有 shell、商用隧道工具，以及通过塔吉克斯坦和吉尔吉斯斯坦被入侵的政府邮箱发送的鱼叉钓鱼邮件，GitHub、Telegram 和被劫持的合法服务器被用作载荷托管平台。暴露该组织的是自身运维疏漏：公开服务器上留有开放目录，包含实时工具、已投放载荷，以及显示在俄语键盘布局下输入拉丁字母的命令历史；77 次 GitHub 提交的时间戳有 95% 符合阿斯塔纳工作时间，按莫斯科时间则只有 51%。2026 年 4 月，该组织首次使用漏洞投递恶意软件，利用 WinRAR 路径穿越漏洞 CVE-2025-8088 将文件直接写入 Windows 启动文件夹。
欧盟法院裁定银行不得以客户重大过失为由拒绝即时退款
欧盟法院（CJEU）在 10 月 15 日就 C-70/25 号案件 Tukowiecka 作出裁决，认定银行原则上必须立即退还未授权支付交易的金额，即使它认为客户因重大过失而使诈骗得逞。法院对 PSD2 规则的解释是，即时退款与最终确定由谁承担损失属于两个不同阶段。案件源于波兰一起钓鱼攻击：一名波兰银行客户在网购平台出售物品，冒充买家的人发来一个声称用于确认交易的虚假链接，链接将她引向仿冒其银行页面的网站，她在该网站输入了网上银行登录信息，诈骗者随即用这些信息从账户转走约 3,000 波兰兹罗提，约合 700 欧元。客户次日通知银行和警方，但银行拒绝退款，理由是她泄露了银行信息且未妥善保管个性化安全凭据，构成重大过失。客户向波兰法院提出异议，科沙林地区法院请求欧盟法院裁定 PSD2 第 73 条和第 74 条是否允许银行在认为损失源于客户重大过失时拒绝即时退款。法院给出否定回答：支付服务提供者须在知悉交易或收到通知后的次一营业日结束前完成退款，必要时将账户恢复至未执行该交易时的状态。法院同时强调，欺诈与过失的区分至关重要，对重大过失的单纯怀疑不能适用即时退款的例外。
FBI 与 CISA 警告 AI 生成钓鱼信息或威胁美国中期选举
据 Analytics Insight 报道，美国联邦调查局（FBI）与网络安全和基础设施安全局（CISA）于 2026 年 10 月 16 日发布警报称，在 11 月中期选举前，AI 生成的钓鱼邮件与短信可能对选举官员、候选人及政治组织构成风险。攻击者或利用 AI 制作看似可信的邮件和短信，诱使收件人点击恶意链接、泄露登录凭据或提供本应保密的信息，目的是窃取密码、获取敏感信息或侵入选举官员与竞选团队使用的账号。警报指出，AI 工具让犯罪分子更容易产出措辞专业、语气可信的内容，仿冒官方通知的邮件与冒充同事或服务商的短信更难识别，相关担忧在于攻击者为不同目标快速定制消息的速度。选举办公室掌握敏感信息并依赖数字系统协调工作，竞选团队则处理选民数据、内部通信和账号凭据，因而成为有吸引力的目标。一旦邮箱账号被入侵，私人往来可能暴露，攻击者还可借这一可信地址继续发送欺诈邮件，干扰运作并在敏感时期制造混乱。警报强调，即使信息看似正规，对意外的密码或机密信息索取也应保持警惕；但这并不意味着选举流程本身已遭入侵。
Check Point：三季度品牌钓鱼中 Microsoft 占比升至 33%
据 Help Net Security 报道，Check Point Research 追踪的 2026 年第三季度品牌仿冒攻击中，Microsoft 占 33%，高于上一季度的 23%，约为其他任何品牌的四倍，Apple 与 Google 各占 8%，Dropbox 和 YouTube 排名上升幅度最大。研究团队称，攻击者偏爱 Microsoft 是因窃得凭据可打开整个企业环境，涵盖邮件、文件和协作工具，而其他热门品牌主要通向个人账号。报告另举报告期外案例：2026 年 10 月一封钓鱼邮件借用 Claude 和 Anthropic 品牌，称一笔 500 欧元付款失败，威胁暂停 API 访问和 Claude 席位，“Update payment method”按钮最终导向收集付款信息与账号凭据的流程。9 月注册的仿冒 Google Antigravity 网站展示一条 Linux 安装命令，该命令解码并执行隐藏指令，从外部服务器下载运行脚本，从而可在受害者电脑上执行代码。仿冒 Docusign 的网站 9 月起出现并在 10 月初继续注册，页面以“Update Required”要求更新 Docusign Reader，点击“Continue”会下载远程监控管理产品 FleetDeck 安装程序，Check Point 认为此举意在未授权访问受害者电脑。
Sublime称ICS日历钓鱼5至9月激增约33000%
据 Gadget Review 报道，安全公司 Sublime 表示，2026 年 5 月至 9 月间利用日历邀请（ICS）实施的钓鱼活动增长约 33000%，其中 5 月至 6 月环比增长 282%，6 月至 7 月增长 338%，此后增幅超过 1000%。报道强调这些数字来自 Sublime 自身的遥测与检测数据，并非对互联网上全部日历钓鱼的统一统计。攻击者利用用户对日历软件的信任，而部分设置会放大风险：日历平台处理邀请的方式与普通邮件不同，恶意事件即使在关联邮件被标记为垃圾邮件时也可能直接落入日历。已报告的活动中，邀请通常来自陌生发件人，带有付款、账号停用、逾期发票或退款期限等紧急措辞，描述中可能含链接、二维码或电话号码，指向页面常仿冒 Google、Microsoft、PayPal 或某家银行，但域名与被仿冒机构并不一致。报道建议核实前不与可疑事件交互，不点击链接、二维码、附件或拨打其中号码，回复拒绝也可能暴露账号活跃，应删除并举报。Google Calendar 可将“Add invitations to my calendar”设为“Only if the sender is known”；Microsoft 365 用户应把可疑邮件标记为垃圾邮件或钓鱼。若已输入凭据，应通过官方网站修改密码并启用多因素认证（MFA），同时通知 IT 或安全团队。
Keeper Security 推出本地 AI 钓鱼防护以阻断凭据窃取
据 IT Security Guru 报道，Keeper Security 推出一项新的 AI 钓鱼防护功能，旨在阻止用户在欺诈网站上输入凭据。该功能通过 Keeper Browser Extension 提供，利用本地 AI 引擎识别仿冒域名、仿造网站和品牌仿冒行为，在浏览器中直接发现可疑登录页面，力求在敏感信息到达犯罪分子之前阻断凭据窃取。报道援引 2026 年 Verizon 数据泄露调查报告称，凭据滥用涉及近 40% 的泄露事件，而犯罪分子正越来越多地使用生成式 AI 制作逼真的欺诈网站和登录门户，使钓鱼更难被用户和传统安全工具识别。与可能依赖云端分析的传统工具不同，Keeper 的新功能完全在用户设备上运行机器学习，基于零知识架构在本地分析网站而不共享用户数据。该功能会自动检查域名抢注、可疑 IP 地址、异常 URL 结构和未经授权却索取密码的网站等特征，发现潜在威胁时显示警告并说明具体指标，用户可查看、忽略或在受影响网站停用 Keeper。该功能为可选项且默认关闭，企业 IT 管理员可通过 Keeper Admin Console 集中启用管理，个人用户可在扩展内设置，目前以选择加入方式在 Keeper Browser Extension 18.2.0 版本中提供。
CSX 披露 Microsoft 365 环境遭未授权访问并涉及社会安全号码
据 Claim Depot 报道，总部位于佛罗里达州杰克逊维尔的货运铁路公司 CSX 披露了一起涉及未经授权访问其 Microsoft 365 环境的数据泄露事件，公司确认存在两起相互独立且互不关联的事件。第一起事件中，CSX 获悉一家第三方供应商可能在 2026 年 4 月向未授权方披露了公司数据，调查无法排除与现任及前任员工和第三方有关的信息被共享给未授权方的可能性。第二起事件始于 2026 年 5 月 29 日，一名 CSX 员工回应了一通语音钓鱼（vishing）电话，使未授权方得以访问公司的 Microsoft 365 环境；5 月 29 日至 6 月 9 日期间，该未授权方访问并获取了环境中部分文件。CSX 于 2026 年 6 月因该员工账号出现异常活动而首次获知此事，并在 8 月 26 日确定受影响文件中至少一份含有个人信息。泄露信息类型包括姓名、社会安全号码、驾照号码和银行信息。公司自 2026 年 10 月 20 日起向新罕布什尔州和佛蒙特州总检察长披露，并于同日开始通知受影响个人，同时通过 Epiq Privacy Solutions ID 免费提供信用监控和身份保护服务，受影响个人可凭通知函中的激活码在线注册，或致电咨询，公司另设免费事件响应专线。
新加坡警方：7 月以来 Carousell 钓鱼诈骗损失逾 18 万新元
据《海峡时报》报道，新加坡警方在 10 月 23 日发布的公告中表示，自 7 月以来至少发生 63 起针对 Carousell 的钓鱼诈骗案件，损失金额至少 18 万新元。在这类骗局中，诈骗分子通过 Carousell 应用内消息或电子邮件冒充有意购买的买家接触受害者，随后说服对方将沟通转移至 WhatsApp 或 Telegram 等平台。诈骗分子在这些平台上发送类似 Carousell 发票的 PDF 文件，内含二维码和链接，声称用于付款或确认交易；部分案件中还会发送使用“carousell.app.link”域名的额外链接，使钓鱼链接显得可信。受害者扫描二维码或点击链接后，会被引导至仿冒 Carousell 官网的虚假网站，由聊天机器人引导其完成所谓的银行账户验证以接收付款，随后再被导向仿冒银行网站的钓鱼页面，被要求提供网上银行凭据、信用卡信息和一次性密码，或批准数字令牌通知。此后，受害者的信用卡或银行账户出现未授权交易，包括向境外卡转账。警方在 8 月 26 日发布上半年诈骗统计数据时表示，2026 年前六个月诈骗损失为 4.106 亿新元，低于 2025 年同期的 5.002 亿新元，并警告诈骗仍是新加坡的主要犯罪类型。公众可拨打 24 小时 ScamShield 热线 1799 或访问 scamshield.gov.sg 获取信息。
供稿：北京中科易安科技有限公司（公共互联网反网络钓鱼成员单位）
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
转载自 CSDN-专业IT技术社区
原文链接：https://blog.csdn.net/fireroothacker/article/details/170026952
