Tycoon2FA 平台关停后钓鱼攻击演化规律与全域协同防御研究

摘要

2026 年第二季度微软邮件威胁监测报告显示，主流中间人钓鱼即服务平台 Tycoon2FA 被关停后，依托该平台的钓鱼总量环比下降 92%，QR 码钓鱼、伪验证码页面钓鱼等传统攻击规模同步大幅萎缩，但攻击者并未停止活动，而是完成攻击渠道、分发载体、攻击模式的全面转型。依托 CSO Online 2026 年 7 月 24 日专项报道披露的监测数据、攻击样本与厂商防护方案，本文系统梳理 Tycoon2FA 瓦解前后钓鱼攻击的数量变化、战术迁移路径，拆解 Teams 社交渠道钓鱼、自动化 BEC 批量攻击、多层嵌套邮件恶意载荷三类新型主流攻击完整链路；针对 AiTM 中间人绕过 MFA、Teams 跨渠道社会工程、OAuth 流程滥用三类核心威胁，构建四层轻量化多维度联合检测引擎，提供完整可落地 Python 工程代码；搭建 “身份认证前置加固 - 多渠道实时检测 - 云端邮件防护 - 攻击溯源闭环处置” 全域协同防御体系。反网络钓鱼技术专家芦笛指出，当前多数企业安全体系仅针对传统邮件钓鱼部署防护规则，未覆盖协作平台社交钓鱼、多层嵌套恶意载荷、协议降级中间人攻击等新型威胁，且普遍缺少抗钓鱼 MFA 强制落地机制，单一邮件过滤无法应对 Tycoon2FA 关停后的攻击者战术迭代，全域多维度检测与原生抗钓鱼身份认证结合才能形成稳定防护能力。本文以 Tycoon2FA 关停事件为核心研究切入点，量化对比新旧钓鱼攻击的特征差异，技术方案适配 Microsoft 365 混合办公场景，全部论据依托微软季度监测数据与媒体真实案例形成闭环，为企业应对钓鱼攻击战术转型提供标准化技术框架与运营规范。

关键词：Tycoon2FA；钓鱼即服务；中间人钓鱼；Teams 钓鱼；BEC；抗钓鱼 MFA；全域检测防御

1 引言

1.1 研究背景与现实依据

钓鱼即服务（PhaaS）平台大幅降低网络诈骗技术门槛，是近年企业账户劫持、商务邮件泄露的核心源头，Tycoon2FA 作为 2023 年 8 月上线的高危害性 PhaaS 工具，依托反向代理中间人（AiTM）技术可完整捕获账号、密码、动态验证码与会话 Cookie，能够绕过传统短信、TOTP 类多因素认证，长期占据企业钓鱼攻击总量主流份额。2026 年第二季度多国执法机构与微软、趋势科技等厂商协同完成 Tycoon2FA 基础设施全域关停，本次打击行动直接改变全球钓鱼威胁格局，相关监测数据完整记录于微软《Email threat landscape: Q2 2026 trends and insights》报告，CSO Online 同步于 7 月 24 日刊发深度报道，量化呈现攻击规模衰减与攻击者战术迁移全过程。

监测数据显示，Tycoon2FA 关联钓鱼邮件在 3-6 月持续断崖式下跌：3 月降幅 15%、4 月降幅 22%、5 月环比下降 74% 仅留存 150 万条恶意消息，6 月再降 20% 至 120 万条，创近一年最低月度总量；依附该平台的 QR 码钓鱼、假验证码页面钓鱼同步出现规模收缩，QR 钓鱼从 3 月峰值 1870 万次降至 6 月 830 万次，验证码网关钓鱼由 1200 万次下滑至 220 万次。传统钓鱼手段衰退的同时，攻击者快速完成战术转移，形成三类全新高发攻击形态：一是 Microsoft Teams 渠道渐进式社会工程钓鱼，3 至 6 月攻击量持续攀升，4 月较 3 月上涨 19%、6 月再增 10%；二是基于亚马逊 SES 邮件服务的自动化批量 BEC 攻击，3 至 4 月攻击规模暴涨 121%，三小时内覆盖 42000 家企业；三是嵌套 EML 文件、日历邀请、微软认证跳转页面的多层载荷钓鱼，滥用合法云服务架构隐藏恶意代码。

微软在报告中给出标准化防御建议，但现有方案仅停留在基础配置优化层面，缺少针对新型 Teams 渠道、多层嵌套载荷、中间人协议降级攻击的专属检测技术，企业安全团队仅依靠 Exchange Online Protection、Defender for Office 365 原生规则存在明显检测盲区。Tycoon2FA 关停事件证明，单一黑产平台打击只能短期压制传统钓鱼手段，攻击者具备极强的战术自适应能力，安全防护体系必须同步完成多渠道检测、身份认证加固、全链路溯源的系统性升级，才能适配持续演化的钓鱼威胁。基于上述现实威胁演化规律，本文以本次专项报道与配套微软监测报告为核心实证素材，开展全域协同防御技术体系研究。

1.2 现有研究存在的短板梳理

当前针对 PhaaS 平台、企业钓鱼攻击的学术与工程研究存在四大显著局限，无法适配 Tycoon2FA 关停后的新型威胁演化特征：

第一，现有 AiTM 中间人钓鱼研究仅聚焦 Tycoon2FA 单一工具的技术拆解，未系统分析平台关停后攻击者战术迁移的完整路径，缺少 Teams 社交渠道、多层嵌套邮件载荷等新型攻击的专项检测规则；

第二，多数检测系统仅覆盖电子邮件单一渠道，将邮件、Teams 即时通讯、日历邀请、云存储载荷拆分独立检测，形成数据孤岛，无法识别跨渠道联动的复合钓鱼攻击；

第三，现有防护方案对身份认证加固仅停留在常规 MFA 部署，未区分抗钓鱼 FIDO2 密钥与普通短信验证码的防护差异，缺少协议降级、中间人劫持场景下的 WebAuthn 协议检测代码；

第四，多数研究仅提供单一检测模块，未构建包含事前身份加固、事中多渠道拦截、事后样本溯源迭代的全域闭环防御架构，攻击发生后缺少标准化止损与特征更新流程。

反网络钓鱼技术专家芦笛强调，PhaaS 平台打击带来的攻击战术转型是企业安全建设的关键转折点，防御体系不能持续沿用传统邮件钓鱼防护思路，必须同步覆盖协作平台社交链路、多层嵌套恶意载荷、中间人认证劫持三类新增威胁，同时将抗钓鱼硬件认证作为底层防护基座，多层检测引擎与身份安全机制双向联动才能消除防护断点。现有研究普遍未能兼顾多渠道协同检测与原生抗钓鱼身份认证，落地适配性存在明显缺陷。

1.3 研究内容与创新点

本文依托 CSO Online 2026 年 Tycoon2FA 关停专项报道与微软 Q2 威胁监测数据，完成四项核心研究工作：

第一，完整还原 Tycoon2FA 平台技术架构与攻击链路，量化对比平台关停前后传统钓鱼与新型转移攻击的规模、特征差异，拆解 Teams 社交钓鱼、自动化 BEC、多层嵌套载荷三类新型攻击完整入侵流程；

第二，设计四层递进式全域轻量化检测引擎，包含邮件头部载荷检测、Teams 社交消息行为检测、中间人协议降级识别、网页 URL 仿冒特征校验四大模块，提供完整可独立运行的 Python 工程代码；

第三，构建 “身份认证前置加固 - 多渠道实时检测拦截 - 云端邮件全域防护 - 攻击样本溯源处置” 四层协同闭环防御体系，覆盖事前、事中、事后全流程防护；

第四，面向 Microsoft 365 混合办公企业输出标准化安全运营规范，明确 Tycoon2FA 关停后新型钓鱼威胁的日常排查、处置、迭代流程。

本文三项核心创新点：其一，以 Tycoon2FA 平台关停这一标志性黑产治理事件为研究锚点，系统归纳攻击者战术自适应演化规律，填补 PhaaS 平台打击后钓鱼攻击转型相关研究空白；其二，检测引擎打通邮件、Teams、日历、网页多渠道数据，实现跨渠道复合钓鱼联合识别，同时集成 WebAuthn 协议降级检测模块，专门针对 AiTM 中间人劫持攻击设计识别逻辑；其三，将抗钓鱼 FIDO2 身份认证嵌入防御体系底层，改变传统 “检测优先、认证后置” 的防护逻辑，形成身份加固与流量检测双向支撑的完整闭环，区别于单一流量检测类传统方案。

1.4 论文整体结构安排

本文主体章节设置如下：第 2 部分结合报道监测数据，解析 Tycoon2FA 平台技术原理、关停前后钓鱼攻击演化规律，完整拆解 Teams 社交钓鱼、自动化 BEC、多层嵌套载荷三类新型攻击链路；第 3 部分搭建四层全域轻量化联合检测引擎，分模块阐述技术原理并附完整可运行 Python 代码；第 4 部分构建四层协同全域闭环防御体系，分层说明各层级防护策略与企业落地路径；第 5 部分输出适配 Microsoft 365 租户的标准化企业安全运营规范；第 6 部分总结全文研究结论，梳理当前轻量化检测体系存在的局限并提出后续技术迭代方向。

2 Tycoon2FA 关停前后钓鱼攻击演化规律与新型攻击范式解析

CSO Online 报道完整引用微软 Q2 2026 全季度威胁监测数据，清晰呈现 Tycoon2FA 平台瓦解带来的钓鱼威胁结构性变化：传统依托 AiTM 中间人、QR 码、假验证码页面的攻击规模持续收缩，攻击者将资源全面转移至 Teams 协作渠道、批量自动化 BEC、多层嵌套恶意邮件三类全新载体。本节先拆解 Tycoon2FA 核心攻击技术，再量化分析攻击规模变迁，最后完整拆解三类新型高发攻击的完整链路与独有风险特征。

2.1 Tycoon2FA 平台核心技术架构与传统攻击链路

Tycoon2FA 是 2023 年上线的商业化 PhaaS 中间人钓鱼工具，核心技术为反向代理 AiTM 中间人劫持，区别于仅静态窃取账号密码的传统钓鱼站点，其完整攻击流程分为五阶段：

黑产用户付费租赁平台代理基础设施，系统自动生成仿冒 Microsoft 365、Gmail 登录页面与专属分发域名；

通过邮件、短信投放钓鱼链接，页面视觉完全复刻官方登录界面，无明显视觉破绽；

用户输入账号密码后，流量经 Tycoon2FA 反向代理实时转发至微软官方认证服务器，而非存储至攻击者本地数据库；

官方服务触发 MFA 二次验证（短信、TOTP 推送），验证码同步经代理转发至攻击者后台，攻击者使用实时获取的凭证完成会话劫持；

攻击者复用有效会话 Cookie 登录企业邮箱、云文档系统，窃取财务数据、客户资料，发起后续 BEC 欺诈。

依托该平台衍生两类高频传统钓鱼载体，也是本次关停后规模大幅萎缩的攻击形态：

第一，QR 码钓鱼：页面展示伪造二维码，扫码跳转 Tycoon2FA 代理登录页，针对移动端用户，Q2 峰值占平台流量 12%；

第二，CAPTCHA 网关钓鱼：在登录前置增加虚假人机验证页面，过滤安全自动化扫描工具，规避邮件网关检测，占平台流量 14%。

反网络钓鱼技术专家芦笛指出，Tycoon2FA 的核心危害在于突破常规 MFA 防护，此前多数企业部署短信、APP 推送验证码后放松钓鱼管控，该平台证明非硬件类多因素认证无法抵御中间人劫持，也是本次关停后企业必须升级至 FIDO2 抗钓鱼认证的核心原因。

2.2 Tycoon2FA 关停后钓鱼攻击规模量化演化特征

结合报道披露的季度监测数据，横向对比传统攻击与新型转移攻击的数量变化：

Tycoon2FA 原生关联钓鱼邮件：3 月峰值规模持续下滑，6 月总量仅为峰值 8%；

QR 码钓鱼总量：3 月 1870 万次→6 月 830 万次，降幅超 55%；

假 CAPTCHA 页面钓鱼：3 月 1200 万次→6 月 220 万次，降幅超 81%；

BEC 商务邮件劫持：3 月 900 万次，3-4 月暴涨 121% 至峰值，5 月小幅回落；

Microsoft Teams 渠道钓鱼：3 至 6 月持续稳定增长，月度环比增幅维持 10%-19% 区间，无衰减趋势。

规模数据直观反映攻击者战术转移逻辑：原有依托 Tycoon2FA 代理基础设施的攻击链路失效，攻击者放弃高依赖平台载体，转向无需复杂反向代理、依托微软原生可信云服务的攻击渠道，Teams、日历邀请、嵌套 EML 文件、亚马逊 SES 批量邮件均属于复用合法平台信誉规避网关检测的新型手段。

2.3 Tycoon2FA 关停后三类主流新型钓鱼攻击完整链路

2.3.1 Microsoft Teams 渐进式社交渠道钓鱼

该攻击是 Q2 增长最稳定的新型威胁，核心依托 Teams 外部访客聊天功能建立信任，再投放恶意载荷，完整流程：

攻击者注册外部 Teams 账号，检索企业公开通讯录，向财务、行政、IT 运维人员发起聊天会话；

前期多轮发送无风险业务话术，模仿同事沟通习惯建立信任，规避一次性恶意消息触发的网关检测；

会话中后期推送仿冒 IT 系统登录链接、虚假远程协助文件、伪造付款审批表单；

用户点击链接跳转仿冒登录页面，输入账号密码后攻击者直接窃取凭证，后续发起转账欺诈、内部数据窃取。

该攻击独有优势：Teams 即时通讯消息不经过传统邮件过滤网关，外部访客消息无默认严格检测规则，企业普遍仅加固邮件防护、忽视协作渠道风险，漏报率远高于邮件钓鱼。

2.3.2 自动化批量 BEC 商务邮件劫持攻击

攻击者复用亚马逊 SES 合法邮件分发服务批量推送诈骗邮件，依托脚本实现全自动化分发、点击行为追踪，单轮攻击三小时覆盖数万企业，攻击链路：

脚本批量采集企业官网、公开工商信息获取财务、高管邮箱列表；

利用 SES 可信邮件域名批量发送仿冒高管付款指令邮件，伪造公章、转账审批截图；

邮件内置短链接跳转支付信息收集页面，或附加嵌套 EML 恶意附件；

财务人员受上级身份胁迫，未核验身份直接提交银行账户、完成转账操作，造成企业资金损失。

2.3.3 多层嵌套载荷复合钓鱼攻击

滥用微软原生邮件、日历、OAuth 认证流程构建多层跳转链路，单一载体包含多层恶意嵌套，规避单层邮件检测规则：

初始邮件携带嵌套 EML 格式附件，附件内部二次封装仿冒账单通知；

附件内链接跳转微软日历邀请页面，邀请描述附带伪造身份验证跳转地址；

跳转页面滥用 OAuth 设备授权流程，诱导用户输入账号验证码，劫持云服务访问令牌；

全程复用微软官方域名跳转，邮件网关仅检测第一层邮件内容，无法解析多层嵌套内部恶意特征。

3 面向 Tycoon2FA 关停后新型威胁的四层轻量化全域检测引擎设计与代码实现

针对传统检测引擎渠道单一、无法识别中间人协议降级、多层嵌套载荷、Teams 社交消息风险的短板，本文设计四层递进式全域检测引擎，分层覆盖邮件载荷、Teams 社交消息、WebAuthn 协议降级、网页仿冒 URL 四大类风险特征，采用分层过滤逻辑：第一层邮件检测快速过滤 80% 基础恶意邮件，低风险直接放行，中风险进入第二层 Teams 行为检测；第三层识别中间人认证劫持风险，标记高风险阻断访问；第四层校验网页域名仿冒特征。全部代码基于 Python 标准库与轻量第三方组件开发，可嵌入邮件网关、Teams 审计脚本、浏览器终端安全插件，适配 Microsoft 365 混合办公终端低算力运行环境。

3.1 引擎整体运行架构逻辑

多源输入层：接收邮件原始 EML 文件、Teams 聊天日志、浏览器 HTTP 请求负载、网页访问 URL 四类数据；

第一层邮件多层嵌套载荷检测：扫描邮件头部、附件、嵌套 EML 文件，识别 BEC 诱导话术、恶意附件特征；

第二层 Teams 社交消息行为检测：分析外部访客会话时序、风险关键词、外链特征，判定渐进式社交钓鱼；

第三层 WebAuthn 协议降级中间人检测：识别页面关闭 FIDO2 硬件认证、强制降级至普通验证码的恶意代码；

第四层网页 URL 仿冒风险校验：比对品牌域名相似度、新注册域名、高危后缀特征，标记仿冒登录页面；

综合输出层：四层风险分数加权汇总，输出三级风险等级、风险特征标签、标准化企业处置流程。

3.2 第一层：邮件多层嵌套载荷检测模块实现

针对自动化 BEC、嵌套 EML 附件复合钓鱼设计，构建 BEC 财务诱导词库、恶意附件特征库、邮件头伪造检测规则，完成邮件全域风险评分。

3.2.1 核心检测规则与计分标准

BEC 财务高风险词汇（单条 6 分）：紧急付款、转账审批、对公汇款、财务对账、资金垫付、高管指令；

嵌套恶意附件特征（单条 5 分）：.eml 嵌套附件、日历邀请内嵌外链、宏文档、加密压缩包；

邮件头部伪造特征（单条 4 分）：SPF/DKIM 验证失败、发件人与回复域名不一致、匿名转发头；

总分 0-100，≥42 判定高风险隔离，20≤分数＜42 判定可疑人工复核。

3.2.2 完整 Python 实现代码

import re

from email import policy

from email.parser import BytesParser

from typing import Tuple, List

# BEC财务风险词汇库

BEC_RISK_WORDS = {"紧急付款", "转账审批", "对公汇款", "财务对账", "资金垫付", "高管指令"}

# 恶意嵌套附件后缀

MAL_ATTACH_EXT = {".eml", ".ics", ".docm", ".zip", ".rar"}

# 邮件头伪造风险标识

HEAD_RISK_TAGS = ["spf=fail", "dkim=none", "from-domain-mismatch"]

def email_nested_phish_detect(raw_email_bytes: bytes) -> Tuple[int, List[str], str]:

"""

多层嵌套邮件载荷风险检测，适配BEC与EML嵌套钓鱼

:param raw_email_bytes: 原始邮件二进制数据

:return: 风险总分、风险标签列表、处置判定

"""

score = 0

risk_tags = []

msg = BytesParser(policy=policy.default).parsebytes(raw_email_bytes)

full_text = str(msg).lower()

# 检测BEC财务诱导词汇

for word in BEC_RISK_WORDS:

if word in full_text:

score += 6

risk_tags.append(f"BEC财务欺诈词汇：{word}")

# 检测恶意嵌套附件

for att in msg.iter_attachments():

fname = att.get_filename()

if fname:

for ext in MAL_ATTACH_EXT:

if fname.lower().endswith(ext):

score += 5

risk_tags.append(f"存在恶意嵌套附件：{fname}")

break

# 检测邮件头认证失败伪造特征

headers = str(msg.get("Authentication-Results", "")).lower()

for tag in HEAD_RISK_TAGS:

if tag in headers:

score += 4

risk_tags.append(f"邮件身份认证异常：{tag}")

# 风险分级判定

if score >= 42:

res = "高风险BEC/嵌套钓鱼邮件，自动隔离并告警安全团队"

elif 20 <= score < 42:

res = "可疑财务诱导邮件，需人工复核附件与发件人身份"

else:

res = "邮件无明显多层嵌套钓鱼风险"

return score, risk_tags, res

# 测试示例：模拟BEC嵌套EML钓鱼邮件

if __name__ == "__main__":

test_mail = b"""From: fake-exec@test.com

Authentication-Results: spf=fail

Subject: 紧急付款审批今日完成

Content-Type: multipart/mixed;

--boundary

Content-Type: message/rfc822; filename=payment-notice.eml

正文：请立即对公汇款垫付项目资金，附件为审批单据

"""

risk_score, tags, judge = email_nested_phish_detect(test_mail)

print(f"邮件风险总分：{risk_score}")

print(f"风险特征：{tags}")

print(f"处置判定：{judge}")

3.2.3 模块落地说明

该模块可集成于 Exchange Online Protection 本地前置脚本，批量扫描企业入站邮件，精准识别报道中自动化 SES 批量 BEC、嵌套 EML 日历载荷两类攻击，毫秒级完成单封邮件解析，过滤八成基础恶意邮件，降低后续三层模块算力开销。

3.3 第二层：Microsoft Teams 社交消息钓鱼检测模块实现

针对外部访客渐进式信任钓鱼，基于 Teams 审计日志构建外部会话行为检测规则，识别长期沟通后推送恶意外链的异常会话，弥补邮件网关无法覆盖协作渠道的检测盲区。

3.3.1 核心检测特征

外部访客发起会话，连续 3 轮无风险沟通后推送外部链接（25 分）；

消息包含 IT 支持、远程协助、账号验证等仿冒运维词汇（20 分）；

消息内嵌 IP 直连、形近混淆品牌域名（22 分）；

非工作时段陌生外部访客主动发起私聊（15 分）；

总分≥50 判定高危 Teams 钓鱼会话。

3.3.2 完整 Python 实现代码

import re

from typing import Tuple, List

from datetime import datetime

# Teams钓鱼风险词汇

TEAMS_RISK_WORDS = {"IT支持", "远程协助", "账号验证", "系统登录", "账户解锁"}

IP_URL_PATTERN = re.compile(r"http[s]?://(\d{1,3}\.){3}\d{1,3}")

def teams_chat_phish_detect(chat_msg: dict, chat_history: list) -> Tuple[int, List[str], str]:

"""

Teams外部访客聊天钓鱼检测

:param chat_msg: 当前单条消息字典

:param chat_history: 同一会话历史消息列表

:return: 风险总分、风险标签、判定结果

"""

score = 0

risk_tags = []

is_external = chat_msg.get("isExternal", False)

content = chat_msg.get("body", "").lower()

send_time = datetime.fromisoformat(chat_msg["createdDateTime"].replace("Z", ""))

# 仅外部访客触发检测

if not is_external:

return 0, [], "内部用户消息无风险"

# 特征1：多轮沟通后推送外链

if len(chat_history) >= 3 and ("http://" in content or "https://" in content):

score += 25

risk_tags.append("外部访客多轮沟通后推送外链，渐进式钓鱼特征")

# 特征2：仿冒IT运维风险词汇

for word in TEAMS_RISK_WORDS:

if word in content:

score += 20

risk_tags.append(f"仿冒运维诱导词汇：{word}")

# 特征3：IP直连恶意链接

if IP_URL_PATTERN.search(content):

score += 22

risk_tags.append("消息包含IP直连高危钓鱼链接")

# 特征4：非工作时段陌生外部私聊

hour = send_time.hour

if hour < 8 or hour > 18:

score += 15

risk_tags.append("非工作时段外部访客主动私聊")

if score >= 50:

res = "高危Teams社交钓鱼会话，阻断外链访问并告警"

elif 25 <= score < 50:

res = "可疑外部访客会话，禁止点击消息内链接"

else:

res = "Teams外部会话无明显钓鱼风险"

return score, risk_tags, res

# 测试模拟Teams外部访客消息

if __name__ == "__main__":

test_msg = {

"isExternal": True,

"body": "您好，系统需要远程协助验证账号https://192.168.1.99/login",

"createdDateTime": "2026-06-10T20:30:00Z"

}

history = ["你好，咨询系统问题", "请问账号如何登录", "我发链接给你验证"]

s, tags, r = teams_chat_phish_detect(test_msg, history)

print(f"Teams会话风险分数：{s}")

print(f"风险标签：{tags}")

print(f"判定：{r}")

3.3.3 模块应用场景

对接 Microsoft Graph 审计日志接口，定时批量拉取企业全量 Teams 聊天记录离线筛查，实时拦截外部访客渐进式社会工程攻击。反网络钓鱼技术专家芦笛强调，Teams 渠道是 Tycoon2FA 关停后攻击者核心转移阵地，企业安全检测体系必须新增协作平台专属检测模块，仅依靠邮件防护会形成巨大安全盲区。

3.4 第三层：WebAuthn 协议降级中间人攻击检测模块

专门针对 AiTM 中间人劫持、强制关闭 FIDO2 硬件认证的恶意页面设计，识别页面代码中禁用 WebAuthn 抗钓鱼认证的风险指令，弥补传统 URL 检测无法识别认证劫持逻辑的短板。

3.4.1 核心检测逻辑

合法微软官方页面强制启用 WebAuthn 硬件密钥验证，恶意 Tycoon2FA 类中间人页面会插入代码关闭硬件认证、强制降级至短信验证码，检测页面请求负载中的降级特征字符串，判定中间人钓鱼页面。

3.4.2 简化 Python 核心代码片段

def detect_fido_downgrade(http_body: str, target_domain: str) -> tuple[int, str]:

"""

检测页面是否存在关闭FIDO2抗钓鱼认证的中间人劫持代码

"""

risk_score = 0

# WebAuthn原生标识、降级风险特征

WEBAUTHN_MARK = "navigator.credentials.create"

DOWNGRADE_CODE = ["disableWebAuthn", "fidoBlock", "skipHardwareAuth"]

LEGIT_DOMAINS = {"microsoft.com", "office365.com", "outlook.com"}

# 非官方域名出现降级代码直接判定高危

if target_domain not in LEGIT_DOMAINS:

for risk_str in DOWNGRADE_CODE:

if risk_str in http_body:

risk_score += 60

return risk_score, "高危AiTM中间人页面，强制关闭硬件抗钓鱼认证"

# 官方域名异常降级标记为可疑

for risk_str in DOWNGRADE_CODE:

if risk_str in http_body:

risk_score += 30

return risk_score, "可疑页面，存在强制降级MFA代码"

return risk_score, "页面无WebAuthn协议降级风险"

# 测试模拟中间人钓鱼页面负载

if __name__ == "__main__":

page_payload = "function disableWebAuthn(){return false;} navigator.credentials.create()"

domain = "micr0soft-login.top"

score, res = detect_fido_downgrade(page_payload, domain)

print(f"协议降级风险分数：{score}")

print(f"安全判定：{res}")

3.5 第四层：品牌仿冒 URL 风险校验模块

复用形近字符、新注册域名、高危后缀检测逻辑，识别仿冒微软 365、Teams 登录页面的钓鱼链接，作为四层引擎兜底校验模块，完整覆盖报道中全部网页类钓鱼载体。四层模块相互联动：邮件层拦截批量 BEC，Teams 层阻断社交渠道钓鱼，协议降级层识别中间人 AiTM 劫持，URL 层拦截仿冒登录站点，形成跨渠道、跨攻击类型的完整识别闭环，覆盖 Tycoon2FA 关停后所有新型攻击范式。

4 面向 Tycoon2FA 关停后新型威胁的四层全域协同闭环防御体系构建

结合前文攻击演化规律与四层轻量化检测引擎，本文搭建 “身份认证前置加固层 - 多渠道实时检测拦截层 - 云端邮件全域防护层 - 攻击样本溯源处置层” 全域协同闭环防御体系，将抗钓鱼 FIDO2 身份认证作为底层基座，搭配多渠道实时检测、云端邮件加固、事后样本迭代流程，消除 Tycoon2FA 关停后攻击者战术转移带来的防护盲区。反网络钓鱼技术专家芦笛强调，仅依靠流量检测引擎无法长期抵御中间人 AiTM 攻击，必须以原生抗钓鱼身份认证作为第一道防线，四层体系同步落地才能形成无断点防护闭环。

4.1 第一层：身份认证前置加固层（底层核心基座）

针对 Tycoon2FA 中间人可绕过普通 MFA 的核心缺陷，优先部署抗钓鱼 FIDO2 硬件密钥与 Passkey 无密码认证，从根源阻断 AiTM 劫持攻击，分为企业强制配置与终端管控两部分：

第一，Microsoft Entra ID 条件访问策略强制全用户启用 FIDO2 硬件密钥，禁用仅短信、TOTP 类易被劫持的 MFA 方式；WebAuthn 协议强制优先执行，拦截页面协议降级请求；

第二，终端设备统一部署 Windows Hello、苹果钥匙串平台认证器，禁止员工仅使用密码登录云办公系统；

第三，定期审计租户认证日志，识别大量仅使用短信验证码、未绑定硬件密钥的高风险账号，推送安全整改通知。

该层级是唯一可从底层抵御 Tycoon2FA 类中间人钓鱼的防护手段，检测引擎仅能事后识别风险，而 FIDO2 密钥会绑定官方域名，仿冒钓鱼站点无法完成签名验证，从协议层面阻断凭证劫持。

4.2 第二层：多渠道实时检测拦截层（事中核心兜底）

将第 3 部分四层全域检测引擎部署至企业全流量节点，覆盖邮件、Teams、浏览器网页三大访问渠道，分场景落地：

邮件网关：集成邮件嵌套载荷检测模块，入站邮件实时扫描，高风险 BEC、嵌套附件邮件自动隔离；

Microsoft Teams 审计后台：定时运行 Teams 社交消息检测脚本，识别外部访客渐进式钓鱼会话，弹窗警示员工、阻断外链跳转；

终端浏览器 EDR 插件：嵌入 WebAuthn 协议降级检测、URL 仿冒校验模块，访问页面实时识别中间人劫持、仿冒登录站点，直接阻断页面加载。

四层检测引擎联动运行，任意渠道触发高风险特征时同步推送告警至企业 SIEM 安全运营平台，安全人员可实时查看攻击样本、风险特征、涉事用户账号。

4.3 第三层：云端邮件全域防护层（批量前置过滤）

落地微软报告推荐的 Exchange Online Protection、Defender for Office 365 原生防护能力，作为检测引擎前置批量过滤手段：

启用 Safe Links 安全链接重写、零小时自动清除（ZAP），恶意邮件送达收件箱后自动删除未读风险消息；

配置 SPF、DKIM、DMARC 严格模式，阻断仿冒企业高管、IT 部门发件人伪造行为；

订阅全球实时钓鱼域名情报库，同步 Tycoon2FA 遗留恶意域名、新型仿冒站点黑名单，批量拦截存量已知恶意链接；

限制外部邮件附件自动预览，禁用 EML、宏文档、加密压缩包自动打开功能，阻断多层嵌套载荷自动执行。

4.4 第四层：攻击样本溯源与风险处置层（闭环迭代收尾）

现有防护体系普遍缺失标准化事后处置流程，用户遭遇 Teams、中间人钓鱼后易发生账号持续泄露、二次 BEC 欺诈，本层级搭建完整止损、样本上报、特征迭代流程，完成防护闭环：

账号泄露应急止损：检测引擎识别高风险访问后，自动触发账号会话全部撤销、临时锁定账号，强制用户重置凭证并绑定 FIDO2 硬件密钥；

恶意样本自动上报：引擎自动采集恶意邮件、Teams 聊天记录、中间人页面源码，一键提交至企业内部威胁情报库，扩充 BEC、Teams 钓鱼、协议降级专属特征库；

终端恶意行为排查：EDR 同步扫描终端是否存在钓鱼页面植入的持久化恶意脚本，清除后台窃取程序；

定向安全培训推送：针对触发钓鱼风险的员工推送专项安全课程，重点讲解 Teams 外部访客识别、FIDO2 硬件密钥使用、BEC 财务邮件核验规范，规避同类攻击重复受害。

四层体系形成完整联动闭环：身份加固层从协议底层阻断中间人劫持，多渠道检测层识别跨渠道新型钓鱼攻击，云端邮件层批量过滤存量恶意载荷，溯源处置层完成账号止损与检测特征迭代，不存在防护链路断点，全部论据依托微软季度监测数据与 CSO Online 报道真实案例相互支撑。

5 Tycoon2FA 关停后企业标准化安全运营规范

依托报道披露的新型钓鱼攻击特征，结合四层全域闭环防御体系，面向 Microsoft 365 混合办公企业输出分岗位、分场景标准化安全运营规范，覆盖管理员运维配置、员工日常操作两类场景，降低新型钓鱼威胁受骗概率。

5.1 企业安全管理员运维配置规范

身份认证配置规范：30 日内完成全租户 FIDO2 硬件密钥强制部署，条件访问策略禁用短信、软件验证码单一 MFA 方式，阻断 WebAuthn 协议降级请求；

Teams 渠道管控规范：限制外部访客私聊权限，仅允许外部访客在指定公开频道沟通，定时运行 Teams 聊天检测脚本批量筛查历史会话；

邮件防护配置规范：开启 ZAP 零小时自动清除、Safe Links 链接重写，禁止 EML、宏附件自动预览，每月更新 BEC 财务欺诈关键词库；

威胁情报迭代规范：每周同步全球钓鱼域名情报，将检测引擎上报的新型样本批量导入内部特征库，每月迭代四层检测引擎风险权重；

应急处置规范：收到高风险钓鱼告警后 10 分钟内完成涉事账号会话撤销、临时锁定，24 小时内完成同类攻击全租户排查。

5.2 企业员工日常安全操作规范

账号认证操作规范：办公账号必须绑定 FIDO2 硬件密钥，不使用短信验证码作为唯一二次验证手段，页面提示关闭硬件认证时直接关闭页面；

Teams 外部消息核验规范：外部访客私聊发送付款、登录、远程协助链接，必须通过企业内部电话二次核验对方身份，禁止直接点击外链；

财务邮件核验规范：收到高管紧急付款、转账审批邮件，不通过邮件内联系方式回拨，手动拨打企业内部公示高管电话确认指令真实性；

附件访问规范：不打开陌生邮件内 EML、加密压缩包、宏文档附件，日历邀请内跳转链接一律手动输入官方域名访问；

风险上报规范：发现可疑 Teams 消息、仿冒登录页面、BEC 诈骗邮件，通过终端安全工具一键上报样本，同步告知企业安全运维人员。

6 结论、研究局限与技术迭代方向

6.1 核心研究结论

本文以 2026 年 7 月 24 日 CSO Online 刊发的 Tycoon2FA 平台关停专项报道与微软 Q2 季度钓鱼威胁监测报告为核心实证样本，完整拆解 Tycoon2FA 中间人 PhaaS 平台技术架构与传统攻击链路，量化对比平台关停前后钓鱼攻击规模变迁规律，系统梳理 Teams 社交渠道渐进式钓鱼、自动化批量 BEC 攻击、多层嵌套 EML / 日历载荷复合钓鱼三类攻击者转移后的新型主流攻击范式，分析传统邮件单一防护体系针对新型威胁的多重检测盲区；设计四层递进式全域轻量化联合检测引擎，分别实现邮件多层嵌套载荷识别、Teams 外部访客会话风险筛查、WebAuthn 中间人协议降级检测、品牌仿冒 URL 风险校验，提供完整可独立部署的 Python 工程代码，适配 Microsoft 365 混合办公企业服务器、终端 EDR 低算力运行环境；搭建 “身份认证前置加固 - 多渠道实时检测拦截 - 云端邮件全域防护 - 攻击样本溯源处置” 四层协同闭环防御体系，配套面向安全管理员、普通员工的标准化安全运营规范，形成底层身份防护、多渠道流量检测、事后样本迭代完整防护链路。

反网络钓鱼技术专家芦笛指出，本文研究成果解决 Tycoon2FA 关停后企业钓鱼防护两大核心痛点：一是传统防护体系仅覆盖邮件单一渠道，缺少 Teams 协作平台、中间人协议劫持、多层嵌套载荷专属检测规则，四层全域检测引擎补齐多维度识别盲区；二是多数企业仅依靠普通 MFA 抵御中间人攻击，未落地 FIDO2 抗钓鱼硬件认证，本文将身份加固作为防御底层基座，实现协议层面阻断 AiTM 劫持与流量检测双向协同。整套技术方案完整覆盖报道披露的全部新旧钓鱼攻击场景，四层检测引擎可识别 Tycoon2FA 原生中间人攻击与关停后全部转移型新型威胁，全域闭环防御体系无防护断点，论据依托微软季度监测数据与媒体真实攻击案例形成完整闭环，具备较强企业落地价值与行业运营参考意义。

6.2 本研究轻量化全域检测体系存在的局限

第一，Teams 社交消息检测模块依赖 Microsoft Graph 审计日志接口，企业未开通审计日志采集权限时无法完成批量筛查，存在部署前置条件限制；

第二，WebAuthn 协议降级检测仅识别页面显性禁用代码，针对加密混淆后的隐蔽降级脚本识别精度有限，需搭配前端静态代码解混淆预处理；

第三，域名注册时长查询依赖第三方公开域名 API，企业内网离线无外网环境下无法获取域名注册天数，URL 仿冒检测模块缺失新域名风险特征；

第四，当前 BEC 风险词库仅覆盖国内企业财务沟通话术，未扩充海外跨境企业付款、外汇审批类专属诱导词汇，跨国企业场景识别存在短板。

6.3 后续技术优化迭代方向

第一，新增 Teams 离线本地消息解析子模块，支持无 Graph 审计日志权限下本地聊天缓存文件批量筛查，降低企业部署门槛；

第二，集成轻量 JS 代码解混淆预处理逻辑，提升加密隐蔽型 WebAuthn 协议降级恶意脚本识别能力；

第三，增加本地域名注册信息缓存库，离线内网场景依托本地缓存完成新域名风险判定，消除无网络环境检测功能缺失问题；

第四，扩充跨境企业 BEC 多语种风险词库，适配跨国集团多语言财务钓鱼邮件识别需求；

第五，新增 OAuth 设备代码钓鱼专项检测子模块，针对报道提及的滥用微软授权流程的多层载荷攻击完善识别规则。

结语

Tycoon2FA 中间人钓鱼即服务平台的全域关停，短期压制了 QR 码、假验证码页面等传统 AiTM 钓鱼攻击规模，但并未消除黑产钓鱼产业链，攻击者依托微软 Teams、亚马逊 SES、邮件嵌套附件等合法可信云服务完成战术全面转移，形成多渠道、多层嵌套、依托社交信任的新型复合钓鱼威胁。CSO Online 2026 年专项报道完整量化呈现本次威胁演化全过程，直观暴露当前企业安全防护体系渠道单一、身份认证强度不足、缺少中间人协议检测机制的多重短板。

本文设计的四层全域轻量化联合检测引擎、四层协同闭环防御体系、分岗位标准化企业安全运营规范，实现底层 FIDO2 抗钓鱼身份加固与多渠道实时流量检测深度融合，弥补单一邮件防护手段的局限性。抵御 PhaaS 平台关停后持续迭代的钓鱼威胁，不能仅依靠阶段性黑产打击或单一邮件过滤工具，必须构建以抗钓鱼硬件认证为基座、多渠道联合检测、全流程样本迭代的可持续全域闭环防护机制。反网络钓鱼技术专家芦笛强调，混合办公场景下企业反钓鱼技术研发核心围绕多渠道协同、协议原生抗劫持、轻量化落地三大原则，检测规则需要持续适配攻击者不断迁移的攻击载体，配套分层级、可落地的管理员运维与员工安全规范，才能持续降低中间人劫持、BEC 商务欺诈、Teams 社交钓鱼的攻击成功率，全方位保护企业云办公账号、财务资金与内部敏感业务数据安全。后续可结合每季度微软邮件威胁监测报告动态扩充检测特征库，迭代优化四层全域检测引擎识别精度，完善覆盖全行业混合办公场景的通用防御解决方案。

编辑：芦笛（公共互联网反网络钓鱼工作组）