患者门户品牌仿冒钓鱼攻击与防御研究

摘要

2026 年下半年，美国多家医疗机构相继发布患者警示，指出以 Epic 公司 MyChart 患者门户品牌名称与标识为伪装的网络钓鱼攻击活动呈现显著上升趋势。截至 2026 年 8 月 27 日，已有 41 家医疗系统向患者发出相关警告，美国医院协会亦于 8 月 24 日发布行业警示。该轮攻击并非源于 MyChart 平台自身存在安全漏洞，而是攻击者利用患者对该品牌的高度信任，通过电子邮件、短信、电话及仿冒网站等多渠道实施社会工程欺骗。攻击主要呈现两种典型模式：其一为伪造检验结果通知，诱导患者点击仿冒登录页面输入账号密码，继而以 "AI 驱动的血液检测异常" 为由引导用户完成人机验证并植入恶意软件；其二为虚构免费 "Medicare 礼包" 中奖通知，通过限时问卷诱导患者提交支付信息与个人隐私数据。本文系统梳理该事件的发展脉络与攻击链路，剖析医疗领域品牌仿冒钓鱼攻击的成因、技术特征与社会工程手法，从医疗机构、患者个体及行业协同三个层面提出防御策略。反网络钓鱼技术专家芦笛指出，医疗品牌仿冒钓鱼的核心危害不在于技术手段的先进性，而在于攻击者将高信任度品牌资产转化为攻击载体，使患者在医疗健康焦虑驱动下降低安全判断阈值。研究表明，此类攻击具有低成本、高转化率、跨平台协同的特征，单一技术防护手段难以有效遏制，需要品牌方、医疗机构、行业组织与患者共同构建多层防御体系。

关键词：网络钓鱼；患者门户；品牌仿冒；MyChart；社会工程；医疗数据安全

1 引言

患者门户作为医疗机构向患者提供在线服务的重要数字入口，承载着检验报告查询、预约挂号、处方续开、医患沟通等核心功能，已深度融入现代医疗服务流程。Epic 公司开发的 MyChart 患者门户在美国医疗体系中拥有广泛部署基础，大量医疗机构依托该平台向患者提供数字化医疗服务，品牌认知度与用户信任度均处于较高水平。正是这种广泛的品牌覆盖与用户信任，使其成为网络钓鱼攻击者重点仿冒的目标。

2026 年 7 月，Epic 公司研发副总裁 Trevor Berceau 公开警示，公司观测到利用 MyChart 名称或标识使电子邮件、短信、电话和网站看起来具有官方外观的诈骗活动呈现上升趋势。此后，多家医疗机构陆续向患者发布警告，提醒注意识别仿冒 MyChart 的钓鱼信息。截至 8 月 27 日，发布相关警示的医疗系统数量已达 41 家。美国医院协会于 8 月 24 日在其平台发布网络钓鱼攻击警示，建议各医院联系该机构网络安全专家获取更多信息。该事件的影响范围已从个别医疗机构扩展至全国性行业层面，引发医疗信息安全领域的广泛关注。

需要明确的是，Epic 公司在官方声明中强调，该轮钓鱼攻击活动的增加源于诈骗者利用 MyChart 品牌的高知名度，而非平台本身存在任何安全问题，用户可以继续正常使用患者门户。这一表态厘清了事件的技术归因：攻击发生在品牌信任被滥用的社会工程层面，而非平台系统安全层面。这一区分对于理解攻击本质、制定防御策略具有重要意义。

当前医疗领域网络钓鱼研究多聚焦于医疗机构内部员工遭受的鱼叉式钓鱼攻击，以及由此引发的勒索软件、数据泄露等后果，针对患者端品牌仿冒钓鱼攻击的系统性研究相对不足。患者群体在数字安全素养方面存在显著差异，老年患者、慢性病患者等群体对医疗信息的敏感度高、安全判断能力相对薄弱，更容易成为此类攻击的目标。本文以 MyChart 品牌仿冒钓鱼事件为研究对象，完整还原攻击链路与技术特征，剖析医疗场景下品牌仿冒钓鱼的特殊风险，提出具有可操作性的分层防御方案，为医疗机构、医疗信息化厂商及患者群体应对同类威胁提供参考。

2 MyChart 品牌仿冒钓鱼事件概况

2.1 事件背景与发展时间线

MyChart 是 Epic Systems 公司开发的患者在线门户产品，被美国众多大型医疗系统采用，患者可以通过网页端或移动应用访问个人健康记录、查看检验结果、管理处方、与医疗团队沟通。由于该产品在医疗行业的高渗透率，MyChart 品牌在患者群体中具备广泛认知，多数使用该平台的患者已经形成通过邮件或短信通知登录门户查看医疗信息的使用习惯，这种行为惯性为钓鱼攻击提供了可利用的心理基础。

2026 年 7 月，Epic 公司研发副总裁 Trevor Berceau 首次公开提及该公司观测到的钓鱼活动上升趋势，指出诈骗者正在利用 MyChart 名称或标识使电子邮件、短信、电话和网站看起来具有官方外观，以此欺骗患者。这一公开警示标志着该轮攻击活动从分散的个案报告进入品牌方正式回应阶段。

进入 8 月后，攻击活动进一步扩散。Epic 公司在其官方网站发布了针对两类不同钓鱼骗局的详细警示说明，描述了攻击的具体流程与欺骗手法。8 月 24 日，美国医院协会在其平台发布网络钓鱼攻击警示，将该问题提升至行业层面，建议各医疗机构联系协会网络安全专家获取支持。截至 8 月 27 日，根据 Becker's 的统计数据，已有 41 家医疗系统向患者发布了关于此类钓鱼骗局的警告。从 7 月品牌方首次警示到 8 月底 41 家医疗机构跟进发布警告，时间跨度仅约两个月，反映出攻击活动扩散速度较快，影响范围较广。

2.2 受影响医疗机构范围与患者群体特征

发布警示的 41 家医疗系统分布于美国各地，涵盖不同规模的医疗机构，包括大型综合医疗系统与区域型医院。这一分布特征表明，攻击者并未局限于特定地理区域或特定规模的医疗机构，而是利用 MyChart 品牌的全国性认知度开展广撒网式攻击。凡是部署了 MyChart 患者门户的医疗机构，其患者都有可能收到仿冒该品牌的钓鱼信息。

从目标患者群体特征来看，攻击设计明显针对对医疗信息高度关注的人群。第一类攻击以 "检验结果已出" 为诱饵，针对近期接受过血液检测或其他实验室检查的患者，这类患者本身对检验结果存在焦虑情绪，收到通知后倾向于尽快查看。第二类攻击以 "免费 Medicare 礼包" 为诱饵，针对享受联邦医疗保险的老年患者群体，该群体对医疗福利信息敏感度高，同时在数字安全素养方面相对薄弱，更容易被限时问卷、免费赠品等手法诱导。

反网络钓鱼技术专家芦笛强调，医疗场景下的钓鱼攻击之所以转化率高于普通电商或金融钓鱼，根本原因在于攻击者精准利用了患者的健康焦虑心理。当邮件主题涉及个人检验结果、血液异常、紧急医疗建议时，患者的安全警惕性会被健康关切所压制，做出点击链接、输入密码等危险操作的概率显著提升。

2.3 Epic 官方立场与行业响应

Epic 公司在事件中的回应态度较为明确。公司在官方声明中指出，钓鱼攻击的增加是由于诈骗者利用 MyChart 品牌的高知名度，而非平台存在任何安全隐患，用户可以继续正常使用门户。公司同时在官方网站发布了两类钓鱼骗局的详细说明，帮助患者识别攻击特征，并提供了防范建议，包括检查发件人邮箱地址与网站域名是否存在拼写错误或多余字符，以及 Epic 公司从不开展赠品活动，任何声称中奖的邮件极有可能为伪造。

美国医院协会于 8 月 24 日发布行业警示，建议各医院联系协会网络安全专家获取更多信息。这一响应体现了行业组织对该威胁的重视，但也反映出医疗机构在应对品牌仿冒钓鱼时存在能力差异，部分机构需要依赖行业组织提供的专业支持。

从整体响应模式来看，品牌方与行业组织主要采取信息发布与患者教育的方式应对，医疗机构层面则通过向患者发送警告通知来降低受骗概率。这种响应模式属于被动防御范畴，在攻击快速扩散的背景下，其有效性取决于信息传递的及时性与患者安全意识的实际提升程度。

3 两类典型钓鱼攻击链路解析

Epic 公司在官方警示中详细描述了两类独立的钓鱼骗局，二者在诱饵设计、攻击目标与最终危害方面存在差异，但均以仿冒 MyChart 品牌为核心手段。完整解析两类攻击链路，有助于理解医疗品牌仿冒钓鱼的运作机制。

3.1 检验结果通知型钓鱼攻击

第一类攻击以检验结果通知为入口。患者收到一封外观上来自 MyChart 的电子邮件，邮件内容告知患者近期的检验结果已经准备就绪，并提供一个按钮引导患者登录患者门户查看。邮件的版式、配色、标识均模仿 MyChart 官方通知风格，普通患者难以从外观上直接辨别真伪。

当患者点击邮件中的登录按钮后，浏览器被引导至一个仿冒的 MyChart 登录页面。该页面要求患者输入电子邮箱地址与密码。这一步是攻击的第一个核心收获点：患者输入的 MyChart 账号凭据被攻击者直接获取。由于许多患者在多个网站使用相同或相似的密码，攻击者获取的凭据不仅可以用于登录 MyChart，还可能被用于尝试登录其他在线服务，形成凭据填充攻击的次生风险。

患者输入凭据后，仿冒页面将其引导至一个伪造的 MyChart 网站界面。该界面显示一条紧急信息，声称 "'AI 驱动的审查 ' 在您的血液检测中发现了需要立即关注的关键模式"。这一设计利用了患者对健康异常的焦虑心理，同时借助 "AI" 这一当前具有技术权威感的词汇增强信息的可信度，促使患者产生紧迫感，急于查看所谓的异常结果。

为了查看伪造的检验结果，网站引导患者完成一项 "人机验证" 检查。这一步是攻击的第二个核心环节：在患者完成验证的过程中，恶意软件被安装到患者的设备上。攻击者利用人机验证这一用户普遍熟悉且信任的安全机制作为掩护，将恶意载荷的投递过程包装成正常的安全验证流程，患者在毫无察觉的情况下完成了恶意软件的安装。被植入的恶意软件可能具备窃取设备内其他敏感信息、记录键盘输入、远程控制设备等多种危害能力。

在 8 月出现的该类攻击变体中，仿冒网站向患者展示一张伪造的检验数值图表，其中部分结果被涂黑处理。页面提供一个按钮，提示患者点击以解锁完整报告，查看被涂黑的结果及其诊断结论。涂黑处理制造了信息不完整带来的心理张力，患者为了获取 "完整" 的健康信息，更有可能按照页面指引执行后续操作，从而落入攻击者设置的更深层陷阱。

3.2 免费医疗礼包诱导型钓鱼攻击

第二类攻击以免费医疗礼包为诱饵。患者收到电子邮件，告知其赢得了一个免费的 "Medicare 礼包"，内含价值 149 美元的医疗用品。Medicare 是美国联邦医疗保险计划，覆盖 65 岁以上老年人及部分残障人士，该群体对医疗福利相关信息具有天然的关注度与信任倾向。以 "Medicare 礼包" 为诱饵，精准命中了目标群体对免费医疗资源的需求心理。

患者点击邮件中的领取链接后，被引导至一个带有 MyChart 标识的页面。页面声称已有超过 30 万美元的 MyChart 产品被赠送，以此营造活动真实可信、参与人数众多的氛围。随后，页面要求患者完成一份关于患者门户使用体验的简短问卷，并特别强调必须在六分钟内完成。限时机制是社会工程攻击中常用的心理操纵手段，通过制造时间压力，迫使患者在未充分思考的情况下快速填写信息，减少其识别骗局的机会。

在问卷完成后的最后一步，仿冒网站告知患者需要为礼包支付运费，并要求患者输入支付信息，同时收集电子邮箱地址、电话号码、邮寄地址等个人隐私数据。这一步是攻击的核心收获环节：攻击者同时获取了患者的支付卡信息与完整个人身份信息。支付信息可被用于盗刷交易，个人身份信息可被用于身份盗用、申请信用账户、提交虚假税务申报等多种后续犯罪活动。此外，患者的邮寄地址等信息还可能被用于实施实体邮件诈骗或针对性的后续钓鱼攻击。

3.3 攻击技术特征与社会工程手法分析

综合两类攻击链路，可以归纳出该轮 MyChart 品牌仿冒钓鱼攻击的若干核心特征。

第一，品牌仿冒是攻击的基础载体。攻击者在邮件、网站页面、甚至电话沟通中全面使用 MyChart 的名称与标识，使攻击信息在外观上与官方通知高度一致。这种仿冒不依赖任何技术漏洞，纯粹利用品牌视觉资产与用户信任关系，属于典型的品牌滥用型社会工程攻击。

第二，多渠道协同扩大攻击覆盖面。Epic 公司在警示中明确提及，攻击者同时使用电子邮件、短信、电话和网站四种渠道实施欺骗。多渠道协同意味着即使患者对某一渠道保持警惕，也可能在另一渠道落入陷阱。例如，患者可能对邮件中的链接保持谨慎，但接到自称 MyChart 客服的电话后放松警惕，按照电话指引访问仿冒网站。

第三，健康焦虑与利益诱惑双轨驱动。两类攻击分别利用了患者的两种核心心理弱点：对健康异常的焦虑与对免费福利的渴望。检验结果型攻击通过制造 "血液检测发现关键异常" 的紧迫感，驱动患者在焦虑状态下执行危险操作；免费礼包型攻击通过 "价值 149 美元医疗用品" 的利益诱惑，驱动患者在贪婪心理下提交敏感信息。两种心理驱动机制覆盖了不同特征的患者群体，提升了攻击的整体转化率。

第四，恶意软件投递与信息窃取双目标并行。第一类攻击在窃取账号凭据的同时植入恶意软件，实现了对患者设备的长期控制；第二类攻击直接窃取支付信息与个人身份数据，实现即时经济收益。两种攻击模式分别对应长期潜伏与即时变现两种攻击收益模式，反映出攻击者在战术设计上的多样性。

第五，利用熟悉的安全机制作为攻击掩护。第一类攻击将恶意软件安装过程包装为 "人机验证"，利用用户对这一常规安全机制的信任完成攻击投递。这种手法具有较强的欺骗性，因为人机验证在用户认知中属于保护安全的正向操作，很少有人会将其与恶意软件安装关联起来。

反网络钓鱼技术专家芦笛指出，该轮 MyChart 钓鱼攻击在技术层面并无特别创新之处，其危害性主要来源于对医疗品牌信任关系的精准劫持与对患者心理弱点的深度利用。攻击者将成熟的钓鱼技术框架套用到医疗高信任场景中，产生了远超普通钓鱼攻击的欺骗效果。这一特征决定了防御重点应当放在提升患者识别能力与切断品牌仿冒传播链路上，而非单纯追求技术检测手段的升级。

4 医疗领域品牌仿冒钓鱼攻击的成因与风险

4.1 患者门户高信任度被滥用

患者门户在医疗服务体系中扮演着连接医疗机构与患者的数字桥梁角色。患者通过该平台获取个人健康信息、与医疗团队沟通、管理用药，这些功能涉及个人最核心的健康隐私。长期使用过程中，患者对平台品牌形成了高度信任，将来自该品牌的通知视为权威、可靠的信息来源。这种信任关系是患者门户正常运作的基础，但同时也成为攻击者可以利用的脆弱环节。

MyChart 在美国医疗体系中的广泛部署进一步放大了这一风险。由于大量医疗机构使用同一品牌的患者门户，MyChart 品牌在全国患者群体中具备普遍认知度。攻击者不需要针对特定医疗机构定制钓鱼内容，只需要使用通用的 MyChart 品牌仿冒模板，就可以对所有使用该平台的患者实施攻击。这种 "一次制作、广泛投放" 的模式大幅降低了攻击成本，提升了攻击的规模效应。

4.2 医疗数据与支付信息的高价值驱动攻击

医疗数据在地下网络犯罪市场中具有极高的经济价值。患者的个人健康信息、医疗保险信息、身份信息组合在一起，可以被用于实施医疗欺诈、虚假理赔、身份盗用等多种犯罪活动。与信用卡信息相比，医疗数据的有效期更长，欺诈行为被发现的周期更慢，因此在黑市上往往能卖出更高的价格。

该轮攻击中，第二类骗局直接收集患者的支付信息与个人身份数据，攻击者可以立即利用这些信息实施盗刷与身份盗用。第一类骗局窃取的 MyChart 账号凭据可以被用于登录患者门户，获取完整的健康记录与保险信息，这些数据在地下市场具有稳定的需求。此外，第一类攻击植入的恶意软件还可能从患者设备中窃取更多类型的敏感信息，包括其他网站的登录凭据、财务文件、个人照片等，形成多维度的数据窃取效果。

4.3 多渠道协同攻击扩大影响面

传统钓鱼攻击多以电子邮件为主要渠道，而该轮 MyChart 仿冒攻击明确涵盖电子邮件、短信、电话和网站四种渠道。多渠道协同攻击带来了几方面的风险放大效应。

首先，多渠道投放增加了攻击信息触达患者的概率。即使患者的邮件服务商拦截了钓鱼邮件，攻击者仍可能通过短信或电话触达同一患者。其次，多渠道之间可以形成相互印证的欺骗效果。患者可能先收到一封仿冒邮件，随后接到一个自称 MyChart 客服的电话，电话中确认邮件内容的真实性，这种跨渠道的相互印证大幅提升了攻击的可信度。最后，不同渠道的安全防护能力存在差异。电子邮件领域已经发展出较为成熟的反钓鱼技术，包括发件人认证、恶意链接扫描等，但短信和电话渠道的反钓鱼技术相对薄弱，攻击者可以通过这些防护较弱的渠道绕过技术检测。

4.4 品牌方与医疗机构责任边界模糊

该轮攻击事件暴露出一个值得关注的治理问题：当患者门户品牌被第三方仿冒用于钓鱼攻击时，品牌方、部署该品牌的医疗机构以及患者之间的责任边界存在模糊地带。

Epic 公司作为品牌方与平台开发者，在事件中发布了警示并提供了防范建议，但公司明确声明攻击并非源于平台安全问题，这一声明在法律层面厘清了平台安全责任，但也意味着品牌方对仿冒攻击的处置能力有限。医疗机构作为平台的部署方与患者的直接服务提供者，有义务向患者发出安全警示，但医疗机构并不控制品牌的使用，也无法直接阻止第三方注册仿冒域名或制作仿冒网站。患者作为最终受害者，在缺乏充分安全意识的情况下难以独立识别精心设计的仿冒攻击。

这种责任边界的模糊性导致在攻击发生后，各方的响应往往以信息发布为主，缺乏主动的技术干预手段。例如，仿冒网站的域名注册与托管往往发生在品牌方与医疗机构的管辖范围之外，需要依赖域名注册商、托管服务商、浏览器安全厂商等第三方的协作才能完成处置，而这一协作链条通常较长，响应速度难以匹配攻击的扩散速度。

4.5 患者数字安全素养差异带来的脆弱性

患者群体在数字安全素养方面存在显著的异质性。年轻患者普遍具备较强的数字操作能力与安全意识，能够较为熟练地识别钓鱼邮件的常见特征。但老年患者、慢性病患者、农村地区患者等群体在数字安全素养方面相对薄弱，对电子邮件域名、网站地址、SSL 证书等安全指标缺乏识别能力，更容易被外观逼真的仿冒攻击所欺骗。

该轮攻击的诱饵设计明显针对安全素养较弱的群体。免费 Medicare 礼包诱饵直接面向享受联邦医疗保险的老年患者，限时六分钟完成问卷的设计进一步压缩了患者思考与核实的时间。检验结果通知型攻击则利用了慢性病患者对定期检验结果的关注习惯，这类患者往往已经形成点击通知链接查看结果的行为惯性，在收到仿冒通知时更容易按照习惯操作而非进行安全判断。

反网络钓鱼技术专家芦笛强调，医疗品牌仿冒钓鱼的防御难点在于，最需要保护的患者群体往往也是安全素养最薄弱的群体，单纯依靠技术手段无法完全弥补这一差距，必须结合针对性的患者安全教育与简化的安全验证机制，才能有效降低该群体的受骗风险。

5 医疗机构与患者的防御策略

5.1 医疗机构层面的应对措施

医疗机构作为患者的直接服务提供者，在防御品牌仿冒钓鱼攻击中承担着关键角色。以下措施具有较强的可操作性。

第一，建立及时的患者警示机制。医疗机构应当建立针对品牌仿冒钓鱼的监测与响应流程，一旦发现针对本机构患者的仿冒攻击，应在第一时间通过多种渠道向患者发布警示。警示信息应当具体描述攻击特征，包括仿冒邮件的主题、仿冒网站的域名特征、攻击的欺骗流程等，帮助患者建立具体的识别参照，而非仅发布笼统的 "注意防范钓鱼" 提示。该轮事件中 41 家医疗系统发布警告的做法值得肯定，但警示的及时性与内容的具体程度仍有提升空间。

第二，强化官方通知渠道的可识别性。医疗机构应当在官方通知邮件、短信中加入患者可验证的安全特征，例如在邮件中包含患者姓名的特定部分、上次就诊日期等只有患者与医疗机构知晓的信息，使患者能够通过内容细节判断通知的真实性。同时，医疗机构应当明确告知患者官方通知的固定发件人地址与短信号码，建议患者将这些号码加入通讯录，对来自其他号码的类似通知保持警惕。

第三，加强与品牌方及行业组织的信息共享。医疗机构应当主动与 Epic 等患者门户厂商建立威胁信息共享渠道，及时获取品牌方监测到的新型仿冒攻击特征。同时，积极参与美国医院协会等行业组织的网络安全信息共享机制，了解其他医疗机构遭遇的攻击模式，提前做好防御准备。

第四，为患者提供便捷的可疑信息上报渠道。医疗机构应当在患者门户、官方网站等显著位置设置可疑钓鱼信息的上报入口，鼓励患者将收到的疑似仿冒邮件、短信截图提交给医疗机构安全团队。患者上报的信息不仅可以帮助医疗机构及时发现新的攻击活动，还可以为品牌方与行业组织的威胁情报库提供原始数据。

第五，对高风险患者群体开展针对性安全教育。医疗机构应当识别安全素养相对薄弱的患者群体，如老年患者、首次使用患者门户的患者，通过门诊宣教、电话随访、纸质指南等方式开展针对性的安全培训。安全教育内容应当具体、实用，例如如何检查邮件发件人地址、如何识别网站域名异常、什么情况下绝不应该输入密码等，避免使用过于技术化的术语。

5.2 患者层面的识别与防护要点

患者作为攻击的直接目标，提升自身的识别能力是防御体系的基础环节。结合该轮 MyChart 仿冒攻击的特征，患者应当掌握以下识别与防护要点。

第一，核实通知来源的真实性。收到声称来自 MyChart 或医疗机构的邮件、短信时，应当首先检查发件人邮箱地址或短信号码。官方通知通常使用固定的机构域名，而钓鱼邮件常使用存在拼写错误或多余字符的仿冒域名。例如，官方域名可能为mychart.xxxhealth.org，而仿冒域名可能为mychart-xxxhealth.com或mychart.xxxhealth.verify-login.net。患者应当特别注意域名中是否包含连字符、多余单词或不常见的顶级域。

第二，避免直接点击邮件或短信中的链接。对于声称检验结果已出或账户需要验证的通知，患者不应当直接点击邮件或短信中的链接，而应当通过手动输入官方网址或使用已安装的官方移动应用登录患者门户查看信息。如果确实存在待查看的检验结果，官方门户中应当能够看到对应通知；如果门户中没有相关通知，则收到的邮件或短信极有可能为仿冒。

第三，警惕制造紧迫感与利益诱惑的内容。该轮攻击的两类诱饵分别利用了健康焦虑与免费利益两种心理驱动。患者应当意识到，正规医疗机构不会通过邮件告知 "AI 检测发现血液异常需要立即关注" 这类紧急健康警告，也不会开展免费 Medicare 礼包赠送活动。任何制造紧迫感、要求限时操作、承诺免费赠品的医疗相关通知，都应当视为高风险信号。Epic 公司已明确声明从不开展赠品活动，患者可以将这一信息作为判断依据。

第四，绝不在非官方页面输入账号密码或支付信息。患者门户的账号密码应当仅在官方网站或官方应用中输入，任何通过邮件链接跳转的登录页面都应当被视为可疑。支付信息更不应当在患者门户相关的页面中输入，正规医疗机构不会通过患者门户要求患者为 "免费礼包" 支付运费。如果患者已经在仿冒页面输入了账号密码，应当立即在官方渠道修改密码，并启用多因素认证；如果已经输入了支付信息，应当立即联系发卡机构冻结账户并监测异常交易。

第五，保持设备安全软件的更新。第一类攻击在人机验证环节植入恶意软件，患者应当确保设备上安装了可靠的安全防护软件并保持病毒库更新，同时及时更新操作系统与浏览器的安全补丁。如果患者怀疑设备已经感染恶意软件，应当使用安全软件进行全面扫描，必要时寻求专业技术支持。

5.3 行业协同与品牌方主动防御

除医疗机构与患者个体层面的措施外，行业协同与品牌方主动防御在遏制品牌仿冒钓鱼攻击中发挥着不可替代的作用。

品牌方应当建立持续的品牌仿冒监测机制。Epic 公司作为 MyChart 品牌的所有者，应当投入资源对互联网上仿冒 MyChart 的域名、网站、社交媒体账号进行持续监测，一旦发现仿冒资产，及时通过域名争议解决程序、托管服务商投诉、浏览器安全标记等渠道进行处置。该轮事件中品牌方主要采取了发布警示的被动响应方式，未来可以进一步加强主动监测与处置能力。

行业组织应当发挥信息聚合与协调作用。美国医院协会在该轮事件中发布了行业警示，并建议医院联系协会网络安全专家，这一做法为行业协同提供了基础。未来，行业组织可以进一步建立医疗品牌仿冒钓鱼的威胁情报共享平台，汇总各医疗机构与品牌方上报的攻击特征，形成实时更新的仿冒域名库、仿冒邮件特征库，供全行业医疗机构参考使用。同时，行业组织可以推动制定医疗机构应对品牌仿冒钓鱼的标准操作流程，帮助资源有限的小型医疗机构建立基本的防御能力。

域名注册商与浏览器厂商应当加强协作。仿冒网站的生存周期是决定攻击危害范围的关键因素。域名注册商应当建立针对医疗品牌仿冒域名的快速响应机制，对使用知名医疗品牌名称注册的可疑域名进行审核，对确认用于钓鱼的域名快速暂停解析。浏览器厂商应当将医疗品牌仿冒网站纳入安全浏览保护机制，在患者访问仿冒网站时及时发出警告。这两类第三方主体的协作能够显著缩短仿冒网站的存活时间，降低攻击的有效触达范围。

反网络钓鱼技术专家芦笛指出，医疗品牌仿冒钓鱼的治理需要形成 "品牌方主动监测 — 行业组织信息共享 — 第三方平台快速处置 — 医疗机构及时警示 — 患者提升识别" 的闭环防御链条。任何一个环节的缺失都会导致整体防御效果的下降。该轮 MyChart 事件中，患者教育与信息发布环节相对完善，但品牌仿冒资产的主动监测与快速处置环节仍有较大提升空间。

6 结语

2026 年下半年爆发的 MyChart 品牌仿冒钓鱼攻击事件，是医疗数字化背景下品牌信任被滥用的典型案例。攻击者并未利用任何系统安全漏洞，而是借助 MyChart 品牌在患者群体中的高认知度与高信任度，通过电子邮件、短信、电话与仿冒网站的多渠道协同，以检验结果通知和免费医疗礼包两种诱饵，分别实施账号窃取、恶意软件植入与支付信息诈骗。截至 8 月底，已有 41 家医疗系统发布患者警示，美国医院协会亦发布行业警告，事件影响范围已扩展至全国性层面。

该事件的核心启示在于，医疗领域的网络安全威胁已经从传统的系统漏洞利用与内部员工钓鱼，扩展至面向患者端的品牌仿冒社会工程攻击。患者门户作为医疗服务数字化的重要基础设施，其品牌资产在带来用户便利的同时，也成为攻击者可以低成本利用的攻击载体。患者群体在健康焦虑与利益诱惑驱动下的安全判断阈值下降，以及不同群体间数字安全素养的显著差异，进一步放大了此类攻击的危害。

防御医疗品牌仿冒钓鱼攻击，不能依赖单一主体或单一技术手段。品牌方需要加强仿冒资产的主动监测与快速处置，医疗机构需要建立及时的患者警示机制与针对性安全教育，行业组织需要推动威胁情报共享与标准流程建设，域名注册商与浏览器厂商需要缩短仿冒网站的存活周期，患者个体需要掌握基本的识别要点与防护习惯。只有形成多层协同的闭环防御体系，才能有效遏制此类攻击的扩散与危害。

随着医疗数字化进程的持续推进，患者门户、远程医疗、在线药房等数字医疗服务的品牌资产将持续增长，品牌仿冒钓鱼攻击的威胁也将长期存在。医疗信息安全领域需要持续关注此类威胁的演变趋势，不断完善防御策略与技术手段，在保障患者获得便捷数字医疗服务的同时，维护患者的信息安全与财产安全。

编辑：芦笛（公共互联网反网络钓鱼工作组）