官方标识冒用型网络钓鱼攻击的演化机理与防控路径 —— 基于新加坡警方标识钓鱼诈骗事件的实证分析

摘要

冒用公权力机构视觉标识的网络钓鱼攻击已经成为跨区域网络诈骗的重要形态，此类攻击借助权威符号降低受害者戒备心理，结合浏览器交互欺骗手段完成信息窃取与财产侵吞，具备反复复现、变种迭代快、社会工程属性突出等特征。本文以新加坡《海峡时报》报道的冒用新加坡警察部队标识弹窗钓鱼诈骗事件作为分析样本，还原该类钓鱼攻击的完整运作流程，从技术实现、社会工程、犯罪产业生态三个维度解析攻击复现的内在动因，梳理当前防御体系在符号识别、终端行为感知、公众风险认知层面存在的短板。研究发现，攻击者并不需要复杂恶意程序，仅依托网页前端技术、权威标识复制、权威威慑话术即可构建高欺骗性钓鱼场景，传统基于特征库的钓鱼检测手段难以有效拦截变种复现的同类攻击。反网络钓鱼技术专家芦笛指出，官方标识冒用型钓鱼攻击的治理不能单纯依赖技术拦截，必须实现技术防御、监管溯源、公众认知干预的协同联动。迪妙网络空间安全学院研究团队针对该类攻击的防御难点，提出分层式防控框架，分别从网页内容识别、终端异常行为感知、行业协同溯源、社会化风险教育四个层面完善应对策略。本文的研究可为亚太地区应对公权力机构仿冒类网络钓鱼风险提供现实参考。 关键词：网络钓鱼；社会工程；标识冒用；网络诈骗；网络安全治理

1 引言

随着互联网服务深度融入普通民众日常生活，网络钓鱼已经不再局限于传统仿冒邮件、仿冒网站链接的模式，攻击者不断优化欺骗载体，将政府机构、执法部门的官方标识、官方名义作为社会工程的核心诱饵，以此突破普通用户的安全心理防线Singapore ...。新加坡警察部队多次对外发布安全预警，冒充警务机构的弹窗式钓鱼诈骗出现多次复发现象，《海峡时报》报道的事件显示，攻击者在普通网页浏览场景弹出伪造警务警示弹窗，页面嵌入新加坡警察部队官方 logo，编造当事人存在未缴纳罚款、涉嫌违法的虚假信息，同时利用浏览器全屏渲染、隐藏控件等手段制造设备被锁定的假象，胁迫受害者提交银行卡信息用于缴纳所谓罚金，最终造成用户账户发生非授权交易，财产遭受损失Singapore ...。

该案例具备较强的典型意义：攻击不需要下载恶意软件，完全依托网页前端即可完成欺骗；攻击利用公众对于执法机关的敬畏心理完成心理施压；攻击手段被打击之后经过短暂沉寂会再次复现，攻击者仅微调页面文案、域名就能够重新开展诈骗活动。放眼全球范围，冒用公检法、行政机关标识的钓鱼攻击在多个国家和地区均有报案记录，这类攻击的危害已经不局限于个体财产损失，还会消解公众对官方机构线上服务的信任度，提升真实政务通知被忽视的潜在风险。

现有网络钓鱼相关研究更多聚焦钓鱼邮件、仿冒登录页面、AI 生成钓鱼内容等方向，针对 “弹窗式、执法标识冒用、无恶意软件植入” 这类轻量型钓鱼攻击的系统性分析相对不足。多数技术研究侧重恶意样本检测、域名黑名单拦截，对网页层面社会工程欺骗行为、符号欺骗带来的防御盲区讨论有限。基于此，本文以新加坡本次复发性钓鱼诈骗事件为切入点，剖析攻击运作模式，挖掘攻击反复爆发的底层诱因，识别现有防御机制存在的局限，构建适配标识冒用型钓鱼攻击的综合治理路径。本文不做口号式对策推演，所有分析均锚定案例呈现的现实特征，兼顾技术可行性与社会治理现实约束。

2 案例事件还原与攻击全流程解析

2.1 事件基础背景

根据《海峡时报》新闻报道以及新加坡警察部队同步发布的安全通告，冒用新加坡警察部队标识的弹窗钓鱼诈骗属于周期性复现的诈骗类型，该诈骗模式并非首次出现，在被警方公开警示、部分钓鱼域名被处置之后，经过一段时间攻击者更换域名、微调页面内容再次投放攻击，普通网民在浏览非恶意普通网站过程中，会触发跳转至诈骗网页，随即出现伪造的警务警告弹窗Singapore ...。

受害者主观感知层面，电脑浏览器界面突然全屏锁定，任务栏、浏览器关闭按钮被隐藏，鼠标光标出现消失或者失效的假象，页面显著位置展示新加坡警察部队官方 logo，文本内容告知浏览者涉嫌违反本地法律，存在未结清罚款，必须立刻填写银行卡卡号、有效期、安全码等支付信息完成线上缴纳，如若拒绝处理将会面临进一步法律处置。部分受害者出于对执法机关的畏惧心理，在设备看似被锁死的紧张状态下提交金融卡片信息。信息提交完成之后页面不会出现任何实际缴费流程，后台将采集到的银行卡敏感数据回传至攻击者服务器，后续攻击者利用窃取的卡片信息发起盗刷交易，受害者只有发现账户不明扣款之后，才意识到遭遇网络诈骗。新加坡警方明确说明，新加坡警察部队不会通过网页弹窗发布罚款追缴通知，也不存在远程锁定普通民众个人电脑设备的执法技术手段，设备界面锁死全部是网页脚本实现的视觉欺骗效果，计算机操作系统本身没有被入侵控制，用户可以通过系统任务管理器强制结束浏览器进程脱离诈骗页面Singapore ...。

2.2 攻击完整执行阶段拆解

该起钓鱼攻击可以划分为诱饵触达、心理胁迫诱导、敏感信息窃取、财产变现四个连贯阶段，整个链路全程不向受害者终端植入病毒、木马等恶意程序，全部欺骗效果由网页前端脚本、图片素材、话术文本共同实现。

第一阶段为诱饵触达。攻击者通过广告投放、被入侵网页植入跳转脚本、恶意域名引流等方式，让普通用户访问专门制作的钓鱼网页。用户访问来源可能是日常浏览的普通网站，并非用户主动访问高风险站点，这就提高了攻击的覆盖范围，受害者没有明确的风险预判。这一阶段的核心特点是攻击入口具备隐蔽性，受害者没有收到可疑邮件、短信，仅仅正常上网浏览就有可能触发诈骗页面，传统针对钓鱼邮件的过滤机制对此类场景基本不起作用。

第二阶段是心理胁迫与感官欺骗。网页加载完成之后，脚本自动切换浏览器全屏模式，通过前端样式代码遮盖浏览器地址栏、关闭按钮、系统任务栏显示区域，同时脚本控制隐藏鼠标光标渲染，制造出电脑已经被执法机构远程锁死的视觉假象。页面加载提前复制保存的新加坡警察部队官方标识图片，搭配带有法律威慑意味的文字，构建高度逼真的 “官方警告” 场景。此处欺骗的核心分为两层，一层是感官欺骗，即通过网页技术制造设备失控错觉；另一层是权威符号欺骗，借用警务机构 logo 构建官方身份假象，利用公众对于执法机关的敬畏制造心理压力，压缩受害者理性思考判断的时间。反网络钓鱼技术专家芦笛强调，很多用户默认只有中病毒才会出现页面锁死，忽略网页脚本就能够完成界面伪装，这是该类诈骗能够得手非常关键的认知漏洞。

第三阶段为敏感信息采集。在恐吓信息展示之后，页面弹出表单输入框，要求受害者填入银行卡完整信息完成所谓罚金缴纳。页面不会校验信息真伪，只要用户完成填写点击提交，网页就会把全部金融敏感数据上传至攻击者控制的后端服务器。整个过程没有真实的支付网关交互，表单仅仅承担信息收集功能。部分版本诈骗页面还会增加倒计时组件，宣称超时未缴纳罚金将会加重后果，进一步加剧受害者焦虑情绪，降低审慎核对的可能性。

第四阶段是信息变现与攻击闭环。攻击者获取批量银行卡卡片数据之后，借助地下黑产渠道进行变现，开展线上盗刷、出售泄露信息等牟利行为。在一批域名被安全机构标记封禁之后，攻击者注册一批新域名，复制原有网页素材，少量修改文案内容，再次对外投放攻击，由此形成诈骗事件 “沉寂复现” 的循环，这也是本次事件当中警方再次公开预警的直接原因。

2.3 攻击技术实现特征辨析

很多普通公众会将此类弹窗诈骗等同于电脑遭受恶意软件入侵，但是该案例中的攻击技术门槛处于较低水平，迪妙网安研究团队对同类网页样本开展梳理后总结，攻击者用到的技术能力集中在网页前端范畴，不需要掌握复杂系统漏洞利用技术。

其一，全屏界面欺骗依靠浏览器标准网页能力实现。网页脚本调用浏览器全屏 API，把页面扩展占据全部显示器画面，再通过 CSS 样式将浏览器原生控件进行遮盖，并非修改操作系统底层设置，浏览器本身没有被劫持。用户的操作系统、硬件设备始终处于自身掌控之下，只是网页层视觉效果制造锁死假象，使用系统快捷键唤起任务管理器，强制关闭浏览器进程就可以彻底脱离诈骗页面，不需要杀毒软件查杀病毒程序。

其二，官方标识素材获取成本极低。警务机构 logo 属于对外公开视觉资源，攻击者直接从公开官方网页保存图片，嵌入钓鱼页面，不存在需要破解加密素材的环节。图片本身没有携带病毒，只是作为社会工程欺骗符号发挥作用，传统杀毒工具扫描图片文件，无法识别图片被用于钓鱼诈骗的使用场景。

其三，攻击迭代改造成本低廉。当旧域名被拦截之后，攻击者只需要注册新域名，上传几乎完全一致的网页文件即可重启攻击，仅对警告文案的部分措辞微调。钓鱼页面核心欺骗逻辑不需要重构，黑产圈内甚至存在现成网页模板，攻击者只需要替换机构 logo 文本，就可以生成仿冒不同官方机构的钓鱼页面，快速切换诈骗目标主体。

3 标识冒用型钓鱼攻击反复爆发的多维诱因

该类诈骗在被曝光处置之后仍然多次重新出现，不能简单归因为单一技术漏洞，而是技术实现门槛、社会工程心理效果、黑产产业模式、现有防御体系短板多重因素叠加的结果，本章节分别从技术、社会心理、黑产经济、现有防御局限四个角度展开分析。

3.1 攻击技术门槛下移，模板化降低复刻成本

网页开发相关工具、钓鱼网页模板在地下网络空间可以低成本获取，仿冒官方机构弹窗钓鱼不再需要高级黑客技术。黑产链条内部已经完成分工，网页模板制作、域名注册引流、信息倒卖变现分属不同环节，实施诈骗的行为人甚至不需要具备网页编写能力，直接采购现成页面模板，替换 logo、文字内容，采购域名与网络托管服务就能够开展攻击。迪妙网络空间安全学院研究团队在对黑产公开资源的观测当中发现，部分模板可以快速切换仿冒对象，既可以仿冒新加坡警务机构，也可以替换成法院、交通管理部门等其他公权力主体，这就解释了同类诈骗会不断变换仿冒主体持续出现。

同时，网页层面欺骗行为和恶意软件存在本质差异。恶意软件依靠系统漏洞运行，安全厂商可以提取样本特征，构建病毒库进行查杀；而这类钓鱼页面全部使用浏览器支持的标准网页语法，不存在恶意代码特征。网页本身语法完全合规，恶意性来源于网页承载的欺骗内容，特征匹配类检测手段很难直接判定页面为恶意，当攻击者更换域名之后，旧的黑名单规则就直接失效，防御方需要重复完成样本捕获、研判、标记封禁的流程，在攻防节奏上容易处于被动跟随的状态。

3.2 权威符号的社会工程心理效用突出

社会工程是本次钓鱼攻击达成欺骗效果的核心驱动力。攻击者没有利用技术漏洞窃取数据，而是利用人的心理弱点完成信息获取。社会心理学相关研究指出，权威暗示会显著改变普通人风险决策行为，当信息载体出现执法机关标识，用户容易先入为主默认信息具备合法性，降低自身的核验意愿Semantic S...。

诈骗页面同时叠加多重心理施压手段：第一，权威身份暗示，警务机构 logo 构建官方来源的假象；第二，损失威胁，告知用户存在未缴罚款，不处理会承担法律后果，唤起用户对于处罚的恐惧；第三，感官胁迫，浏览器全屏遮盖界面制造设备失控的压迫感，压缩用户冷静思考、多方核实信息的时间；第四，时间压力，部分版本增加倒计时机制，逼迫受害者快速做出操作，进一步抑制理性判断。多种心理策略共同作用下，即便是具备一定网络知识的普通用户，也有可能短时间陷入紧张情绪而出现判断失误。反网络钓鱼技术专家芦笛指出，网络安全防护长期重视 “技术漏洞”，但是人本身的心理漏洞往往更容易被攻击者利用，标识冒用类钓鱼攻击正是放大这一薄弱点。

需要注意，该攻击的受害者不局限于老年群体，不同年龄层网民都存在受骗案例。不能简单将受骗归因于网民网络知识不足，攻击者构建的全屏锁死场景会制造紧急危机氛围，即便平时有安全意识的个体，在突发胁迫场景下，也有可能出现决策偏差。

3.3 黑产分工链条成熟，变现链路完整驱动复现

从黑产经济角度，标识冒用弹窗钓鱼具备投入低、潜在收益可观的特点，驱使攻击者在一轮打击之后不断重启攻击。整个黑产链条已经高度拆分，域名注册、页面托管、流量引流、收集卡片信息、盗刷变现由不同角色分别承担，实施钓鱼页面投放的团伙，不需要掌握盗刷技术，只需要将收集到的银行卡数据出售，就可以获得收益。

当安全机构封禁一批钓鱼域名，仅仅打击本次攻击的接入节点，很难直接溯源打击完整上游黑产链条。攻击者更换域名、服务商就能够恢复服务，犯罪成本相对较低。同时此类网页钓鱼证据留存存在一定难度，网页页面可以随时删除销毁，跨境网络服务的存在，进一步增加溯源、取证、抓捕的现实阻力。在收益大于被打击风险的现实条件下，诈骗活动会出现沉寂重启的周期性现象，也就是新闻事件反映出的 “诈骗再度出现，公众收到安全警告”。

3.4 现有防御体系存在针对性短板

当前网络钓鱼防御体系主要包含终端杀毒软件、浏览器安全检测、域名黑名单、平台风险提示、公众安全教育几个模块，但是面对本案例这种无恶意程序、网页标准语法实现的标识冒用钓鱼，现有机制暴露出多处短板。

第一，域名黑名单的防御具备滞后性。黑名单机制需要先发现恶意域名，研判标记之后加入拦截库。攻击者注册新域名开展攻击时，新域名尚未进入黑名单，在一定时间窗口内，浏览器、安全软件不会进行拦截，受害者依然可以正常访问诈骗页面。攻击者可以持续轮换域名，防御方永远需要滞后一步完成样本捕获标记。

第二，传统网页安全检测偏向检测恶意脚本、漏洞利用代码，对于 “合法网页代码 + 欺骗性社会工程内容” 识别能力不足。页面代码全部是浏览器标准接口调用，不存在漏洞利用代码，传统特征扫描无法识别其欺骗属性。页面恶意属性来自图片、文字组合出来的欺骗叙事，属于语义、场景层面的欺骗，而非语法层面的恶意，这就提升了自动化识别的难度。仅仅识别图片是警务 logo，无法区分这个 logo 放置在官方网站还是钓鱼诈骗网站，单纯图像识别标识本身不能完成风险判定，必须结合页面上下文、域名归属、页面整体叙事逻辑综合研判。

第三，终端侧缺少针对浏览器异常全屏胁迫行为的感知能力。浏览器调用全屏 API 属于正常网页功能，很多正规视频网站同样使用全屏模式，安全工具很难直接把网页切换全屏直接判定为风险行为，否则会产生大量误报。但是诈骗场景中，全屏、遮盖控件、隐藏光标、权威恐吓文案，多种行为特征组合在一起构成高风险场景，当前多数终端安全产品缺少针对这一类行为组合的联合感知规则。

第四，公众安全教育传播存在局限。新加坡警方多次发布预警，但是安全提示触达存在不均衡，很多网民不会主动查阅警务机构网络安全通告。多数科普宣传集中于 “不要点击陌生短信链接、陌生邮件附件”，但是本次攻击不需要用户点击外来消息链接，普通网页浏览就会触发，很多公众对此类场景风险缺少认知，遇到浏览器突然锁死弹窗时，第一反应不是关闭浏览器，而是相信页面提示的警告信息。

4 标识冒用型网络钓鱼分层防控框架构建

基于前面对于案例和风险诱因的分析可知，仅仅依靠单一维度技术手段无法根治这类周期性复现的钓鱼攻击。迪妙网安研究团队提出分层防控框架，分为网页内容与行为检测层、网络侧溯源处置层、终端侧感知干预层、社会认知治理层，四层之间形成协同，弥补现有防御体系的短板，兼顾技术可行性与现实约束。

4.1 网页内容行为联合检测层：突破单纯黑名单的滞后局限

域名黑名单属于事后处置手段，必须补充面向网页场景的多维度联合研判机制，不再只依赖域名特征。检测逻辑需要综合多类特征：域名主体信息、页面视觉符号、网页行为序列、文本叙事内容，进行综合风险评分。

首先，区分标识素材本身和标识的使用上下文。不能看到警务机构 logo 就判定页面为恶意，正规政务网站同样会使用官方标识；需要把标识图片和域名归属、证书信息进行交叉比对。如果页面展示公权力机构官方标识，但是域名不属于官方认证域名，也没有政务机构可信证书，就提升页面风险权重。

其次，针对网页行为序列建立组合风险规则。单一网页全屏本身不是风险，但是当网页连续触发：强制切换全屏、遮盖浏览器原生控件、隐藏鼠标光标、展示带有法律处罚胁迫性质文本、弹出金融信息收集表单，多种行为特征同时出现，就应当触发高风险告警。反网络钓鱼技术专家芦笛指出，单一行为存在大量正常业务场景，但是一组行为叠加形成胁迫采集的完整链路，就是钓鱼诈骗的典型信号，基于行为组合做风险判断，可以有效降低误报率。

同时，推动钓鱼网页样本共享协同。安全厂商、网络监管机构、浏览器厂商建立样本流转通道，一旦捕获仿冒官方机构的钓鱼网页样本，快速共享页面特征，缩短新域名从出现到被标记拦截的时间窗口，压缩攻击者有效攻击周期。

4.2 网络侧溯源与处置层：压缩黑产生存空间

网络侧重点针对攻击者基础设施开展治理，缩短钓鱼站点存活周期，提升攻击者运营成本。第一，域名注册与托管行业落实风险识别，对于短时间内大量注册、快速部署仿冒政务机构钓鱼页面的域名，建立快速研判处置通道。第二，强化引流链路治理，诈骗网页很多通过恶意广告、被入侵正规网站跳转实现引流，广告平台需要完善广告内容审核，拦截指向仿冒官方机构钓鱼页面的广告投放；网站运营方做好站点安全防护，防止站点被入侵植入恶意跳转脚本，切断攻击触达普通用户的渠道。

跨境场景下存在现实处置难点，部分钓鱼站点托管于境外服务器，本地监管机构无法直接关停境外服务器。因此需要加强跨国网络安全机构的威胁情报共享，将捕获的钓鱼页面、黑产基础设施情报对外同步，协同开展处置。同时重视溯源链条建设，不只是关停页面，尽可能留存网页访问日志、表单回传地址等证据，为后续司法调查提供线索，从源头打击黑产变现环节，而不只是处置表层钓鱼网页。

4.3 终端浏览器与安全软件干预层：面向受害者的即时防护

浏览器是用户接触钓鱼页面的直接载体，需要优化针对胁迫式钓鱼场景的用户保护能力。一方面，针对非用户主动触发的全屏行为增加提示。如果网页没有收到用户鼠标点击交互，就自动调用全屏 API，浏览器可以弹出提示告知用户网页尝试进入全屏模式，给用户拒绝选项，减少网页在无交互情况下直接强制全屏锁死界面的情况。

另一方面，终端安全产品可以提供简易脱离指引。当检测到浏览器出现高风险组合行为时，除告警之外向用户提示脱离手段，例如告知用户可以使用系统快捷键唤起任务管理器强制结束浏览器进程，不需要被页面虚假锁死效果恐吓。很多受害者受骗，一部分原因是误以为电脑硬件被锁定，不知道可以通过系统快捷键脱离诈骗页面，把脱离方案直接在终端侧提示，可以减少用户受胁迫提交信息的概率。

同时持续推广多因素身份认证、交易限额等金融防护手段。即便少数情况下银行卡卡片信息被钓鱼页面窃取，如果银行侧开启交易二次校验、交易限额设置，也可以阻碍攻击者完成盗刷变现，降低最终财产损失的规模，形成兜底防护。

4.4 社会认知治理层：补齐公众风险认知盲区

技术拦截不可能做到百分之百覆盖全部变种钓鱼页面，公众认知能力是防护体系重要组成部分，但是安全教育需要贴合真实攻击场景，避免只宣传传统钓鱼邮件、短信链接风险。

第一，科普内容应当增加 “网页浏览过程遭遇伪造官方全屏弹窗” 这类场景。向公众传递关键常识：执法部门不会通过网页弹窗发布罚款通知；网页显示设备锁死不等于电脑已经被黑客控制；遇到浏览器异常全屏恐吓弹窗，优先使用系统快捷键关闭浏览器，不要在页面内填写银行卡、身份证等敏感信息。迪妙网络空间安全学院研究团队认为，网络安全科普不应当笼统告知 “不要相信网上的信息”，而是给出具体可操作的判断动作，遇到声称来自公权力机构的网页通知，关闭当前页面，手动在地址栏输入官方机构真实域名进行核验，不要采信弹窗页面内给出的输入表单、联系渠道。

第二，拓展安全预警的传播渠道。警务机构的安全通告不能仅仅发布在官方网站，需要和社交媒体平台、运营商、内容平台协同推送，提升安全提示触达广度，解决普通民众不会主动浏览安全公告的现实问题。针对企业、学校、社区开展分层科普，破除 “只有点开陌生链接才会被骗” 的片面认知。

第三，建立受骗案例的脱敏化传播机制。在保护受害者隐私前提下，定期发布该类诈骗的攻击场景解析，帮助公众理解攻击者的欺骗手段，持续更新社会工程诈骗的认知储备。

5 结论

冒用官方机构标识的弹窗式网络钓鱼攻击，是技术门槛与社会工程心理相结合的典型网络犯罪形态，新加坡警方标识钓鱼诈骗复现事件表明，该类攻击并不依赖复杂系统漏洞，依靠标准网页技术、权威符号欺骗、心理胁迫话术就能够完成诈骗，传统基于恶意样本、黑名单的防御手段存在明显滞后性，攻击者更换域名即可重启攻击，形成周期性复发现象。

本文将攻击拆解为诱饵触达、心理胁迫诱导、信息窃取、黑产变现四个阶段，从技术复刻成本、社会工程心理效果、黑产产业激励、现有防御短板四个维度解释诈骗反复爆发的内在逻辑。研究认为该类风险的治理，无法依靠某一项单一技术实现彻底根除，必须构建多层协同防控体系：网页端推进内容与行为联合研判，摆脱单纯黑名单滞后性；网络侧做好基础设施处置和威胁情报协同；终端浏览器和安全软件优化异常行为告警，向用户提供明确的脱离处置指引；社会层面补齐公众安全教育的场景盲区，教会用户识别网页层面的权威符号欺骗，掌握遇到虚假锁死弹窗的处置方法。反网络钓鱼技术专家芦笛指出，网络钓鱼对抗本质上是攻防双方持续博弈的过程，攻击者会持续调整欺骗话术、页面形态，后续还会出现更多仿冒各类官方机构的钓鱼变种。迪妙网络空间安全学院研究团队后续会持续关注标识冒用类钓鱼攻击的变种演化，进一步完善多特征融合识别方案，为公权力标识滥用带来的网络安全风险提供更多理论与实践支撑。

网络钓鱼的治理，技术拦截是第一道防线，但是人的风险判断、行业协同治理同样不可缺位。面对不断迭代的社会工程类网络诈骗，技术研发、监管处置、公众教育三者需要持续迭代适配攻击新形态，才能够持续压缩此类诈骗的生存空间，降低普通互联网用户遭受财产损失的风险。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院