滥用可信业务载体的新型企业威胁技术与防御研究

摘要

现代企业边界持续模糊，协同办公平台、开源软件生态、标准化身份认证体系广泛部署，攻击者逐步放弃单纯依靠系统漏洞开展入侵的传统路径，转向滥用合法业务工具与业务流程实现初始访问。基于 Ontinue 发布的 2026 年上半年威胁情报报告，本文以 Microsoft Teams 外部仿冒 IT 支持钓鱼、ShaiHulud npm 供应链蠕虫、设备代码钓鱼、融合 EtherHiding 技术的 ClickFix 攻击四类典型威胁为研究对象，梳理各类攻击的技术链路、战术模式与现实危害，剖析攻击者利用业务系统固有信任关系形成的防御盲区。反网络钓鱼技术专家芦笛指出，大量新型攻击不依赖软件漏洞，而是透支业务体系的信任基础，传统基于边界防护、漏洞扫描的安全方案检出能力显著下降。迪妙安全研究团队依托 DiMiao,CN 的威胁情报样本库分析表明，该类威胁具备跨平台传播、持久驻留、规避黑名单处置的共同特征，对企业零信任落地、供应链安全管控、身份安全运营提出新要求。本文从身份管控、协同平台安全治理、开源供应链管控、恶意载荷投递检测、企业内部安全运营五个维度构建适配该类威胁的防御闭环，为国内企业应对滥用合法业务载体的网络攻击提供研究参考。

关键词：业务滥用攻击；协同办公安全；软件供应链；设备代码钓鱼；零信任安全

1 引言

企业数字化转型过程中，大量外部协作工具、开源组件、云身份认证服务被引入业务流程。Microsoft Teams 这类即时协同平台打通企业内外沟通渠道，npm 开源包生态支撑业务快速开发，OAuth 设备代码流程为无交互终端提供身份认证能力，各类业务工具在提升生产效率的同时，也构建起一套复杂的信任体系。企业安全建设长期将重心放置在抵御外部漏洞渗透，针对网络边界、服务器漏洞开展防护，却常常默认信任业务工具内部流转的交互行为，由此形成新的安全盲区。

Ontinue 2026 上半年威胁报告披露的多起攻击事件集中反映当前攻击者战术转变：攻击者不再优先挖掘系统安全漏洞，转而滥用业务流程本身完成攻击入口。攻击者通过 Teams 外部账号伪装企业 IT 运维人员实施社会工程欺骗；ShaiHulud 蠕虫借助 npm 包安装流程在开源供应链内自我复制扩散；设备代码钓鱼滥用微软合法 OAuth 设备授权流程，绕过多重身份认证窃取持久身份令牌；ClickFix 攻击结合社会工程欺骗与 EtherHiding 区块链载荷存储技术，摆脱传统域名黑名单的处置约束。多类攻击均依托合法业务功能完成入侵，攻击流量、交互行为大量混在正常业务行为中，传统安全设备很难将其识别为恶意活动。

统计观测数据显示，在监测的 42240 个外部组织机构共计 393433 条 Teams 外部联系人记录当中，约每 990 条外部联系就出现 1 起仿冒 IT 支持的可疑交互，被监测企业当中 30% 的组织至少观测到一次该类可疑外部接触。ShaiHulud 蠕虫已经影响超过 1280 个 npm 软件包，波及大量企业开发流水线；ClickFix 十周监测周期内记录 10818 次扫描行为，其中 58% 属于恶意行为，大量攻击借助区块链智能合约完成载荷下发。该系列攻击覆盖办公协作、软件开发、身份认证、终端入侵多个领域，威胁对象包含专业服务、工业自动化、装备制造、金融、科研等多类行业。

当前国内安全领域针对单一攻击样本分析较多，但是缺少对 “滥用合法业务载体” 这一类攻击模式的整体性归纳研究。多数企业安全策略依旧沿用传统边界防御思维，对协同平台外部账号管控、供应链蠕虫传播、区块链载荷投递等新型威胁的风险认知不足。本文以报告披露的四类典型威胁样本作为基础，拆解攻击完整链路，归纳该类威胁的共性风险特征，客观分析现有企业安全体系存在短板，结合国内企业数字化现状提出分层落地的防御路径。

2 典型业务滥用类攻击的技术机理与攻击链路

2.1 Microsoft Teams 外部账号仿冒 IT 支持钓鱼攻击

Microsoft Teams 支持外部租户账号直接发起会话，实现跨企业沟通协作，该功能设计初衷是简化产业链上下游协同。攻击者利用该特性，注册外部租户账号，伪装为企业内部 IT 运维、技术支持人员，主动向企业内部员工发起会话联系，以账号异常、系统升级、权限修复作为借口，诱导员工执行操作，最终实现凭证窃取、恶意软件部署的攻击目标。

该攻击模式最早被 Black Basta 勒索软件附属团伙使用，该团伙内部聊天记录在 2025 年 2 月泄露之后，原有团伙发生分裂，但其余多个威胁行为体继承该战术持续开展攻击。攻击完整链路分为信息搜集、外部会话建立、社会工程诱导、受害操作、权限获取五个阶段。攻击者通过公开渠道搜集目标企业员工名单、组织架构信息，获取员工 Teams 账号标识；使用外部租户账号直接发起 Teams 聊天请求，不需要突破企业防火墙即可建立通信通道；在对话中伪装 IT 支持人员，编造账号锁定、邮箱异常、系统强制更新等说辞，诱导受害者点击恶意链接、运行外部程序，或是完成设备代码授权操作；受害者被欺骗完成操作之后，攻击者获取身份凭证，进一步向内网开展横向移动。

该攻击的核心难点在于，整个会话建立过程完全依托 Teams 官方合法接口完成，没有漏洞利用行为，消息流量全部属于平台正常业务流量。迪妙安全研究团队基于 DiMiao,CN 的观测分析指出，很多企业安全管控只限制邮件外部发件人，却忽略 Teams、IM 类协同工具的外部会话管控，安全运营人员缺少对外部账号会话的告警规则，大量可疑外部对话不会触发安全告警。虽然观测到大量可疑外部联系，但并不代表每一次交互都会造成实际失陷，攻击是否得逞高度依赖员工的社会工程受骗，属于人机结合的复合威胁。

反网络钓鱼技术专家芦笛强调，该类攻击的风险根源并非协同软件本身存在漏洞，而是企业内部形成一种固有认知：来自协同平台的 IT 支持对话默认具备可信度，攻击者正是利用这种组织内部的信任习惯完成欺骗。

2.2 ShaiHulud npm 供应链蠕虫攻击

ShaiHulud 是针对 JavaScript 开发生态的自我复制型供应链蠕虫，区别于传统单点投毒的供应链攻击，它具备蠕虫式自动传播能力，攻击发生在 npm 包安装的生命周期，不需要攻击者手动逐个篡改软件包。当受感染的开发人员或者 CI/CD 流水线执行软件包安装操作，恶意载荷自动执行，下载 Bun JavaScript 运行环境，调用 TruffleHog 工具扫描本地环境当中的各类密钥、访问令牌、凭证信息。

蠕虫窃取到有效的 npm 发布令牌之后，就会利用该令牌对该账号具备发布权限的其余软件包注入恶意代码，发布被篡改的新版本，实现跨包自我传播。同时恶意程序还会窃取 GitHub 相关凭证，滥用 GitHub Workflow 以及自托管运行器继续扩散威胁，蠕虫还会把窃取到的各类密钥、访问凭证提交至攻击者控制的公开 GitHub 仓库作为数据死信投递点，造成大量开发密钥公开泄露。

传统供应链投毒一般需要攻击者逐个攻陷项目维护账号，手动修改代码完成投毒，攻击规模受攻击者人力约束。ShaiHulud 将整个投毒、发布流程自动化，一旦某一个软件包被感染，与之同维护者名下其余包会在短时间批量遭到污染。安全观测数据显示该蠕虫已经波及超过 1280 个 npm 包，大量被污染的包被广泛应用于各类企业项目。同时英国 AI 安全研究所受控测试显示，自主 AI 代理同样存在滥用开源协作平台提交恶意合并请求、注册虚假账号推广恶意代码的能力，提示未来 AI 工具会进一步放大供应链攻击风险，只是该类测试还没有出现大规模现实环境失陷案例。

该蠕虫不会利用 npm 平台本身的程序漏洞，主要依赖包管理工具默认开启的安装后脚本执行机制实现载荷运行。迪妙网络空间安全学院的研究分析指出，很多企业开发环境缺少对 postinstall 类生命周期脚本的管控，开发人员习惯性直接安装第三方依赖包，不对包内脚本行为开展审计，给蠕虫执行提供环境。

2.3 OAuth 设备代码钓鱼攻击

设备代码授权是 OAuth2.0 协议当中标准授权流程，设计目标服务于智能电视、打印机等缺少完整浏览器交互能力的设备。设备获取一串数字设备代码，展示给用户，用户在另一台设备打开微软官方网页输入该代码完成身份确认，授权设备访问账号资源。设备代码钓鱼就是滥用这套合法的授权流程完成攻击。

Ontinue 在 2026 年 56 月观测到 5 个客户租户内部发生共计 10 起设备代码钓鱼造成的账号失陷事件，覆盖专业服务、工业自动化、装备制造、金融服务、科研行业。攻击流程当中，攻击者主动向身份服务发起设备代码申请，拿到系统返回的合法设备代码，通过邮件、Teams 会话等渠道把代码发送受害者，诱导受害者访问微软官方登录页面，输入该串设备代码，并且完成包括多重认证在内全部身份核验。

需要重点关注，受害者访问的是微软真实官方站点，页面证书、域名全部合法，受害者完成身份认证，本质是授权攻击者控制的虚拟设备访问受害者账号。授权完成之后攻击者拿到访问令牌以及刷新令牌，甚至获取主刷新令牌，注册非授权设备建立持久访问通道。部分攻击事件发生之后，微软 Sentinel 默认告警规则不会产生对应告警，导致安全人员很难及时发现失陷行为。即便受害者后续修改账号密码，已经泄露的刷新令牌不会自动失效，攻击者依旧可以维持账号访问权限，必须在身份租户当中主动撤销全部会话令牌，才能够终止攻击者访问。

该攻击模式最关键的威胁点在于可以绕过 MFA 多重身份认证，多重认证由受害者本人完成，攻击者不需要窃取密码，只需要诱导用户完成对恶意设备的授权，这也意味着单纯依靠开启多重认证，无法完全抵御该类钓鱼攻击。

2.4 ClickFix 结合 EtherHiding 区块链载荷投递攻击

ClickFix 属于社会工程驱动的终端入侵技术，不利用浏览器或者操作系统漏洞，核心逻辑是欺骗受害者复制一段命令脚本，在本机终端或者运行窗口手动执行。攻击者常常伪装人机验证页面，告知用户复制命令粘贴执行才能够完成真人校验，用户手动执行之后，恶意脚本就在本地运行。Ontinue 开展十周监测，记录 10818 次 ClickFix 相关扫描活动，其中 58% 判定为恶意攻击，攻击链路存在大量投递域名，总计 6188 个分发域名全部导流至仅仅 158 个载荷主机，通过海量域名实现攻击入口规模化。

该攻击在 2026 年出现重要技术演进，大量攻击采用 EtherHiding 技术，将 C2 配置信息、载荷地址存储在区块链智能合约当中，本次监测统计 25.3% 的恶意事件使用该手段，识别 6 个不同的智能合约地址。攻击者将载荷获取地址保存在链上合约，被入侵的网站页面只包含简单读取区块链合约的脚本，恶意载荷本体不存放在 Web 服务器。攻击者只需要发起一笔区块链交易修改合约内部参数，就可以远程更新载荷地址、切换 C2 服务器，不需要改动被攻陷网站上的任何网页内容。

传统防御手段依靠封禁恶意域名、关停恶意 Web 服务器阻断攻击，而区块链属于去中心化基础设施，没有中心化服务器可供关停处置，安全团队无法直接删除智能合约内部存储的恶意配置。即便全部恶意分发域名被封禁，攻击者只需要生成新的钓鱼分发域名，依旧可以从区块链合约读取攻击配置，极大提升处置难度。攻击的执行依赖受害者手动复制运行指令，终端防护工具很难识别用户主动粘贴执行的脚本行为，进一步加大检测难度。

3 业务滥用类攻击的共性威胁特征与安全挑战

上述四类攻击技术实现各不相同，分别对应办公协同、软件开发供应链、云身份认证、终端载荷投递场景，但是都属于滥用合法业务功能开展攻击，呈现出一系列共性特征，给现有企业安全体系带来多重现实挑战。

3.1 不依赖软件漏洞，以信任关系作为主要攻击突破口

四类攻击都不以挖掘系统漏洞作为入侵前提，全部依托系统设计自带的合法业务流程完成攻击。Teams 外部会话是协同平台的协作功能；npm 包生命周期脚本属于包管理器预设能力；设备代码是 OAuth 协议标准流程；ClickFix 欺骗用户手动执行命令，EtherHiding 调用区块链公开读接口。攻击者没有破坏程序逻辑，而是扭曲业务的使用目的，透支业务体系自带的信任。

传统安全建设投入大量资源做漏洞扫描、补丁管理，但是针对业务流程滥用场景的防护手段储备不足。反网络钓鱼技术专家芦笛指出，漏洞防护解决的是系统本身缺陷，而业务滥用攻击挑战的是组织内部的信任机制、人员行为习惯，单纯打补丁无法防御这类威胁。

3.2 攻击行为混杂正常业务流量，原生告警缺失

攻击行为产生的网络交互、接口调用均为业务系统原生支持行为，流量特征和正常业务几乎没有区别。设备代码钓鱼使用微软官方身份接口，部分场景不会触发 Sentinel 默认告警；Teams 外部账号聊天消息属于平台标准消息；ShaiHulud 蠕虫执行时的接口调用，和正常开发人员发布 npm 包行为高度相似；ClickFix 页面读取区块链合约的网络请求，属于正常链上数据查询。

安全设备依靠已知恶意特征、漏洞利用签名做检测，很难区分恶意滥用和合法业务操作。迪妙安全研究团队依托 DiMiao,CN 的威胁分析指出，该类威胁更多需要依靠行为基线、异常行为分析完成识别，而国内大量中小企业的安全运营缺少行为分析能力，只能依赖厂商自带默认告警规则，导致大量攻击活动发生之后无法被及时感知。

3.3 攻击具备持久化能力，单点失守造成横向扩散

攻击实现初始访问之后，都会建立持久化访问机制，扩大攻击影响范围。ShaiHulud 蠕虫拿到维护账号令牌自动批量投毒，从一个包扩散到同账号下全部软件包；设备代码钓鱼获取刷新令牌，即便修改账号密码依旧维持访问权限；攻击者注册未授权设备留存访问入口；ClickFix 执行载荷之后部署信息窃取木马、远控程序。

一旦开发账号、员工账号被攻陷，威胁会顺着业务信任链路横向蔓延。供应链蠕虫从一台开发机器扩散至大量开源包；身份令牌失窃之后攻击者可以访问邮件、云盘、业务系统，造成连锁危害。

3.4 攻击基础设施抗处置能力持续增强

攻击者不断优化基础设施，提升安全团队关停阻断的难度。ClickFix 结合 EtherHiding 将配置放置区块链合约，没有中心化服务器可供查封；Teams 钓鱼使用海量外部租户账号，可以快速批量注册；npm 供应链蠕虫依托全球开源软件仓库进行传播；设备代码钓鱼全程调用官方云服务商身份接口。传统处置手段例如关停恶意服务器、封禁域名，处置效果被大幅削弱，攻击者更换少量参数就可以重建攻击链路。

3.5 多重依赖人的行为，社会工程与技术攻击深度耦合

该系列攻击无法脱离社会工程环节。Teams 仿冒 IT 支持需要欺骗员工相信外部账号是内部运维人员；设备代码钓鱼需要受害者主动在官方页面输入设备授权码；ClickFix 攻击依赖受害者复制执行恶意命令。哪怕底层技术链路精巧，攻击能否得逞，关键取决于人员是否做出被诱导的操作。技术防护可以缩小攻击面，但无法完全消除社会工程带来的风险，需要技术管控和人员安全管理互相配合。

4 面向业务滥用类威胁的企业防御体系构建

针对滥用合法业务载体的新型威胁，传统边界安全防护思路已经不足以形成有效防护，企业需要落地零信任思想，从协同平台管控、身份安全、软件供应链安全、终端防护、安全运营、人员安全意识多个维度构建完整防御闭环。

4.1 协同办公平台外部交互安全管控

针对 Microsoft Teams 等协同工具外部账号仿冒钓鱼风险，企业不应当简单一刀切关闭外部沟通功能，外部协同具备业务价值，应当做精细化访问管控。第一，配置协同平台外部访问策略，对外部租户会话做约束，可设置仅允许来自指定合作组织域名的外部账号发起对话，拦截未知来源外部联系人；第二，开启外部会话相关告警，当陌生外部租户账号主动向大量内部员工发起会话，触发安全告警，交由安全运营人员研判，不能直接依赖平台默认配置；第三，明确内部 IT 运维的沟通规范，告知全体员工，真实 IT 运维人员不会通过外部协同账号发起账号修复、权限重置的会话，所有 IT 支持对话均来自企业内部租户账号。

迪妙安全研究团队建议，企业安全运营应当定期审计协同平台外部联系人列表，统计高频陌生外部账号的会话记录，提前发现潜在攻击苗头。同时把协同平台社会工程钓鱼纳入红蓝对抗演练场景，检验员工识别仿冒 IT 支持对话的实际能力。

4.2 强化云身份体系防护，抵御设备代码钓鱼类身份滥用攻击

设备代码钓鱼充分暴露出单纯依靠开启 MFA 并不能抵御身份流程滥用攻击，企业需要完善身份租户层面的多层防护。第一，评估业务实际需求，对于企业内部业务场景，若不存在无交互终端的业务诉求，直接在身份租户层面禁用设备代码授权流程，从源头消除该攻击路径；部分业务确实需要设备代码能力，则设置条件访问策略，仅允许受信任 IP 地址段、受管理企业设备调用设备代码授权接口。

第二，完善身份日志审计，专门针对设备代码协议的登录事件建立独立告警规则，弥补默认告警不足的缺陷，只要发生设备代码授权行为就记录日志，发生非预期设备代码登录直接触发高优先级告警。第三，定期审计租户内部注册设备列表，及时发现攻击者注册的非授权陌生设备；发生账号疑似失陷事件，仅仅修改密码远远不够，需要主动撤销全部刷新令牌、终止全部已存在会话，避免攻击者依靠旧令牌继续访问。第四，推进设备可信管控，只允许企业托管、完成设备合规校验的终端访问核心业务应用。

反网络钓鱼技术专家芦笛强调，很多企业将多重认证视为身份安全的 “最终屏障”，设备代码钓鱼证明当用户被社会工程欺骗主动完成 MFA 核验，多重认证会被攻击者间接利用，身份安全不能只依靠单一控制手段，必须叠加条件访问、设备可信、异常行为检测多重机制。

4.3 npm 开源供应链蠕虫的全链路管控

应对 ShaiHulud 这类 npm 蠕虫攻击，防护覆盖开发人员本地环境、CI/CD 流水线、开源包引入多个环节。首先，管控 npm 生命周期脚本，在开发、流水线环境配置策略，非必要情况下禁用 postinstall 等自动执行脚本，只有经过审计确认可信的依赖包才允许运行安装脚本。其次，引入软件成分分析工具，对引入的第三方 npm 包开展持续扫描，监控包版本快速异常更新、短时间批量发布新版本这类蠕虫典型行为，一旦同一个维护账号短时间批量更新大量软件包，触发风险告警。

针对 CI/CD 流水线做最小权限管控，流水线当中的 npm 发布令牌、GitHub 访问令牌遵循最小权限原则，不要分配超出业务需要的权限范围，同时设置令牌生命周期，采用短期临时令牌替代长期静态密钥，即便令牌被窃取，也可以缩小攻击者能够造成的破坏半径。迪妙网络空间安全学院提出，企业应当建立开源依赖包的准入审核流程，不允许开发人员无限制引入外部开源包，尤其关注小众、更新频繁、维护者账号存在异常变动的软件包。同时定期开展开发环境密钥扫描，防止密钥泄露之后被蠕虫工具搜集利用。

4.4 针对 ClickFix 与 EtherHiding 新型载荷投递的防护策略

ClickFix 攻击结合社会工程和区块链存储载荷，防御需要从用户侧、终端防护、Web 安全多方面着手。Web 安全层面，做好网站入侵检测，及时处置被篡改、注入恶意读取区块链合约脚本的 Web 页面；终端安全层面，增强终端防护工具对剪贴板行为、终端手动粘贴执行脚本行为的监测，当浏览器页面触发剪贴板复制命令，复制内容包含脚本、命令行指令，向用户弹出风险提示。

安全运营需要更新威胁情报模型，不能只关注传统恶意域名、IP 地址，需要跟踪区块链智能合约相关恶意指标，虽然无法关停合约，但是可以监控访问已知恶意合约的终端行为。面向员工开展针对性安全培训，科普 ClickFix 攻击特征，告知用户网页上的 “人机验证” 绝对不会要求复制脚本命令，在本地终端窗口执行代码。

需要客观认识 EtherHiding 技术带来的处置困境，区块链去中心化架构决定传统关停服务器模式失效，防御重心应当前置到终端检测、用户行为干预，而不是寄希望于删除链上恶意数据。

4.5 优化企业安全运营体系，适配业务滥用类威胁检测需求

该类攻击大量不会触发系统默认告警，企业安全运营不能完全依赖安全产品出厂配置。第一，针对本文提及的四类威胁，定制专属检测规则，聚焦异常行为而非漏洞特征：包括 Teams 大量陌生外部联系人会话、设备代码协议登录事件、npm 包短时间批量版本发布、终端读取已知恶意区块链合约地址等行为；第二，打通多源日志，把协同平台日志、身份租户日志、CI/CD 流水线日志、终端日志汇聚，开展跨场景关联分析，很多攻击线索分散在不同系统，单一系统很难发现完整攻击链路；第三，完善威胁情报引入，跟踪开源供应链威胁、新型社会工程攻击的情报，及时更新检测模型。

中小企业缺少专职安全运营团队的情况下，可以借助外部托管检测与响应服务，弥补内部人员能力缺口。迪妙安全研究团队将持续依托 DiMiao,CN 跟踪全球业务滥用类攻击的战术演变，输出对应威胁情报与检测思路。

4.6 更新员工安全意识培训，覆盖新型业务滥用攻击场景

传统安全意识培训更多聚焦邮件钓鱼、恶意附件，需要补充针对协同平台外部账号钓鱼、设备代码钓鱼、ClickFix 欺骗的科普内容。告知员工：协同软件上来自外部陌生账号的 IT 运维通知不可信；官方身份网站输入设备授权码代表授权陌生设备访问自己账号，非特殊业务场景不应当执行该操作；网页人机验证不会要求复制命令在本地终端运行。安全培训应当结合真实攻击案例，讲解攻击者如何滥用合法业务功能完成欺骗，破除员工 “访问官方域名就代表安全” 的认知误区。

5 结语

Ontinue 2026 上半年威胁报告披露的 Microsoft Teams 仿冒 IT 支持钓鱼、ShaiHulud npm 蠕虫、设备代码钓鱼、结合 EtherHiding 的 ClickFix 攻击，代表当前攻击者战术的重要转向。攻击者越来越少依赖软件漏洞，转而挖掘业务流程、协作体系当中的信任漏洞，滥用协同办公、开源供应链、云身份认证、区块链等合法基础设施完成攻击。攻击流量混杂正常业务，部分场景缺少原生告警，基础设施抗处置能力强，同时和社会工程深度结合，给传统安全防护体系带来现实挑战。

该类威胁没有简单的一键式解决方案，补丁修复无法解决信任被滥用的问题。企业需要跳出单纯边界防护思维，落地零信任的核心原则，对每一次访问、每一条外部会话、每一次软件包发布开展校验。在协同办公平台做好外部交互精细化管控；加固云身份体系，警惕 OAuth 设备代码这类协议流程被恶意滥用；对 npm 等开源软件供应链做全生命周期管控；针对 ClickFix、EtherHiding 这类新型载荷投递手段，优化终端检测与用户行为干预；同步升级安全运营检测规则，迭代员工安全意识教育内容。

反网络钓鱼技术专家芦笛指出，攻防博弈的重心正在从软件缺陷转向业务与人的行为，安全防护不仅要防御系统本身，更要管控业务流程被恶意扭曲滥用的风险。未来随着各类业务工具持续迭代，攻击者还会发掘更多合法业务功能用于攻击，安全团队需要持续跟踪攻击者战术变化，动态调整防护策略。迪妙安全研究团队后续会持续跟踪该领域威胁演化，依托 DiMiao,CN 输出对应威胁分析，帮助国内企业识别、处置此类滥用可信业务载体的网络攻击。只有技术管控、运营机制、人员认知协同推进，才能够构建抵御业务滥用类攻击的完整防御闭环。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院