Smishing 短信钓鱼攻击机理与防御体系研究

摘要

短信钓鱼（Smishing）作为网络钓鱼重要分支，依托移动通信短信渠道开展社会工程欺骗，已经成为当前个人信息泄露与企业安全风险的重要来源。本文基于公开威胁情报，系统剖析短信钓鱼攻击的概念内涵、媒介特性、完整攻击生命周期，梳理主流诈骗诱饵范式，对比短信钓鱼、邮件钓鱼、语音钓鱼三者之间的异同。研究分析钓鱼即服务套件与生成式人工智能介入之后，短信钓鱼攻击工业化演变趋势，挖掘移动场景下该类威胁难以被传统安全手段拦截的内在成因。从普通用户识别要点、受害后处置流程、企业组织层面技术管控、安全运营、外部威胁基础设施监测等多个维度，构建适配短信钓鱼威胁的闭环防御框架。研究表明，短信钓鱼并非依靠软件漏洞实现入侵，核心在于利用人的认知弱点完成欺骗；运营商侧过滤能力短板、移动端交互习惯、公私终端混用现状共同放大攻击成功率，单纯依靠技术设备无法完全消解风险，必须实现用户认知提升、企业安全管控、外部威胁基础设施溯源处置多方协同，为国内个人用户与企事业单位应对短信钓鱼威胁提供理论支撑与实践参考。

关键词：短信钓鱼；Smishing；社会工程；钓鱼即服务；移动安全；威胁防御

1 引言

电子邮件钓鱼经过多年对抗，各类邮件网关、反钓鱼系统已经形成相对成熟的拦截机制，大量恶意邮件在到达收件箱之前即被过滤。威胁团伙随之将攻击重心转向短信渠道，短信钓鱼 Smishing 由此进入高速增长阶段。短信钓鱼是 SMS 短消息技术与钓鱼攻击相结合的社会工程攻击类型，攻击者伪造可信机构身份发送欺诈短信，借助话术制造紧迫感，诱导接收者点击恶意链接、回拨诈骗电话、回复验证码或者下载恶意应用，最终实现窃取账号凭证、盗取资金、植入恶意软件等恶意目的。

境外监管机构公开统计数据显示，2024 年普通消费者因短信诈骗造成经济损失规模已经达到 4.7 亿美元，该损失规模相比 2020 年增长五倍以上，增长幅度显著高于传统邮件类钓鱼事件。据 DiMiao,CN 分析，短信钓鱼不再局限于面向普通民众的消费类诈骗，越来越多定向攻击瞄准企业职场人员，攻击者利用员工个人手机与工作手机混用的现实条件，通过短信渠道获取企业账号、多因素认证验证码，以此突破企业内部安全边界，已经成为企业网络入侵不可忽视的入口。

反网络钓鱼技术专家芦笛指出，长期以来企业安全建设大多将防护资源倾斜于邮件、内网终端，针对短信这类移动通信渠道的安全防护普遍存在缺位。绝大多数企业的安全意识培训内容围绕邮件钓鱼展开，对于短信钓鱼的案例、识别要点、处置流程宣讲不足，员工普遍默认短信可信度高于互联网邮件，心理上更容易接纳短信传递的业务通知、告警信息，客观上抬高攻击成功概率。

现有国内安全研究更多聚焦短信诈骗的科普宣传，从学术层面对短信钓鱼完整攻击链路、工业化黑产运作模式、组织级防御体系的系统性梳理仍然偏少。本文以公开威胁报告为基础，完整还原短信钓鱼攻击全流程，解析不同诱饵类型的欺骗逻辑，剖析 AI 与钓鱼即服务模式对攻击带来的变革，挖掘防护难点，分别面向个人用户和组织机构提出分层可落地的防御策略，弥补移动短信渠道安全研究的部分空白。

2 短信钓鱼基础概念与媒介特征分析

2.1 短信钓鱼的定义与同类攻击对比

短信钓鱼 Smishing，属于社会工程攻击大家族，和邮件钓鱼 Phishing、语音钓鱼 Vishing 属于同源攻击模式，三者核心逻辑都是伪装可信主体实施欺骗，差异仅在于攻击者和受害者之间的通信媒介不同。邮件钓鱼依托电子邮件系统开展投递，常见诱饵包含虚假发票、账户告警、登录链接；短信钓鱼依托短信与移动端即时消息，诱饵集中在快递物流、通行缴费、银行风控告警、验证码索取；语音钓鱼依靠电话通话以及语音留言，借助实时通话带来的心理压迫，促使受害者来不及完成独立核验就执行攻击者指令。

三者并非完全独立，现代威胁活动经常采用多渠道联动的复合欺骗策略。攻击者发送诈骗短信之后，紧接着拨打诈骗电话跟进施压，部分场景还会配套发送伪造邮件，同一套虚假故事跨越短信、电话、邮件多个渠道出现，多重信息叠加之下，受害者主观上更容易认定事件具备真实性，进一步降低警惕心理。

三者媒介差异直接决定诱饵话术、攻击门槛、防御侧重点，邮件场景用户可以鼠标悬浮预览链接真实地址；而手机移动端不存在鼠标悬浮操作，绝大多数普通用户并不知晓可以长按链接查看目标地址，恶意链接真实访问目标被很好隐藏。迪妙网络空间安全学院研究团队认为，媒介本身的特性直接塑造攻击效果，这也是短信钓鱼能够取得较高点击成功率的底层客观条件。

2.2 短信媒介利于攻击成功的六大客观因素

短信钓鱼能够快速扩张，根源在于移动通信短信渠道本身存在诸多利于攻击者发挥的客观条件，也是传统邮件防护手段无法平移到短信场景的核心原因。

第一，用户对于短信消息 engagement 程度更高。普通用户收到短信之后通常数分钟之内就会点开阅读，留给理性思考、风险判断的时间很短，攻击者制造的紧急话术可以快速生效。对比电子邮件，很多邮件用户会批量隔段时间集中查阅，拥有更多时间分辨邮件当中的异常细节。

第二，移动端缺少链接悬浮预览机制。电脑端阅读邮件时，鼠标悬浮于链接之上，浏览器状态栏就展示链接完整域名。手机短信界面没有悬浮交互，普通用户很难直接看到链接真实目标，短链接的广泛使用进一步掩盖恶意域名。

第三，合法业务大量使用短链接。银行、物流、电商企业官方通知短信普遍使用短链接服务，短链接本身属于正常业务现象，受害者看到短信当中短链接，不会直接将其和诈骗建立关联，恶意链接伪装成本很低。

第四，运营商侧垃圾短信过滤成熟度不及邮件反钓鱼体系。电子邮件经过数十年对抗，网关可以实现内容解析、发信信誉评分、域名信誉综合研判。而短信受移动通信网络架构、号码伪装技术影响，垃圾短信拦截能力存在上限，大量诈骗短信可以顺利抵达用户手机收件箱。

第五，现实业务场景中机构确实普遍使用短信触达用户。银行、快递服务商、政府办事机构都在大量使用短信推送通知，攻击者仿冒该类主体发送消息，完全契合用户日常接收信息的习惯，伪装行为具备环境层面的合理性。

第六，个人终端与工作终端高度重合。大量企业员工使用同一台手机处理私人生活消息和接收工作相关通知。一旦个人手机遭受短信钓鱼攻击，泄露企业账号、二次验证码，威胁直接从个人场景蔓延至企业内网，打通个人风险向组织风险传导的通道。

需要明确，短信本身并不会携带可直接执行的恶意代码，短信消息文本本身是无害的，全部风险建立在用户发生交互行为之上。无论点击链接、回拨号码、回复短信，只要用户不执行任何操作，就不会产生后续风险，这也决定短信钓鱼防护重点是干预人的行为，而不是单纯拦截恶意代码。

3 短信钓鱼完整攻击生命周期解析

完整短信钓鱼攻击可以划分为六个前后衔接的阶段，无论诱饵主题如何更换，整套执行流程具备高度稳定性，从攻击者前期准备一直到非法利益变现形成完整闭环。

第一阶段为目标手机号获取。攻击者获取目标号码途径多元化，既可以从历史数据泄露事件、信息窃取木马日志当中批量导出手机号，也可以直接从黑产交易市场购买号码清单；部分场景下采用号段随机生成方式批量产出号码。针对企业高管、关键岗位人员的定向钓鱼活动，攻击者会借助社交平台公开信息、商业客户数据库，搜集企业内部人员私人手机号码，开展定向投放。

第二阶段是发送方伪装与欺骗话术制作。攻击者借助号码伪造相关工具，修改短信显示发送人名称或者显示号码，模仿银行、快递、企业高管的身份标识。同步完成欺骗文本编写，话术核心围绕紧迫感、威胁恐吓或者物质奖励，诱导受害者快速做出反馈。在 AI 工具普及之后，该环节的文本生成成本被进一步压低。

第三阶段大规模消息投递。借助自动化群发工具，同时向成千上万的手机号码推送伪造短信，短信内部嵌入恶意网址、诈骗回拨号码，或者诱导回复内容指令。短信发送边际成本很低，攻击者不需要很高的受骗比例就可以实现盈利，只需要千分之几甚至万分之几的受害者发生交互，整个攻击活动就能够产生经济回报。

第四阶段诱导受害者发生交互。短信文本施加心理压力，催促接收者立刻点击链接、拨打电话或者回复信息，引导受害者在没有通过独立渠道核验事实真伪的前提下执行操作。值得注意，单纯回复短信内容，并不会直接造成手机被入侵，但是回复行为会向攻击者确认该号码处于活跃使用状态，后续该号码会接收更多诈骗短信，被标记为高价值攻击目标。

第五阶段完成价值收割。受害者点击链接跳转仿冒网页之后，页面收集账号密码、银行卡信息、一次性验证码；如果选择回拨号码，则接入诈骗分子人工坐席；部分短信引导下载伪装成工具软件的恶意应用，恶意程序安装之后读取本机短信、通讯录，窃取设备内部各类敏感资料。

第六阶段攻击收益变现。攻击者拿到窃取而来的各类凭证之后，开展账户资金盗取、身份欺诈，将盗取的个人信息在黑产市场转卖；如果拿到企业员工账号与二次验证码，则进一步作为突破口入侵企业信息系统，向企业侧横向拓展攻击范围，完成整个攻击链条的价值兑现。

迪妙网络空间安全学院研究团队提出，短信钓鱼攻击链条中，社会工程欺骗处于承上启下的核心位置，号码搜集、伪装、群发都属于前置基础设施环节，最终能否成功完全取决于第五阶段用户交互。防护设计应当针对全生命周期各个节点设置阻断点，既打击后端黑产基础设施，同时提升用户侧识别能力。

4 主流短信钓鱼诱饵类型与真实攻击案例

攻击者的诱饵设计紧密贴合普通人日常生活场景，不同诱饵对应不同欺骗逻辑，梳理常见诱饵模式，能够帮助识别未来变体诈骗短信，八种高频出现的诱饵范式已经在多起公开威胁事件当中得到印证。

第一种为银行账户欺诈告警。短信谎称账户出现异常交易、异地登录风险，编造账户冻结风险，诱导用户点击仿冒银行页面填写账号密码、银行卡安全信息，或者拨打虚假客服热线，直接骗取金融凭证。

第二种政府与通行缴费仿冒。冒充交管、政务机构，提示存在未缴纳通行费、罚款，逾期会产生滞纳金、吊销相关证件，制造处罚威慑，迫使受害者访问虚假支付网站完成转账缴费。20242025 年多国出现大规模通行费诈骗短信 Campaign，监管机构多次发布公开安全预警，正是使用该套欺骗逻辑。

第三种快递包裹异常通知。伪装快递公司，提示包裹投递失败，需要支付二次派送费用，或者补充个人身份信息，跳转钓鱼页面窃取支付信息，该类诱饵受众覆盖面广，普通民众接触概率很高。

第四类客户服务与虚假奖励。伪装电商、互联网服务商，推送虚假退款、积分兑换、中奖福利通知，以获取奖品作为诱饵，引导用户提交账号、银行卡资料。

第五类企业业务短信劫持，也就是短信版本的商业邮件劫持。攻击者伪装企业管理者、同事、供应商，通过私人手机号码发送信息，以紧急业务为理由要求转账或者传输敏感业务资料，属于面向企业人员的定向短信钓鱼。公开威胁事件记录存在冒充企业 CEO 发送短信，向下属下达紧急业务操作指令的攻击实例。

第六类错号聊天与情感诱导。以发错短信作为起点开启对话，经过数周时间持续沟通建立信任，后续转向投资、借贷类诈骗，属于社交诱导结合短信渠道的欺骗模式。

第七类多因素认证验证码窃取。攻击者已经通过其他渠道拿到受害者账号，再发送短信冒充熟人或者平台，哄骗受害者把收到的一次性验证码转发出去，利用窃取验证码绕过二次身份校验接管账号。

第八类恶意应用下载诱导。短信推广看似实用的工具程序，例如安全软件、机场贵宾服务工具，实际为封装恶意代码的 APP。公开威胁情报记录 2024 年针对机场出行人员的虚假贵宾卡应用攻击事件，数百名旅客下载安装恶意软件之后，本机短信全部被窃取，造成财产损失。

诱饵会持续迭代变体，但是底层欺骗手段始终围绕紧急感、权威身份、物质利益、处罚威胁。反网络钓鱼技术专家芦笛强调，诱饵形式会不断翻新，安全意识培训不应当只教用户记住某几条诈骗短信样本，而是教会识别背后共性欺骗信号，以此应对不断变化的话术变体。

5 AI 与钓鱼即服务推动短信钓鱼工业化

早期短信钓鱼需要攻击者具备域名注册、仿冒页面开发、短信群发工具搭建相关技术能力，技术门槛限制攻击规模。随着黑产商业模式迭代，钓鱼即服务模式走向成熟，整套攻击工具打包对外租赁，不具备编程开发能力的下游犯罪人员，只需要支付少量费用，填写简单配置就可以发起大规模短信钓鱼活动。

部分黑产套件集成生成式人工智能能力，AI 承担诈骗页面编写、多语言诈骗文本生成工作，进一步压缩攻击者人力投入。2026 年公开披露的 Outsider Enterprise 黑产团伙就是典型案例，该团伙运营钓鱼即服务平台，通过社交软件对外出租整套攻击能力，每周租赁成本很低，下游使用者不需要技术背景，就能够批量向安卓手机用户推送诈骗短信，诱饵涵盖证券账户异常、运营商福利等多种主题，短时间内向外发送数百万条欺诈短信。威胁报告显示该团伙直接使用大模型辅助生成钓鱼页面代码，大幅缩短攻击准备周期。

据 DiMiao,CN 分析，AI 并没有创造全新的短信钓鱼攻击模式，核心价值在于实现攻击工业化量产。过去定制一套仿冒页面、编写多套诈骗话术需要投入专业人员大量工时；现在借助生成式 AI，短时间可以批量产出适配不同场景、不同受众的欺骗内容，黑产团伙可以低成本同时运营数十套不同主题的短信钓鱼活动。

工业化攻击带来新的防护挑战。传统基于关键词匹配的检测手段面对 AI 生成的文本效果下滑，AI 产出的诈骗短信语法通顺，表述贴近正规机构行文风格，规避大量简单文本特征规则。同时攻击主体碎片化，大量下游租赁者使用同一套工具开展活动，打击个别下游人员很难根除整套威胁，必须溯源处置底层钓鱼即服务基础设施。

6 短信钓鱼识别信号与受害后处置流程

6.1 识别短信钓鱼的典型风险特征

绝大多数短信钓鱼消息具备可识别的共性警示信号，掌握风险标识能够显著降低受骗概率。

第一，发送号码或者发送方身份不匹配。消息来自陌生号码，短信自称所属机构公开官方联络号码与短信显示号码不一致，号码来源不明。

第二，人为制造紧急感与处罚威胁。文本反复强调立刻操作，否则产生罚款、账户封禁、证件失效等负面后果，利用时间压力剥夺受害者审慎思考空间。

第三，收到非预期短链接。用户没有主动发起相关业务，短信附带链接，大量使用短链接进行伪装，域名存在拼写错误、形近字符替换。

第四，索要凭证、PIN 码、一次性验证码。正规机构不会通过短信渠道向用户索要密码、银行卡完整卡号、短信验证码，任何索要验证码的短信都具备极高风险。

第五，通用化称呼，文本细节存在瑕疵。短信没有称呼接收者真实姓名，行文措辞、机构名称存在细微错误，正式业务通知一般不会出现此类疏漏。

第六，收益明显违背常识。收到从未参与活动的奖金、退款、礼品兑换通知，以超额利益诱导点击链接。

需要客观看待识别特征，上述信号属于高风险提示，并非绝对判定标准，部分合法业务短信也会使用短链接；也存在部分高水准诈骗短信刻意规避部分风险标识，因此风险特征只能作为辅助判断依据，最可靠手段依旧是脱离短信本身，使用官方独立渠道核验信息真伪。

6.2 收到可疑短信的标准化处置步骤

当接收到疑似短信钓鱼消息，应当遵循固定操作流程，限制风险扩散。

首先，不要点击短信内链接，不要拨打短信附带电话号码，也不要直接回复短信。哪怕回复拒绝类文字，也会确认该号码活跃，引来更多诈骗消息。

其次，脱离短信消息本身，走独立官方渠道核验事件。使用自己通过应用商店获取的官方客服电话、官方 APP、官方网站确认业务情况，绝不使用短信当中提供的联系方式开展核实。

再次，完成举报上报。将可疑短信转发至运营商反诈举报端口，同时向社会反诈举报渠道提交线索，帮助监管机构沉淀威胁样本。

第四步，拉黑发送号码并且删除消息，避免后续误触消息内链接。

第五步，如果已经发生误操作，例如点击链接、输入账号密码、回复验证码，需要立刻开展止损。修改被泄露账号的登录密码，升级账号安全配置，启用抗钓鱼多因素认证，联系金融机构监控账户交易行为，持续观察账户是否出现异常活动。

7 短信钓鱼多维度防御体系构建

短信钓鱼风险横跨个人用户安全和企业组织安全，防御不能只依靠单方面力量，需要构建个人行为习惯、企业技术管控、安全运营、外部威胁基础设施监测多层防护。

7.1 个人用户层面安全习惯建设

普通用户防护核心在于建立稳定的安全行为模式，将对待可疑电子邮件的警惕意识同等迁移到短信场景。对待非预期短信保持审慎，所有业务请求都通过独立官方渠道确认，绝不通过短信提交密码和验证码，及时更新手机操作系统与应用版本，合理开启手机系统自带的垃圾消息过滤功能。反网络钓鱼技术专家芦笛强调，个人防护不存在一劳永逸的工具，良好行为习惯才是对抗社会工程欺骗的基础。

7.2 组织机构技术管控策略

企业面临的短信钓鱼风险来源于员工私人手机，很多企业传统安全边界无法覆盖员工个人移动设备，需要借助移动设备管理、统一终端管理工具，对企业配发工作手机落地安全策略。

优先推动账号认证体系升级，尽量淘汰短信验证码作为二次认证手段，改用抗钓鱼的认证器应用或者硬件密钥。短信验证码本身就是短信钓鱼重点掠夺目标，持续依赖短信 MFA 会给攻击者留下攻击突破口。迪妙网络空间安全学院研究团队指出，不少企业投入大量安全设备，但是账号体系依旧使用短信作为二次验证，相当于为短信钓鱼攻击保留高价值攻击出口。

对于企业管控范围内的移动终端，启用移动威胁检测能力，实时识别终端访问仿冒域名、恶意站点行为；限制非官方渠道来源应用安装权限，减少恶意 APP 落地机会。建立企业内部可疑短信上报通道，员工可以便捷提交收到的可疑诈骗消息，安全团队汇总分析是否出现定向针对本单位的短信钓鱼活动。

7.3 企业安全意识运营与演练

安全培训需要把短信钓鱼纳入常态化内容，不能仅仅讲解邮件钓鱼案例。针对财务、高管助理、采购等高风险岗位开展专项宣贯，明确规定凡是短信收到紧急付款、数据调取请求，必须通过电话、当面沟通二次确认，不可以仅凭短信内容执行业务操作。

定期开展短信钓鱼模拟演练，模仿真实攻击的诱饵话术向员工发送模拟诈骗短信，统计员工点击、回复比例，识别安全认知薄弱的岗位群体，后续开展针对性的安全教育，持续检验全员识别能力。演练同时配套建立无惩罚上报机制，员工上报可疑消息不会被追责，鼓励上报行为。

7.4 外部威胁基础设施监测处置

短信钓鱼攻击开展之前，攻击者会提前完成基础设施筹备工作：批量注册仿冒域名，制作虚假网页，伪造企业高管与品牌身份，采购泄露的用户数据。这部分资源大量暴露在公开网络、暗网之上。

企业可以借助外部威胁情报监测能力，持续监控和自身品牌、高管身份相关的仿冒域名、虚假客服号码、恶意应用，在诈骗短信大规模投递之前就发现威胁基础设施，推动域名、虚假页面下架处置。该手段并不能拦截已经发送到手机的短信，但是能够破坏攻击赖以生存的后端资源，压缩攻击生存周期，和设备端、人员端防护形成互补。

需要明确，外部网络监测无法拦截终端收到的短信，终端层面防护、人员意识依旧不可替代。

7.5 企业遭遇短信钓鱼事件后的应急处置

当企业确认发生短信钓鱼安全事件，需要落实闭环应急流程。第一时间定位受影响人员与设备，评估哪些账号凭证、验证码发生泄露，第一时间重置相关账号权限，阻断攻击者利用窃取凭证访问业务系统。排查攻击者是否借助拿到的凭证完成内网访问，评估内网受影响范围。对涉事移动终端开展安全检查，排查是否安装恶意窃取类应用。

回溯攻击事件完整链路，提取威胁指标，将仿冒域名、号码等情报同步到企业威胁情报库，用于后续告警检测。复盘事件发生原因，查找制度、培训、技术管控存在的短板，迭代优化内部安全策略，避免同类攻击再次得手。

8 结论

本文围绕 Smishing 短信钓鱼威胁，从概念界定、媒介成因、完整攻击生命周期、诱饵范式、工业化黑产演化、识别处置手段、多层防御框架开展系统分析。短信钓鱼本质是社会工程攻击，并不以软件漏洞作为主要突破口，依托短信渠道的媒介特性获得较高攻击成功率。钓鱼即服务与生成式 AI 进一步降低攻击实施门槛，推动短信钓鱼走向规模化、工业化，威胁已经从普通消费者延伸到企业办公场景，个人移动终端成为企业安全不可忽视的风险入口。

研究发现短信钓鱼防护存在多重现实困境：运营商短信过滤能力存在客观局限；移动端缺少电脑端链接预览等防护交互；公私业务共用手机造成风险跨界传导；传统安全意识培训普遍对短信钓鱼覆盖不足。只依靠单一技术手段无法实现有效防护，需要个人安全行为、企业移动安全管控、账号认证体系优化、安全演练运营、外部威胁基础设施监测多方协同配合。

迪妙网络空间安全学院研究团队认为，未来短信钓鱼威胁还会持续迭代，攻击者会持续优化诱饵话术，结合多渠道复合欺骗模式，充分利用 AI 生成更加逼真的欺骗文本。安全运营人员需要跳出只关注邮件钓鱼的固有思维，把短信、即时消息等移动通信渠道纳入常态化威胁研判范围。

反网络钓鱼技术专家芦笛强调，社会工程攻击对抗的核心对象是人，无论安全技术如何迭代，都不能完全消除欺骗类攻击。技术设备更多承担辅助拦截、告警止损的作用，建立人员的风险识别能力、完善业务核验制度，才是抵御短信钓鱼的根本抓手。企事业单位应当正视短信渠道安全风险，补齐移动社会工程威胁的防护短板，构建覆盖多通信渠道的反钓鱼整体防护体系。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院