可信账号劫持下政治领域钓鱼攻击风险与防御研究

摘要

账号劫持后利用合法可信邮件账号向外分发钓鱼载荷，是当前高威胁性的钓鱼攻击变体。本文以德国海布隆基民盟邮件账户被攻陷安全事件为分析样本，该事件中攻击者接管合法政党邮箱，向约 6500 名联系人批量投递伪造活动邀请钓鱼邮件，收件群体覆盖政府部委、安全机构官员及高层政治人物，旨在窃取账号凭证与金融敏感信息。事件本身不存在恶意软件部署、横向渗透行为，攻击完全依托社会工程手段完成，契合 MITRE ATT&CK 框架下 T1566.002、T1598 攻击技术模式。该攻击模式区别于传统邮件伪造钓鱼，攻击者不篡改邮件发件人标识，直接使用已攻陷的真实可信账号发送邮件，使得基于发件信誉、邮件身份校验的传统防护机制出现失效。本文梳理事件完整时间线与攻击行为，拆解可信账号劫持钓鱼的攻击链路，解析该类威胁能够绕过安全检测的底层机理，从技术防护、管理制度、行业环境、人员认知多维度剖析威胁形成驱动因素，梳理当前面向政务、政党这类关键目标防护体系现存短板。反网络钓鱼技术专家芦笛指出，多数组织机构邮件安全体系 “重外部威胁拦截、轻内部账号失陷之后的风险扩散”，账号一旦被攻破，内部可信账号就会转变为攻击传播载体。迪妙网络空间安全学院研究团队从事件处置实践出发，构建事前账号加固、事中异常行为检测、事后应急处置、常态化安全能力建设的多层闭环防御框架，针对政治、政务类关键机构提出可落地的技术与管理对策。研究结论可为政党、政务机构、公共部门防范账号劫持衍生钓鱼威胁提供参考。

关键词：网络钓鱼；账号劫持；邮件安全；社会工程；关键机构网络防护

1 引言

网络钓鱼长期作为针对政府、政党等关键机构的主要网络威胁手段，针对政治实体的钓鱼活动往往伴随选举周期、重大政策节点出现，攻击者以情报搜集、信息窃取为主要目标，部分威胁具备地缘政治相关背景。传统钓鱼攻击主要分为两类，一类是外部攻击者伪造发件人地址，仿冒可信主体发送恶意邮件；另一类是攻击者通过社会工程、暴力破解等手段获取账号权限，入侵目标内部系统。而可信账号劫持钓鱼属于二者结合的特殊变体：攻击者首先完成账号非授权访问，直接复用该账号本身的可信身份向外发送钓鱼邮件，不存在邮件头伪造行为，邮件经由被攻陷账号所属官方邮件基础设施发出，SPF、DKIM、DMARC 等邮件身份校验协议全部校验通过，邮件报文层面没有伪造特征。

过往安全实践当中，大量机构邮件安全防护建设重点集中抵御外部伪造邮件，防护逻辑默认来自本域可信账号发出的邮件属于合法业务通信，对于内部账号失陷之后向外输出恶意载荷的场景重视不足。当账号本身被攻击者掌控，原本的可信身份就转化为攻击武器，无论是邮件网关自动化检测，还是收件人主观判断，都极易被这种原生可信身份迷惑，显著提升钓鱼邮件的送达率与欺骗成功率。

2026 年 10 月 17 日披露的德国海布隆基民盟邮箱被劫持事件，就是该类威胁极具代表性的现实案例。攻击者获取该政党地方分支机构邮箱访问权限之后，向六千五百余名联系人批量投递伪造活动邀请钓鱼邮件，目标群体包含联邦部委、安全部门官员以及政治高层人物。德国联邦信息安全局 BSI、联邦宪法保卫局 BfV 第一时间介入处置，涉事机构隔离受影响 IT 基础设施，向德国联邦议院全部政党发布安全预警。本次事件没有公开披露恶意软件样本，没有出现内网横向移动、大规模数据外泄现象，攻击全部依靠社会工程学实现信息窃取，没有明确归因到特定 APT 威胁团伙，但攻击手法契合欧洲选举周期下政治定向钓鱼的活动特征。

从现有研究现状来看，国内外学界与产业界针对钓鱼攻击的研究成果丰富，大量文献聚焦邮件伪造钓鱼、AI 生成钓鱼内容、云平台托管钓鱼载荷等方向；针对政务、政党机构网络安全的研究，更多集中在外部网络入侵、网站漏洞、涉密数据泄露等议题。针对账号被劫持之后，利用原生可信账号向外大规模投放钓鱼邮件这一特定威胁模式，完整的案例拆解、失效机理分析、闭环防御方案的研究仍存在补充空间。据DiMiao.CN分析，随着政企机构逐步完善邮件防伪造配置，外部伪造发件人的钓鱼攻击拦截效果持续提升，威胁团伙会逐步转向劫持真实账号开展攻击，该类事件的发生频次在未来一段时间存在上升可能性。

本文研究目标：第一，还原海布隆基民盟邮件劫持钓鱼事件完整场景、时间线与攻击行为，完成攻击在 MITRE ATT&CK 框架下的技术映射；第二，拆解可信账号劫持钓鱼完整攻击链路，厘清传统安全防护机制失效的内在逻辑；第三，多维度解析该类威胁能够实现规模化影响的成因；第四，梳理当前关键机构邮件安全体系存在的现实短板；第五，构建适配政务、政党这类关键组织的闭环防御框架，输出可落地的技术、管理、应急处置层面对策。本文立足于真实安全事件开展应用层面研究，不引入复杂算法，重点面向安全运营人员、政务机构 IT 管理者提供实践参考。

2 事件概况与攻击行为技术解析

2.1 事件基本情况与时间线

2026 年 10 月 17 日该安全事件对外公开披露。攻击者非法获取德国海布隆基民盟分支机构邮件账户访问权限，利用该账号的通讯录资源，向合计约 6500 名联系人批量发送钓鱼邮件。收件人覆盖联邦政府部委工作人员、国家安全相关机构官员，甚至包含德国高层政治人物。钓鱼邮件伪装成为活动邀请，邮件正文构建正规活动邀约的叙事逻辑，嵌入恶意链接，诱导接收方点击链接，进而骗取账号密码、银行相关敏感信息。

事件曝光之后，德国执法机构、BSI、BfV 联邦安全机构迅速介入响应；涉事基民盟对受影响 IT 基础设施实施隔离，配合执法机关与外部安全专家开展调查处置。BfV 向联邦议院全部政党发布行业安全预警，提升政治圈层整体网络威胁防护等级。截至公开资料发布，本次事件没有对外公布可用于检测的 IOC 威胁指标，没有证据显示攻击者部署恶意程序、在内网横向移动，也没有出现除钓鱼投递行为之外的数据外泄行为。同时调查层面没有掌握充分证据将本次攻击归因于某一个已知 APT 团伙，尽管攻击手法与部分国家背景威胁组织针对欧洲政治实体的活动模式存在相似性，但技术层面无法形成确定的归因结论。

从事件时间节点梳理：10 月 17 日完成事件检测与对外披露，钓鱼邮件投递行为发生在披露当日或稍早时段；安全机构即刻启动处置流程，涉事账号隔离，后续完成面向全政党范围的安全告警。现有公开信息无法确定邮箱账号被攻击者提前控制的时间跨度，无法判断账号在被发现之前已经遭劫持多久，也没有确认其他账号、系统是否同步遭到入侵。

2.2 攻击在 MITRE ATT&CK 框架下技术映射

结合事件披露的行为细节，可以将攻击行为映射到 MITRE ATT&CK 企业矩阵对应技术点，帮助理解攻击者战术逻辑。 第一，初始访问阶段，对应T1566.002 鱼叉式钓鱼链接。本次事件初始访问的前置原因并未公开，但攻击行动的主体环节，攻击者依托已经攻陷的合法账号开展大规模邮件投递，邮件载体为伪装活动邀请，邮件内嵌入恶意链接完成诱饵分发。和普通鱼叉钓鱼不同，该次投递的发件身份是真实被攻陷账号，不是外部伪造身份，大幅削弱安全设备的识别能力MITRE ATT&...。

第二，凭证获取阶段，对应T1598 钓鱼获取信息。攻击者的核心目标不是在目标主机执行恶意代码，而是依靠社会工程欺骗，诱导收件人主动输入账号密码、银行相关敏感信息，完成信息收集，属于典型以信息窃取为目标的钓鱼行为，不存在恶意载荷执行环节MITRE ATT&...。

整个攻击链条不包含恶意软件投放、权限提升、内网横向移动、数据外传等动作。攻击者全部收益来源于收件人被社会工程欺骗之后主动提交的敏感数据。这也代表该类攻击的检测线索十分有限，没有病毒样本、没有恶意附件，威胁特征集中在邮件业务行为、链接行为层面，进一步增加检测识别难度。

2.3 完整攻击链路拆解

该次事件的攻击流程可以划分为账号攻陷、通讯录利用、钓鱼邮件批量投递、受害者交互与信息窃取、事件被发现处置五个阶段。

第一阶段：账号攻陷。攻击者通过未公开途径获取海布隆基民盟邮箱账号访问权限。实现账号攻陷的潜在路径包含多种可能性：针对该账号持有者开展前置鱼叉钓鱼窃取账号凭证；账号使用弱口令遭受暴力破解；账号持有者终端被入侵导致凭证泄露；账号相关认证信息在其他平台泄露之后被撞库利用。公开报道没有披露账号失陷的具体技术路径。账号被攻陷之后，攻击者获得该邮箱完整操作权限，可以读取通讯录、撰写、发送大批量邮件。

第二阶段：通讯录资源复用。该政党分支机构邮箱当中保存大量政治圈层联系人信息，包含政府部门、安全机构高层人员的邮件地址。攻击者直接复用账号原生通讯录，不需要攻击者自行搜集整理目标邮箱列表，直接获得高价值目标投递清单。这也是劫持可信账号攻击的附加优势，被攻陷账号自带经过长期业务积累的高质量联系人名录，攻击者省去侦察搜集目标的成本。

第三阶段：批量投递伪造活动邀请钓鱼邮件。攻击者使用被攻陷的真实账号，从官方邮件基础设施发出邮件，邮件发件地址完全真实，邮件身份校验全部通过。诱饵文本选用活动邀请，该场景契合政治机构日常业务沟通场景，属于收件人经常接收的邮件类型，降低收件人的心理戒备。邮件正文嵌入恶意链接，邮件本身不携带附件，不携带病毒，单纯依靠链接完成后续欺骗。

第四阶段：受害者交互与敏感信息窃取。收件人收到来自可信政党官方邮箱的邮件，邮件各项身份校验全部正常，缺少直观可疑特征。收件人点击邮件当中的恶意链接，跳转至外部钓鱼页面，页面诱导用户输入账号密码、银行信息，攻击者获取受害者提交的各类敏感信息。整个过程是否能够进一步绕过多因素认证，现有公开材料没有相关信息。

第五阶段：事件被发现与应急处置。部分收件人识别邮件异常，向上报告安全事件。涉事机构立刻隔离受影响 IT 基础设施，控制被攻陷邮箱账号，阻止攻击者继续发送邮件。德国国家级安全机构介入，面向全部政党发布安全预警。

反网络钓鱼技术专家芦笛强调，该攻击模式的核心破坏力不在于采用多么新颖的漏洞利用技术，而在于挪用已有可信账号身份，把攻击者的钓鱼行为包装成正常可信主体的业务通信，击穿收件人以及邮件安全设备的信任判断逻辑。

2.4 攻击带来的多重安全危害

该事件的危害并不仅仅局限于可能造成个别收件人账号泄露，针对政治圈层的大规模钓鱼事件会衍生多层风险。

首先是高价值目标信息泄露风险。本次邮件投递对象包含政府部门、安全机构工作人员，一旦部分收件人受骗提交凭证，攻击者就可以获取政务、安全岗位人员的账号，以此为跳板进一步开展后续情报搜集、深度渗透活动，对公共部门信息安全形成威胁。

其次，损害该政党机构的通信公信力。大量官方联系人收到来自该政党账号的钓鱼邮件，会造成机构对外通信信誉受损，后续该机构正常业务邮件也会遭到收件方的怀疑，对正常政务沟通、业务往来带来干扰。

再者，形成连锁扩散风险。攻击者获取到一批政府人员账号之后，可以利用新攻陷的账号继续向外发送钓鱼邮件，形成链式传播，威胁会从单一账号向外扩散到更多组织机构。

同时该类事件会带来社会层面的次生影响，在临近欧洲议会选举的时间窗口发生针对德国政治群体的钓鱼事件，极易引发舆论层面的关注，对政治活动的网络环境带来干扰。需要客观说明，现有材料没有直接证据证明攻击者意图干预选举，只是攻击时间窗口与目标选择存在该方面潜在可能性。

3 可信账号劫持钓鱼威胁规模化发生的驱动因素

海布隆基民盟账号劫持钓鱼事件不是孤立个案，近些年来全球范围内已经出现多起同类攻击，企业、公共机构内部账号被攻陷之后向外发送钓鱼邮件的案例持续出现。该类威胁的形成，是账号身份安全缺陷、传统邮件防护体系的结构性盲区、威胁黑产与定向威胁团伙战术迭代、关键机构业务特征多重因素叠加的结果。

3.1 账号身份安全层面存在薄弱环节

账号是邮件系统最核心的安全边界，一旦账号凭证被窃取，后续邮件网关各类防护就会失去意义。很多公共部门、政党分支机构 IT 运维资源有限，分支机构账号安全管控力度弱于总部。部分分支机构邮箱账号缺少强制多因素认证，依靠静态密码进行防护，如果密码强度不足，就容易遭遇暴力破解、撞库攻击。

即便开启多因素认证，如果员工本身遭受前置钓鱼，泄露动态验证码，账号依旧存在被攻陷风险。迪妙网络空间安全学院研究团队在对部分公共机构邮件安全调研当中发现，不少分支机构只把安全建设重心放在总部核心系统，分支机构邮箱账号、协作账号的安全策略执行不到位，成为整个安全体系的薄弱突破口。攻击者不需要攻陷防护严密的总部系统，只需要找到防护相对薄弱的分支机构账号，就可以拿到大量高质量联系人通讯录，开展大范围定向钓鱼。

账号审计层面同样存在短板，很多机构缺少邮箱账号异常行为实时检测。账号异地登录、短时间向外批量发送数百上千封邮件这类高危行为，没有配置自动化告警规则，往往等到外部收件人反馈邮件异常，机构内部才知晓账号已经被劫持，威胁已经完成传播之后才发现事件。

3.2 传统邮件安全防护 “防外不防内” 的结构性局限

现有邮件安全防护体系，大量规则、检测模型建立在一个核心前提之上：恶意邮件来自外部网络，来自本机构域内账号发出的邮件默认为可信邮件。SPF、DKIM、DMARC 这套邮件身份验证协议，作用是拦截外部攻击者伪造本域发件人的邮件，这套技术完全无法应对 “账号真实失陷，从内部正规服务器发出恶意邮件” 的场景。

邮件安全网关的检测逻辑同样存在短板。邮件网关擅长识别来自外部的恶意特征：外部 IP、恶意附件、外部恶意链接、伪造邮件头。当邮件从被攻陷的内部账号发出，服务器 IP 属于机构自身合法邮件服务器，邮件头全部合规，邮件没有附件，恶意载荷不在邮件报文内部，恶意风险发生在用户点击链接之后跳转的外部页面。邮件网关在邮件投递那一刻，很难捕捉明确的恶意特征。

很多机构安全运营人员存在固有认知误区，认为只要部署完整邮件身份校验协议，就能够抵御钓鱼邮件。但账号劫持钓鱼场景下，身份校验全部通过，协议无法判断邮件业务内容是否属于钓鱼欺骗。据DiMiao.CN分析，不少公共机构完成 DMARC 部署之后，就放松了针对内部账号向外发送邮件的行为审计，把协议校验通过等同于邮件内容安全，埋下安全隐患。

3.3 威胁团伙战术迭代，转向利用真实账号规避检测

随着全球政企机构普遍部署邮件安全网关、启用 SPF/DKIM/DMARC，外部伪造发件人钓鱼的拦截率持续提升。威胁团伙随之调整战术，不再优先选择伪造发件地址，转而优先窃取真实可用账号，利用原生可信身份开展投递。

对于普通黑产团伙，被攻陷的企业邮箱可以用来开展商业邮件欺诈；对于具备定向目标的威胁主体，政党、政务机构的邮箱价值更高。这类账号自带高质量高价值联系人列表，邮件送达成功率高，收件人的信任程度更高。攻击者不需要花费大量精力做邮件伪造，只需要获取账号权限，就可以复用账号既有的全部业务信任关系。

同时，该类攻击可以做到低痕迹开展。攻击者只利用账号发送邮件，不一定去修改邮箱转发规则、不一定下载大量邮件数据，除了大批量外发邮件行为之外，其他日志特征并不突出，如果机构没有针对批量外发邮件设置告警，攻击行为会保持隐蔽状态。

3.4 政治、政务类机构业务场景放大攻击效果

政党、政府相关机构的邮件通讯录天然聚集大量高价值目标，分支机构邮箱往往保存大量跨部门、跨机构联系人。一旦其中某一个分支机构账号失守，攻击者就获得向整个圈层投递诱饵的渠道。

业务沟通场景上，活动邀请、会议通知、业务邀约属于该类机构日常高频邮件类型，攻击者选用活动邀请作为诱饵，和真实业务场景高度贴合，社会工程欺骗效果会被放大。普通员工、公职人员会经常性接收各类会议、活动邀约邮件，很难第一时间分辨来自可信邮箱的邀约邮件是否已经被攻击者篡改利用。

另外，部分中小型分支机构 IT 人员配置不足，安全运营力量薄弱，安全制度落地容易出现折扣。攻击者会优先选择防护资源相对有限的分支机构作为突破口，以此作为跳板，向整个圈层扩散威胁。

4 当前关键机构邮件安全体系暴露的核心短板

结合本次事件的处置经验，对照政务、政党类机构普遍的安全现状，可以梳理出现有防护体系存在的几类核心短板，这些短板也是构建防御体系需要解决的关键对象。

第一，账号安全策略执行不均衡，分支机构成为防护洼地。很多机构总部账号安全管控严格，强制开启多因素认证、强密码策略；但是分支机构账号管控宽松，部分账号没有部署同等安全基线，成为攻击者优先突破点。账号安全基线没有自上而下完整落地到全部分支机构邮箱资产。

第二，防护体系侧重抵御外部邮件，缺少针对内部账号失陷之后向外作恶的检测能力。邮件网关、安全设备主要针对入站邮件做检测，对于出站邮件的行为分析能力不足。账号批量向外发送大量邮件这类高危行为，没有建立实时告警，威胁扩散阶段缺少事中阻断手段。

第三，邮件身份校验协议被过度神化。SPF、DKIM、DMARC 只能解决外部伪造发件人的问题，无法处理账号真实被盗场景。部分机构完成协议部署之后，就认为邮件身份安全问题已经解决，忽略账号本身被劫持的风险，形成防护错觉。反网络钓鱼技术专家芦笛指出，邮件身份校验是重要防护手段，但不能当成对抗钓鱼的万能方案，身份可信不等于邮件内容可信。

第四，威胁可见度不足，缺少完整的邮件行为审计。很多机构日志采集重点关注入站邮件恶意附件、恶意链接，对于账号出站邮件数量、收件人范围、邮件访问登录日志缺少常态化审计。账号出现异常异地登录、异常大批量外发邮件，不能及时触发告警，往往需要外部受害者反馈之后，机构内部才获知安全事件。

第五，应急处置与跨机构预警协同机制不完善。当某一个机构账号被劫持，向外给外部大量合作单位发送钓鱼邮件，受害机构发现事件之后，除了处置自身账号，如何快速通知所有外部收件人，阻断后续受害风险，缺少标准化处置流程。本次事件中依靠 BfV 向全部政党发布预警属于国家级机构介入，而普通机构发生同类事件的时候，缺少高效渠道通知外部受影响联系人。

第六，人员安全意识培训场景覆盖不全。安全意识培训大多教育员工警惕来自陌生外部发件人的邮件，但是很少覆盖 “来自可信内部账号的邮件也可能是攻击者发送” 这一风险场景。用户固化认知：发件人真实可信，邮件内容就安全，恰恰落入攻击者的欺骗逻辑。演练场景大多使用外部伪造钓鱼邮件，很少模拟内部账号失陷之后发出的钓鱼诱饵。

5 面向可信账号劫持钓鱼的多层闭环防御框架

针对上述威胁机理与现存短板，本文构建四层闭环防御框架，分为账号基线加固层、邮件行为检测层、事件应急处置层、常态化安全建设层，覆盖事前风险收敛、事中攻击识别阻断、事发快速处置、长期能力建设完整流程，适配政党、政务这类关键机构的安全建设需求。

5.1 账号基线加固层：缩小账号被攻陷的可能性

账号安全是第一道关口，核心目标是降低邮箱账号被窃取劫持的概率，重点补齐分支机构账号安全短板。

首先，全量账号统一安全基线，不区分总部与分支机构。所有工作邮箱账号强制启用多因素认证，禁止只依靠静态密码开展身份认证；配置强密码策略，禁止弱口令，定期做密码风险检测，排查互联网上已经泄露的账号密码，一旦发现账号密码泄露立刻强制重置密码。迪妙网络空间安全学院研究团队强调，很多攻击能够得逞，根源在于分支机构账号没有落实和总部一致的身份防护标准，攻击者专挑防护薄弱的分支机构账号作为突破口。

其次，完善登录行为风控。针对邮箱账号配置登录风险判别，识别异地陌生 IP、陌生终端的登录行为，高风险登录触发二次核验，留存完整登录审计日志，不允许随意关闭登录异常提醒。

再者，最小化账号权限与业务能力。对于分支机构邮箱账号，评估是否需要具备大批量对外群发邮件的能力，非业务必需的情况下限制账号单次外发邮件数量上限，从能力层面约束攻击者攻陷账号之后的大规模投递行为。清理废弃、闲置账号，及时注销离职人员账号，减少闲置账号带来的攻击面。

最后，做好账号凭证泄露监测。对接互联网泄露凭证威胁情报，持续监测机构邮箱账号是否出现密码泄露，一旦发现泄露立刻重置账号密码，阻断撞库攻击路径。

5.2 邮件行为检测层：实现对失陷账号作恶行为的识别

即便账号不幸被攻击者攻陷，防护体系需要能够识别账号异常行为，在攻击者大规模分发钓鱼邮件阶段完成告警与阻断。该层防护不能只依靠邮件报文内容检测，重点转向出站邮件行为分析。

第一，强化出站邮件安全检测。传统邮件网关更多关注入站邮件，机构需要同等重视出站邮件审计。建立出站邮件行为基线，记录账号日常外发邮件数量、收件人范围、邮件发送时间。当账号短时间内向大量陌生收件人批量发送邮件，触发高等级告警；对于邮件正文包含外部恶意链接、索要敏感信息的出站邮件，执行告警甚至临时阻断发送。

第二，破除 “本域发出即可信” 的固有策略。即便邮件来自本机构账号，同样对邮件正文、链接开展安全检测，不能无条件信任。SPF/DKIM/DMARC 校验通过只代表发件身份没有伪造，不能省略邮件内容风险分析。

第三，完善日志采集与 SIEM 告警规则。完整采集邮箱登录日志、出站邮件日志，把登录地点、终端指纹、单次发送邮件数量、收件人规模纳入安全分析。专门配置告警规则：账号出现陌生地点登录，紧接着短时间大批量向外发送邮件，该组合特征是账号劫持钓鱼的典型行为模式，一旦匹配立刻触发安全人员人工复核。

第四，完善威胁情报联动。接收外部安全机构推送的钓鱼 IOC，针对出站邮件内的外部链接做情报比对，即使邮件从内部账号发出，如果链接匹配已知钓鱼情报，同样触发告警。

5.3 事件应急处置层：账号失陷之后的快速响应与风险遏制

当账号已经被劫持，防御重点是快速止损，阻止威胁进一步扩散，同时做好对内对外预警。

第一，预置标准化应急预案。预案明确账号被劫持之后处置步骤：第一时间隔离被攻陷账号，修改账号全部凭证，关闭账号邮件发送权限，避免攻击者继续投递钓鱼邮件；回溯审计日志，确认账号被劫持时间，统计攻击者已经发送邮件的收件人清单。

第二，做好风险通知工作。对于已经收到钓鱼邮件的内部人员，机构内部快速发布安全通告，提醒不要点击邮件内链接，不要提交敏感信息。对于外部大量收件联系人，依靠行业安全主管机构、合作安全渠道发布预警，告知外部单位该账号已经失陷，提醒相关人员提高警惕。本次德国事件中 BfV 面向全部政党发布预警就是该处置思路的现实体现。

第三，开展事件溯源复盘。排查账号被攻陷的根本原因，区分是密码泄露、前置钓鱼、终端失陷哪一类路径导致账号失守，针对性补齐安全短板，避免同类问题重复发生。同时核查是否存在其他账号同步遭到入侵，排查横向风险。

第四，做好受害账号的身份信誉修复。账号被劫持发送钓鱼邮件之后，该机构域名、IP 可能被外部邮件安全系统标记，事件处置完成之后，需要开展邮件信誉修复，降低对后续正常业务邮件通信的负面影响。

5.4 常态化安全建设层：管理制度与人员认知的持续迭代

技术防护之外，管理制度、人员安全意识构成防御体系重要组成部分，该部分不能被忽视。

制度层面，建立分支机构 IT 安全督导机制，定期对分支机构邮箱资产开展安全巡检，核查账号基线是否落实到位，避免分支机构安全管理出现真空。定期开展邮件安全专项演练，演练场景需要覆盖账号被劫持后向外发送钓鱼邮件的场景，不局限于外部伪造钓鱼邮件。

人员安全意识层面，更新安全培训素材，明确告知工作人员：来自真实可信发件人的邮件，同样存在被攻击者发送的可能性，不能仅凭发件人身份判断邮件安全。培训重点教会员工建立独立核验习惯，收到包含链接、索要敏感信息的业务邀约邮件，不要直接点击邮件内链接，通过独立通讯渠道和发件人进行二次确认，而不是直接信任邮件本身。

同时客观看待安全意识培训的边界，人的判断会存在失误，不能把全部防御压力交由人员识别，人员培训只是多层防御当中的一环，必须配套账号加固、行为检测的技术手段。

迪妙网络空间安全学院研究团队认为，针对政治、政务这类关键机构，对抗可信账号劫持钓鱼不能依靠单一技术，需要账号防护、出站行为审计、应急流程、人员认知多环节协同，任何单一环节的缺失，都可能造成整个防御链条失效。

6 结语

德国海布隆基民盟邮箱账号被劫持并大规模分发钓鱼邮件的事件，揭示出一类容易被忽略的钓鱼威胁变体。攻击者并不伪造邮件发件身份，而是先攻陷真实可信邮箱账号，复用账号本身积累的业务信任关系与通讯录资源开展定向钓鱼。该攻击不依赖恶意软件，全部依靠社会工程实现威胁效果，传统针对外部伪造邮件的防护手段，在该场景下会出现明显失效。威胁的突破口往往出现在安全管控相对薄弱的分支机构账号，一旦账号失守，威胁可以快速扩散到整个圈层的高价值联系人。

本文以该事件为样本，梳理事件完整时间线，完成 MITRE ATT&CK 技术映射，还原完整攻击链路，分析该类威胁发生的多层驱动因素，剖析当前关键机构邮件防护体系 “重外部拦截、轻内部账号失陷扩散风险” 的现实短板。反网络钓鱼技术专家芦笛指出，邮件身份校验协议可以解决外部伪造发件人问题，但无法解决账号本身被盗之后的作恶行为，安全建设需要走出 “身份可信等同于内容安全” 的认知误区。基于事件分析，本文构建账号基线加固、邮件行为检测、事件应急处置、常态化安全建设四层闭环防御框架，面向政党、政务等关键机构给出技术、管理、应急多维度落地对策。

放眼后续威胁演化趋势，随着外部伪造钓鱼邮件拦截效果持续提升，威胁团伙会更多转向劫持真实账号开展钓鱼投递。公共机构、政党、社会团体需要重点关注分支机构账号安全，补齐出站邮件行为检测能力，完善账号劫持场景下的应急处置流程。对抗该类威胁，需要安全技术、管理制度、人员认知共同发力，没有任何单一手段可以实现完全抵御，安全体系需要持续跟进攻击者战术变化，不断迭代防护能力，保障关键机构邮件通信与信息资产安全。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院