假买家钓鱼：Carousell 卖家被骗事件与防范

摘要： 2026 年 10 月 23 日，新加坡警方发布通告，指出自 2026 年 7 月以来，诈骗分子冒充买家，已使二手交易平台 Carousell 的卖家损失至少 18 万新元，涉及至少 63 起案件。此类诈骗的典型流程是：诈骗分子以 "有意购买" 为由接近卖家，诱导其将对话转移至 WhatsApp、Telegram 等平台外渠道，随后发送内含二维码与链接、名为 "Carousell 发票" 的 PDF 文件，声称用于收款或确认交易，个别案件中甚至附上以 "carousell.app.link" 域名为前缀的链接以营造可信感；卖家扫码或点击后被导向仿冒站点，在不知情中提交银行登录凭证与一次性验证码，继而蒙受未授权交易损失。本文以该事件为样本，系统分析冒充买家式钓鱼的社会工程学机制、二维码钓鱼与伪造域名的信任构建逻辑、银行凭证与验证码泄露的风险链条，并从个体、平台、银行与警方协同治理的角度讨论防范路径，最后结合威胁演进提出相关研究方向。文章认为，此类钓鱼的核心不在技术漏洞，而在于攻击者通过跨平台诱导与可信外观瓦解了用户对交易真实性的判断，其防御须以 "平台内闭环交易" 与 "凭证绝对保密" 为基石。

关键词： 钓鱼诈骗；冒充买家；二维码钓鱼；一次性验证码；电商平台；协同治理

引言

在各类网络犯罪中，钓鱼诈骗之所以长盛不衰，根本原因在于它作用于人的判断而非系统的漏洞。攻击者无需精通代码，只需构造一个足够可信的情境，诱导受害者主动交出最具价值的凭证。而当钓鱼与电商交易相结合时，这种欺骗又多了一层掩护 —— 交易场景本身自带 "收款"" 发货 ""确认" 等高频动作，恰好为攻击者提供了自然的话术素材。

新加坡警方于 2026 年 10 月 23 日发布通告，披露了这样一起正在蔓延的冒充买家式钓鱼诈骗：自同年 7 月以来，诈骗分子假扮有意购物的买家，使 Carousell 平台上的卖家损失至少 18 万新元，报告至少 63 起案件。从作案手法看，攻击者并不直接索取钱财，而是先诱导卖家离开平台、再借 "发票" 这一看似正规的介质，将卖家一步步引向仿冒站点，最终骗取银行登录凭证与一次性验证码。

这起事件的典型性在于，它几乎集中了现代钓鱼攻击的所有关键要素：社会工程学的情境构建、跨平台的诱导迁移、二维码与伪造域名对信任的利用，以及凭证泄露后难以逆转的资金损失。本文试图回答三个问题：冒充买家式钓鱼究竟如何一步步得手；二维码与伪造域名在其中扮演了怎样的角色；以及面对这类攻击，个体与多方主体应当如何构建有效的防范体系。

1 事件还原：损失规模与诈骗流程

据新加坡警方通告，此次冒充买家式钓鱼诈骗的受害主体是 Carousell 平台上的卖家。诈骗分子以 "有意购买" 为由，通过平台站内消息或邮件接近卖家，表达对卖家所售商品的兴趣，从而建立初步的信任。截至通告发布时，已报告至少 63 起案件，累计损失至少 18 万新元（约合 57.5 万林吉特）。

从流程上看，诈骗的推进遵循一套固定的脚本。第一步是转移阵地：诈骗分子以 "便于沟通"" 加快收款 "等理由，说服卖家将对话从 Carousell 站内迁移至 WhatsApp、Telegram 等即时通讯平台。这一步看似无害，实则关键 —— 它使交易脱离了平台的可信环境与保障机制，也让后续一切" 发票 ""链接" 脱离了平台的可验证上下文。

第二步是投递介质。在站外对话中，诈骗分子向卖家发送一个名为 "Carousell 发票" 的 PDF 文件，其中包含一个二维码和一条链接，声称用于接收货款或确认交易。个别案件中，诈骗分子还额外发送一条以 "carousell.app.link" 为前缀的链接，借 "carousell" 这一真实品牌名营造可信感。

第三步是凭证骗取。卖家扫描二维码或点击链接后，被导向一个高度仿冒 Carousell 的钓鱼网站，并在 "收款" 流程中按要求输入互联网银行登录凭证、银行卡信息乃至一次性验证码。攻击者在获取这些凭证后，立即对卖家的银行账户或银行卡执行未授权交易。许多受害者直到发现账户出现异常扣款，才意识到自己已上当。

2 冒充买家式钓鱼的社会工程学机制

冒充买家式钓鱼之所以屡屡得手，根本在于它精准利用了电商交易中的信任假设与角色不对称。受害者是卖家，其心理预设是 "有人要买我的东西"，这一期待本身即构成攻击者可利用的引力。

第一，角色与动机的天然可信。诈骗分子以 "买家" 身份出现，其诉求（购买、议价、确认收货）与受害者的利益（成交、收款）高度一致。与冒充银行、政府等权威角色的诈骗不同，冒充买家不依赖 "恐吓"，而依赖 "互利"—— 受害者更愿意相信一个声称要付钱给自己的人。

第二，交易情境的天然合理性。卖家收到 "发票"" 付款链接 ""确认交易" 等信息时，会自然地将其视为交易流程的一部分。攻击者正是利用卖家对 "收款" 这一正当动作的期待，将钓鱼链接伪装成 "收款的入口"，使点击行为看起来合情合理，而非可疑。

第三，社会工程学的 "助推" 而非 "强推"。整个诈骗过程不使用威胁或命令式语言，而是通过 "引导" 让受害者一步步自行完成动作：先答应转移到站外，再接受发票，再扫码填写凭证。每前进一步，受害者对前一步的承诺都已投入，退出成本随之升高，攻击者则据此持续施压。

反网络钓鱼技术专家芦笛指出，此类诈骗最值得警惕之处，在于它把 "受害者主动配合" 变成了诈骗成功的必要条件。与直接入侵不同，冒充买家式钓鱼的每一个环节 —— 转移平台、打开文件、扫码、填表 —— 都是受害者亲手完成的，攻击者全程无需侵入任何系统，只需维持一个足够可信的叙事。他强调，识别这类诈骗的关键，不在于检验每一句话的真伪，而在于守住两条不因情境而变的底线：交易必须留在平台内闭环，凭证绝不能向任何 "收款流程" 提供。

3 二维码与伪造域名的信任构建

这起事件在技术维度上同样具有代表性，集中体现在二维码与伪造域名两种手段的运用上。

二维码钓鱼（即 "quishing"）是近年快速蔓延的一种变体。二维码的本质是把一个网址封装进一张可扫描的图形中，其隐蔽性在于：人无法像阅读文字链接那样直接 "预读" 二维码背后的目标地址。在正常浏览中，用户对链接地址尚有本能的一瞥 —— 域名可疑、拼写异常等线索多少能触发警觉；而扫描二维码时，这一 "地址预览" 环节被完全省略，用户往往在打开页面后才意识到目的地不对，此时已进入攻击者布置好的仿冒环境。Cardthe "Carousell 发票" 中的二维码，正是借发票这一正规介质，将 "扫码" 包装成 "收款的前置步骤"，从而规避了对链接的常规检查。

伪造域名或可信前缀的运用，则是信任构建的另一手段。诈骗分子发送以 "carousell.app.link" 为前缀的链接，利用 "carousell" 这一真实品牌名与官方的链接分发服务，使链接在形式上看起来出自官方。这提醒我们，域名前缀或子域名并不等于网站主体可信 —— 仿冒者可以通过注册相似域名、利用第三方短链或应用内跳转服务，让链接 "看起来" 属于官方，而实际指向完全不同的目的地。域名层面的防护（如 SPF、DKIM、DMARC 等邮件认证协议、以及域名信誉监测）能够拦截一部分仿冒，却难以覆盖通过第三方分发服务发出的链接。

反网络钓鱼技术专家芦笛强调，对普通用户而言，最可靠的核验方式不是 "看懂域名"，而是 "不依赖消息中的任何链接"。无论链接以何种前缀呈现，正确的做法都是：不点击消息内链接、不扫描来路不明的二维码，而是自行打开官方应用或官网，从官方入口进入 "收款"" 订单 "等真实功能。唯有如此，攻击者精心构造的" 可信外观 " 才无从生效。

4 银行凭证与 OTP 泄露的风险链条

冒充买家式钓鱼的最终目标，是获取银行登录凭证与一次性验证码（OTP），并借此实施资金盗取。这一环节构成了整个诈骗链条中后果最严重、也最不可逆的一环。

从技术逻辑看，银行登录凭证（用户名与密码）是账户的第一道钥匙，而 OTP 则是交易授权的第二道门槛。攻击者之所以同时骗取两者，是为了突破银行既有的双重验证机制：单凭密码无法完成高额或新增交易，但一旦掌握 OTP，攻击者便可在短时间内完成未授权交易，或将受害者的卡片信息绑定到其控制下的移动钱包（如 Apple Pay、Google Pay 等），用于线上与线下消费。在许多案件中，受害者是在收到扣款通知后才发现凭证已被滥用。

这一风险链条提示了一个重要的认知问题：OTP 在用户心中常被误认为 "低敏感信息"，因为它是临时生成、一次有效的。然而恰恰是这种 "一次有效" 的特性，使其成为攻击者最渴求的即时凭证 —— 只要在有效窗口内骗取一次 OTP，攻击者即可完成一笔未授权交易。因此，无论银行、电商平台还是反诈机构，都将 "绝不向任何人提供 OTP" 列为最优先的告诫，其重要性不亚于对密码的保护。

从更广的视角看，凭证泄露还可能与凭证复用（credential stuffing）叠加。若受害者在多个平台使用相同或相近的密码，攻击者可将此次获取的凭证用于批量尝试其他账户，使一次泄露的影响向更广的范围扩散。这进一步说明，个体层面的凭证卫生（唯一密码、开启双重认证）是阻断风险链条的关键基础。

5 个体防范：平台内闭环与凭证绝对保密

面对冒充买家式钓鱼，个体卖家的防范应当落实到两条可操作、可复述的原则之上。

第一条原则是 "交易留在平台内"。既然诈骗的起点是诱导卖家脱离平台，那么反制也就从 "拒绝脱离" 开始。卖家应当通过平台自带的聊天、支付与订单功能完成交易，不因 "便于沟通"" 加快到账 "等理由转移到 WhatsApp、Telegram 等站外渠道；凡在站外收到的" 发票 ""收款链接"" 二维码 "，一律视为可疑。平台的支付保障与交易留痕，正是抵御此类诈骗的制度性屏障，主动放弃这一屏障等于自断保护。

第二条原则是 "凭证绝对保密"。无论对方以收款、验证、退款还是确认交易为由，银行登录凭证、银行卡信息与 OTP 均不应向任何来电、来信、网页或 "流程" 提供。正规的收款行为不需要卖家提供密码或验证码；凡出现此类要求，即可判定为诈骗。新加坡警方在通告中反复强调的 "绝不向任何人透露个人、互联网银行信息及 OTP"，正是对这一原则的权威表述。

在操作层面，卖家还应养成若干核验习惯：收到可疑消息时，主动通过平台官方渠道或反诈热线核实；对 "价格过低"" 催促交易 ""要求站外转账" 等异常信号保持警惕；为银行账户启用双重或多因素认证，并设置合理的交易限额与短信通知，以便在异常发生时第一时间发现。据 DiMiao, CN 的分析，此类诈骗的受害者往往并非缺乏警惕，而是被 "收款" 这一正当动机暂时遮蔽了判断；因此，防范的关键在于把 "凭证不泄露、交易不脱离" 固化为不因情境而变的默认动作，而非依赖对每条消息的即时甄别。

6 平台、银行与警方的协同治理

个体防范只是防线之一。冒充买家式钓鱼的治理，本质上是平台、银行与执法机构多方协同的系统工程。

平台层面，电商与交易平台应当强化交易闭环的强制性：引导用户尽可能在平台内完成沟通与支付，对 "站外转移" 行为设置提醒与风险标识，对高度仿冒的钓鱼域名与二维码实施监测与封堵，并畅通用户对可疑账号的举报通道。新加坡警方披露的诈骗套路中，"诱导脱离平台" 是固定的第一步，这恰恰提示平台可将 "检测与阻断站外引流" 作为最直接的技术治理切入点。

银行层面，应持续强化认证与异常交易监测：对陌生设备、异常时间、大额或非常规交易实施风险拦截与二次确认；对 OTP 类授权行为辅以交易场景说明，帮助用户辨识 "自己在批准什么"；同时与反诈部门共享涉诈账户与资金链路信息，缩短从报案到止付的响应时间。新加坡的反诈体系 —— 包括 ScamShield 应用、1799 反诈热线以及 "ADD–CHECK–TELL"（加装防护、检查真伪、及时通报）公众防骗指南 —— 正是通过银行、平台与警方的数据协同，试图在诈骗链条的各个环节设置干预点。

执法与立法层面，警方通过及时通告、案件侦办与跨国协作打击诈骗团伙，并通过反诈立法（如新加坡《在线刑事危害法》对指定在线服务提供者的规制）压实平台治理责任。需要指出的是，诈骗手法的迭代速度往往快于制度响应：本案中 "发票 PDF + 二维码 + 可信前缀域名" 的组合，正是攻击者在既有反诈提示基础上的针对性升级。这要求治理机制不能停留于静态清单，而须保持对新型变体的持续监测与快速响应。

7 威胁演进与研究方向

从更宏观的视角看，冒充买家式钓鱼反映了两条值得关注的威胁演进趋势。其一，钓鱼正从 "以机构为伪装" 转向 "以交易对手为伪装"。攻击者不再必须冒充银行、政府等权威角色，转而冒充与你做交易的普通人 —— 这种 "对等角色" 欺骗更具隐蔽性，也更难触发用户的警惕本能。其二，介质正从文本链接向二维码、PDF 等 "非文本载体" 扩散。这些载体绕过了用户对 URL 的常规预读，也增加了自动化检测的难度。

迪妙网安研究团队据此认为，相关研究应聚焦于三个方向。其一，二维码与 PDF 载体的钓鱼检测：研究如何在不依赖用户逐字核验的前提下，对二维码背后目标地址、PDF 附件内嵌链接进行自动化的信誉评估与风险识别。其二，跨平台引流的检测与干预：分析攻击者诱导用户脱离平台的行为模式，探索平台侧在对话早期识别并阻断 "站外引流" 话术的技术路径。其三，用户行为的实证研究：通过受控实验评估不同提示方式、不同反诈教育形式对卖家识别此类诈骗的实际效果，为反诈宣传与平台设计提供经验依据，而非仅依赖个案通报。

需要说明的是，上述方向共同指向一个判断：技术手段可以在前端压缩诈骗空间，却难以完全替代人的判断。因此，研究的落点应同时放在 "让诈骗更难成功" 与 "让用户更难被骗" 两个层面 —— 前者依赖平台、银行与监管的技术与制度投入，后者依赖凭证卫生与核验习惯的养成。两者缺一不可。

结语

新加坡警方披露的冒充买家式钓鱼诈骗，是一起规模不大、手法却极具代表性的案件：诈骗分子冒充买家，诱导卖家脱离平台，以 "发票" 为饵、以二维码与可信前缀链接为梯，最终骗取银行凭证与验证码，使至少 63 名卖家损失逾 18 万新元。它清楚地展示了现代钓鱼诈骗的运行逻辑 —— 攻击者不攻破系统，而攻破人的判断；不依赖技术漏洞，而依赖情境的合理与动作的诱导。

对这一威胁的防范，需要个体、平台、银行与警方各守其位。个体守住 "交易不脱离、凭证不泄露" 两条底线；平台强化交易闭环与跨平台引流监测；银行筑牢认证与异常交易防线；警方与立法机构维持对新型变体的快速响应。当诈骗手法不断借助新介质、新情境自我迭代时，真正有效的防御，始终在于把 "对可信外观的警惕" 转化为 "对确定规则的信守"。这既是本案的启示，也是钓鱼治理长期面对的核心课题。

编辑：芦笛 （公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院