资讯中心 今日: 0|主题: 36|排名: 1 

摘要：二〇二六年十月二十九日，币安公开一起加密资产流出事件，涉及规模以数十亿美元计，美国联邦调查机构将其归因于朝鲜背景的攻击组织，交易所同时宣布由用户安全资产基金与公司准备金承担客户损失。数日之后，安全厂商披露两轮利用该事件的钓鱼邮件：一轮冒充补偿核对窗口，声称收件人的比特币地址在事件后的核对清单中 ...

摘要：2026 年 11 月，美国网络安全和基础设施安全局将编号为 CVE-2026-119977 的 WordPress 核心漏洞列入已知被利用漏洞目录，并要求联邦系统在数日内完成处置。该漏洞位于更新器处理临时安装文件的过程中：升级包被解压到可公开访问的临时目录后，其中的安装程序因找不到正式站点配置而被判定为尚未安装，攻击者可在更新 ...

摘要新加坡电信于 2026 年 11 月发布的一份面向公众的安全提示，围绕购物、酒店预订与银行账户三类日常场景，梳理了诈骗信息的常见形态；文中引述的监测数据显示，一项针对约一千九百万次网站请求、覆盖八十个类别的评估，在八天监测窗口内识别出三十六万余次恶意网络与域名系统请求；同期当地媒体报道的两组案件分别涉及二 ...

摘要：二〇二六年十一月，北佛罗里达大学警务部门就持续数周的邮件诈骗发布校园通报：至少五百名师生员工收到诈骗邮件，三至四名受害者报案，其中一人损失数千美元。骗局以时薪高达五十美元的虚假岗位为诱饵，寄出伪造支票充当预付报酬，随后要求受害学生通过点对点转账或礼品卡回流部分资金，三日后支票退票，损失由学生自 ...

摘要：2026 年 10 月，微软与医疗行业信息共享与分析组织等多方协作，依据美国法院的扣押令，对以 “YAM Store” 为交易入口、以三款钓鱼工具包为商品的地下供应链实施处置，查封并重定向相关域名，停用逾两万个账号，阻断逾十万个用于仿冒的域名。公开通报称，这些工具自 2026 年初以来支撑了超过十亿封钓鱼邮件与短信，波 ...

摘要针对高级安全负责人的一项调查显示，过去十二个月内，百分之七十九的受访机构至少遭遇一次邮件钓鱼、鱼叉式钓鱼或商务邮件诈骗事件，百分之四十一经历过以伪造语音实施的冒充通话，百分之三十六经历过伪造视频通话。与之对照，多数组织仍以年度视频课程作为安全意识建设的主要手段。本文讨论这一错配的两个来源：威胁侧 ...

摘要：过去二十余年，识别钓鱼邮件的教学与产品规则都建立在同一假设之上：伪造必然留下可供观察的痕迹，如拼写错误、语法生硬、发件地址异常、语气与身份不符。这一假设正在失去效力。生成式语言模型把文本瑕疵压到接近零，公开信息与对话模型的结合把语境建构从数周的人工调研压缩到分钟级，语音与视频合成则使 “换个信 ...

摘要：网络钓鱼长期位居事件初始访问途径的前列，围绕它的防护投入持续增加，衡量成效的指标体系却仍停留在以点击率为核心的阶段。点击率能够回答有多少人碰了这封邮件，无法回答他们做了什么、为何这样做、组织何时得知、多久恢复。本文以近期行业评论提出的补充指标为线索，沿着接触、行为、报告、处置、恢复的链路，逐段 ...

摘要一项覆盖英国、美国、印度、巴西与新加坡各一千名受访者的跨国调查显示，英国受访者中百分之六十八经常或总是检查信息的钓鱼特征，但仅百分之三十七以同等频率上报可疑信息，识别与上报之间存在三十一个百分点的落差；同时百分之二十四很少或从不上报，百分之十不知道如何上报或从未见过上报入口。本文以这组数据为问题 ...

摘要：2026 年 10 月，日本大阪的 Arcadia 公司遭入侵，其为数百个地方自治体提供灾害警报邮件、自动语音呼叫与传真投递的 SpeeCAN RAIDEN 服务被植入后门，攻击者借该系统在约六小时内发出 1423428 封邮件，其中约 87 万封投往平台并不持有的地址，内容多为仿冒信用卡公司的账单确认通知。该事件的价值不在于数据量，而在 ...

摘要：邮件安全的工程实践正在从单一检测引擎转向多引擎并行判定，厂商之间通过接口把各自的判定结果汇入同一调查与隔离界面。可见性合并之后，真正决定结果的并不是检测数量，而是判定如何合成、处置由谁执行、冲突如何裁决。本文以一篇讨论集成与处置工作流的厂商文章为问题入口，回溯微软集成云邮件安全生态的公开技术与 ...

摘要：2026 年 11 月初，英国《卫报》刊发小说家亲历的假读者来信，随后又推出面向作者的识别指南。来信者自称来自城市读书会或阅读社群，用数段篇幅赞美收件人的作品，提出可为其安排推介，条件是支付数百美元的 “贡献费”。这类邀约不附恶意链接，不索取账号口令，不使用伪造登录页，却能在数月内覆盖大量作者，并使一部 ...

摘要：2026 年 11 月公开的一封仿冒亚马逊客服邮件，以 "付款方式无法验证、账户即将受限" 为由，要求收件人经邮件内链接更新支付信息。该样本的价值不在于新颖，而在于完整呈现了品牌仿冒型支付钓鱼的典型构造：外观层面的品牌复用、话术层面的损失规避动员、技术层面的身份与域名错配、链接层面的显示文本与实际目标分离 ...

摘要：面向车主的车联网安全指引通常从用车习惯切入，提示软件过期、账号被盗、钓鱼冒充、非官方应用、第三方服务与数字所有权转移六类风险，并给出可执行的处置步骤。这类指引具有实用价值，却把系统性风险转化为个人责任：其援引的安全研究显示，攻击者可以从一辆处于自己控制下的车辆中提取客户端证书、私钥与会话材料， ...

摘要：2026 年 11 月 6 日，瑞士联邦网络安全局就一批以商业登记机关名义发出的邮件发布预警。邮件声称企业登记数据存在错误，要求管理层在六个工作日内完成更正，否则将面临行政措施与登记暂时注销；所附链接指向一个仿照联邦政务视觉搭建的站点，在要求输入参考号之后，依次采集人员、企业与联络信息，并以核验授权为由索 ...

摘要：邮件安全防护长期围绕人来设计，判定对象是收件人是否会点击链接、打开附件或提交凭据。生成式模型接入邮箱之后，这一前提发生位移：在收件人阅读之前，助理已按原始报文完成解析、摘要与检索，攻击者得以把指令写入人眼不可见、模型可读的位置，使一封邮件从说服工具变成对代理的调用指令。本文以公开披露的一起在野 ...

摘要：钓鱼攻击通常被当作识别与举报链条上的末端问题处理，但 2026 年的多源统计显示，其类型结构已从仿冒页面骗取口令，转向会话接管、授权劫持与服务化投放，以邮件文本和链接信誉为重心的防护框架因此出现系统性偏差。本文以公开报道对钓鱼类型的梳理为问题起点，以反网络钓鱼工作组季度报告、美国联邦调查局互联网犯罪 ...

摘要：2026 年 10 月下旬，一宗以 OpenAI、SpaceX、Anthropic 品牌活动为诱饵的钓鱼行动在客户浏览器侧被拦截。与常见的仿站取密不同，该行动在同一个注册页面上并联了两条认证攻击路径：面向微软身份的是 OAuth 2.0 设备授权授予的滥用，面向谷歌身份的是反向代理型中间人转发。两条路径都不依靠伪造登录页骗取口令，而是 ...

摘要 2026 年 11 月 Barracuda 发布的恶意软件简报，披露 DarkVigil、PromptSpy、Kyber 三类新型恶意样本，分别代表可信载体投递、生成式 AI 驱动终端交互、后量子密码集成勒索加密三条攻击演进路线。三类样本分属不同平台、攻击目标与技术体系，但共同呈现出攻击者复用成熟可信基础设施、通用大模型、标准化密码组件的特征 ...

摘要：2026 年 8 月以来出现的一轮钓鱼活动，把入口放在谷歌日历邀请，把跳板放在谷歌自身的重定向与共享链接，把验证环节放在真实的验证码服务，把凭据页面放在浏览器运行时构造。其结果是域名、证书与信誉三项常规判据同时给出良性结论，而攻击者真正取得的是活跃会话而非口令。本文以该活动为样本，逐层拆解投递、网关、 ...