|
摘要 新加坡电信于 2026 年 11 月发布的一份面向公众的安全提示，围绕购物、酒店预订与银行账户三类日常场景，梳理了诈骗信息的常见形态；文中引述的监测数据显示，一项针对约一千九百万次网站请求、覆盖八十个类别的评估，在八天监测窗口内识别出三十六万余次恶意网络与域名系统请求；同期当地媒体报道的两组案件分别涉及二百四十六名受害者、损失约一百四十万新元，以及一百四十八起酒店预订钓鱼案件、损失约十八万五千新元。本文以这些材料为入口，提出 "场景嵌入" 这一分析概念：诈骗信息并非依靠技术破绽取胜，而是通过嵌入用户正在执行的业务流程来取得可信性，其判别成本被场景结构吸收。文章分析视觉一致性、私有信息、通道可信与域名证书四类传统信任信号为何相继失效，讨论网络层过滤的能力边界 —— 它能降低暴露量，却难以改变场景可信度；并主张验证动作应嵌入流程之内，而非要求用户在情绪峰值时跳出流程执行外部核验。 关键词：场景嵌入；钓鱼诈骗；信任信号；网络层过滤；验证设计 1 引言 2026 年 11 月 6 日，新加坡电信在其博客发布了一篇面向普通用户的安全提示，以三个再普通不过的时刻开篇：看到心仪商品打折、收到酒店确认预订的消息、接到银行提示账户异常的通知。文章随后分别拆解购物、酒店预订与银行账户三类场景中的诈骗手法，并给出三条行为建议：遇到紧迫信息先暂停、通过可信来源自行核验、不让熟悉的细节替代验证。文中还引述了一组监测数据与两组当地媒体的案件报道，用以说明日常上网行为所处的风险背景。 这类面向公众的提示通常被归入科普，不构成研究材料。但它提供了一种在研究文献中较少见的东西：把诈骗按 "用户当时正在做什么" 来分类，而不是按 "用了什么技术" 来分类。按技术分类的文献关注钓鱼邮件、恶意链接、仿冒应用、语音冒充；按场景分类的提示关注购物车、预订确认页、账户告警页。后者更接近受害者的实际处境，因为受害者在判断时并不拥有技术分类的知识，只拥有 "我正在做什么" 的语境。 本文据此提出一个分析概念：场景嵌入。它指诈骗信息与其所处业务流程的耦合程度。耦合度越高，用户用来判别的外部线索越少，因为业务流程本身提供了连续性、合理性与必要性 —— 补一笔款、确认一次身份、重设一次密码，在流程里都是正常动作。当请求与流程一致时，用户面对的已不是 "这条消息是否可信"，而是 "这一步是否该做"，而后者由流程回答，不由消息回答。 围绕这一概念，本文讨论三个问题：三类日常场景的嵌入方式有何共同结构；传统信任信号为何在这一结构下相继失效；以网络层过滤为代表的基础设施防护，能在多大程度上替代个体判别，其边界在哪里。材料的技术事实限于公开机制层面，不评价任何具体产品或运营商方案。 2 场景嵌入的三种形态 购物场景的嵌入方式是压缩决策窗口。低价只是诱因，真正起作用的是倒计时与限量提示。当地媒体在 2026 年 10 月报道，自当年 7 月起，至少二百四十六人因社交媒体上的廉价商品虚假广告陷入钓鱼骗局，损失约一百四十万新元，受害者被引导至仿冒网站提交支付或银行信息。这一手法的技术构成并不复杂：社交平台投放广告、跳转至新注册域名的仿制页面、支付环节直接采集卡号与验证码。复杂的是心理结构 —— 限时优惠把 "比价与核实" 这一步从决策序列中删除了，而比价与核实恰恰是唯一能暴露问题的环节。 酒店预订场景的嵌入方式是借用流程的连续性。当地另一家媒体在同月报道，自当年 1 月起至少发生一百四十八起酒店预订类钓鱼案件，损失约十八万五千新元，部分诈骗信息甚至包含真实的预订细节，引导受害者进入钓鱼网站填写支付信息。这条材料里最关键的一句是 "包含真实预订细节"。它说明攻击者已经拿到了本该作为信任凭证的东西。获取途径无非两类：平台侧的数据流出，或账号侧的被接管。无论哪一种，结果相同 —— 用户收到的消息在内容上完全正确，只在来源上错误。 从技术上看，这类攻击常借通讯应用的商业消息通道发起，以酒店名义要求 "重新验证付款方式"。消息不携带恶意附件，链接指向仿制页面，话术与真实酒店的催付通知高度接近。它的成功不依赖技术漏洞，依赖的是旅客在出发前对 "还有一步没完成" 的焦虑。 银行场景的嵌入方式是制造恐惧并给出即时出口。仿冒金融机构的短信或弹窗提示 "检测到可疑交易，请立即验证"，链接指向仿冒登录页，采集用户名、口令与一次性验证码；部分变体进一步诱导安装所谓安全组件，实为可读取通知与截屏的恶意程序，从而使一次性验证码在用户不知情时被转发。这条路径在技术上依赖两点：一是短信发送者标识可被伪造，二是仿冒页面与官方页面在视觉上难以区分。 三类场景的情绪不同 —— 贪、熟、惧 —— 但结构相同：请求与流程一致，时间压力明确，出口唯一。用户在三个条件下做出的不是 "判断"，而是 "执行"。这就是场景嵌入的定义：诈骗把自身写进了流程，使判别这一步在流程里没有位置。 3 四类信任信号为何相继失效 传统防诈教育建立在若干信任信号之上。这些信号在今天的成本结构下逐一失效，且失效原因各不相同。 视觉一致性。仿制一个页面的边际成本接近于零，标识、配色、版式、字体都可以在数分钟内复制；反向代理型套件还能让用户在真实域名下看到真实页面，同时在中间截获输入。视觉一致性因此不再具备判别价值，它只能证明 "有人愿意花时间模仿"，而这恰恰是诈骗的常态。 私有信息。姓名、订单号、房号、金额曾被当作 "只有对方知道" 的凭证。数据集中化与账号接管让这一前提不再成立。当一条消息准确说出你的预订日期，它证明的是 "有人拿到了这些数据"，而不是 "发消息的人是酒店"。这是本组材料中最值得写入教材的一处认知反转：私有信息的泄露已经普遍到足以使 "知道细节" 失去证明力，但公众的信任习惯仍停留在旧前提上。 通道可信。短信、通讯应用、平台站内信只保证传输，不保证发送者的真实意图。短信的发送者标识在多数网络中可被设置为任意字母串，接收端显示的机构名称不构成认证；商业消息账号存在被接管的可能；平台站内信虽为平台自有通道，但账号一旦失守，站内信同样成为攻击载体。通道可信是一个被长期误读的概念：它描述的是链路，不是主体。 域名与证书。传输层证书证明的是 "这条连接被加密"，以及在域名验证型证书下 "证书持有者控制该域名"，它不证明持有者的经营身份。用户不会展开证书详情，即便展开，也难以判断一张合法签发的新证书意味着什么。同形字域名、子域名伪装、开放重定向使域名本身的可读性进一步下降 —— 一个可信站点上的跳转参数，可以把用户送到任何地方而不改变地址栏前半段。 四类信号失效之后，剩余可用的判别手段只有一条：离开当前消息，通过独立获知的通道自行发起核验。这条手段有效，但成本最高，且要求用户在恐惧或兴奋的情绪峰值上执行一个反直觉的动作。防诈建议之所以长期停留在 "要警惕"，正是因为这条手段无法被规模化地执行。 4 网络层过滤的能力与盲区 材料引述的监测数据值得逐项拆解。一项针对约一千九百万次网站请求、覆盖八十个类别（含购物、旅行、金融服务、社交）的评估，在八天监测窗口内识别出三十六万余次恶意网络与域名系统请求。原文同时声明，这些发现并不意味着购物、旅行或银行网站本身不安全，也不意味着这些类别的诈骗率最高。这一限定必须保留，否则数据会被误读为 "某类网站更危险"。 两个数字也不能直接相除。一千九百万次请求的统计窗口与八天监测窗口并不一致，分子分母口径不同，相除得出的比例没有意义。可用的信息只有量级：在一个中等规模市场的部分网络流量中，恶意请求以十万计，占比处于可观测但不足以覆盖全部风险的区间。这类评估的价值在于说明 "背景噪声的规模"，而不是给出风险概率。 网络层过滤的技术能力是明确的。它工作在域名解析与连接建立阶段，通过域名信誉、主机名匹配、地址信誉与解析拦截，在设备获得内容之前阻断。它的优势有三：覆盖全部联网设备，不依赖用户安装与配合；对不擅辨别的人群同样生效；跨境漫游时仍随网络侧策略生效，这一点对旅行场景尤为重要。 它的盲区同样是结构性的，且与场景嵌入型诈骗高度重合。 新注册域名的信誉空窗。域名信誉依赖历史观测，一个刚注册、尚未被任何样本标记的域名，在库中处于 "未知" 而非 "恶意"，拦截不会触发。攻击者以短生命周期域名配合一次性活动，正好把活动周期压进这个空窗。信誉体系的响应速度受制于样本来源，而样本来源主要是用户举报与沙箱观测，两者都需要时间。 合法链路上的滥用。当仿冒页面托管在被攻陷的正规站点，或通过可信站点上的开放重定向跳转，网络层看到的是合法域名与合法证书，判定依据随之消失。酒店场景中，若诈骗经由平台内消息通道发起，链路上根本不存在需要过滤的可疑域名，因为消息本身走的是平台自己的服务。 内容不可见。加密普及与内容分发网络前置之后，中间设备能看到的只剩域名、证书与流量特征。以页面内容为判据的检测在这一层已基本失效，剩余判据是元数据，而元数据的误判率与绕过成本都不低。 二维码与时点后移。二维码把地址移出可点击链路，用户无法预览目标。部分产品在扫码后、跳转前仍可拦截，但判别时点已从 "看到链接" 后移到 "已经举起手机"，用户干预的窗口被压缩。 由此可以给出本节的技术判断：网络层过滤降低的是暴露量，改变不了场景可信度。对于以技术破绽取胜的攻击（恶意附件、可疑域名、已知恶意地址），它的边际效力很高；对于以场景嵌入取胜的攻击，它的边际效力递减，因为后者的问题不在 "目的地是否恶意"，而在 "这条请求是否应当存在"。前者是信誉问题，后者是流程问题，两者不在同一层。 这一判断也解释了材料中的一个细节：运营商在提供网络层防护的同时，仍强调设备安全与使用习惯，并明确表示没有单一层能阻止所有诈骗。这不是免责声明，而是对分层防御能力边界的准确描述。 5 成本转移与验证的嵌入位置 现有建议的核心是三条：紧迫时暂停、通过可信来源核验、不让熟悉细节替代验证。三条都正确，也都把成本转移给了用户。 暂停要求用户在情绪峰值上中断动作，而情绪峰值恰恰是中断能力最弱的时刻。通过可信来源核验要求用户离开当前界面、找到官方入口、重新登录、再比对，整个过程可能耗时数分钟，而攻击者设计的正是 "不愿多花几分钟" 的场景。不让熟悉细节替代验证，则要求用户对抗一条已经形成多年的认知捷径。 行为科学对这类要求的评估一向谨慎：在时间压力与情绪唤起下，人依赖启发式而非系统化加工，这不是知识的缺失，是认知资源分配的结果。因此，把验证责任完全放在个体一侧，等于要求人在最不利的条件下执行最费力的动作。宣教可以提高知晓率，却难以提高执行率。 替代思路是把验证嵌入流程之内。三种做法在技术上都是可行的。 其一，把官方入口前置到消息到达之处。机构可主动在自有应用内提供 "最近发给你的通知" 列表，用户收到可疑消息时，打开官方应用即可比对是否存在同一条。验证动作从 "外部搜索" 变为 "应用内比对"，步骤由数步压缩到一步。 其二，在支付环节加入收款方核验。首次收款方提示、账户名与登记名不一致告警、变更收款账户的二次回拨，都属于流程内的强制约束。此类约束不依赖用户的判别能力，因此不受情绪与时间压力影响。 其三，平台侧对站内消息做来源标注。平台知道自己发出了哪些消息，也有能力在消息上标注 "本消息由平台发出" 或 "本消息来自外部号码"，并在用户点击外部链接时给出中断提示。这是平台独有的能力，用户与运营商都不具备。 反网络钓鱼技术专家芦笛指出，防诈设计的难点不在于告诉用户 "应该核实"，而在于让核实发生在用户原本就在的位置；把验证推到流程之外，等于把最费力的一步留给最不具备条件的人，这类建议在统计上有效、在个案中常常失效。 需要说明的是，嵌入流程内的验证并不取消个体判断，它改变的是判断的负担分配。当比对只需一次点击、当收款方异常会被系统拦下、当平台能标注消息来源，用户要做的是确认而非侦查。这一转变对不熟悉技术的群体尤为重要，因为他们受场景嵌入的影响最深，也最难执行外部核验。 6 度量、责任与政策含义 材料中的两组案件数据提供了一个可讨论的量化侧面。二百四十六人、约一百四十万新元，人均损失约五千七百新元；一百四十八起、约十八万五千新元，人均约一千二百五十新元。两组数据的案均金额差异明显，说明不同场景的变现方式不同：购物类诈骗以支付信息为主，单案可造成的直接损失更高；预订类诈骗以小额补付为名，单案金额较低，但案件数量稳定。这两个数字只能作为报案样本的描述，不能外推为全体受害者的平均水平，因为未报案部分的结构未知，而小额损失的不报案率通常更高。 度量口径的选择因此变得关键。若以报案案件数衡量，会低估小额高频场景的规模；若以损失总额衡量，会高估少数大案的权重。较稳妥的做法是分场景设置指标：阻断命中率、误拦率、首次出现域名的处置时延、平台内诈骗举报量、转账前拦截率。前四项属于基础设施侧，第五项属于金融侧，分属不同主体，需要跨部门拼接才能形成完整视图。 据 DiMiao, CN 分析，现有公开统计多以报案为起点，缺少 "暴露 — 拦截 — 报案 — 追损" 四段之间的流量数据，因此难以判断干预究竟在哪一段起了作用；这既不是统计能力问题，也不是技术问题，而是分段数据不共享的结果。 责任分配上，三类主体各有不可替代的能力。运营商掌握网络侧流量与解析，能在设备获得内容之前阻断，但对合法链路上的滥用无能为力；平台掌握消息通道与账号状态，能标注来源、能中断跳转，但对跨平台活动缺少视野；金融机构掌握资金流，能在转账前拦截，但只能在最后一步介入。任何一方单独行动，都会留下另外两方才能覆盖的缺口。这也是分层防御的真实含义：不是层层叠加同类能力，而是各层覆盖彼此的盲区。 政策层面的可行方向有三条：把首次出现域名的快速处置纳入运营商与注册管理机构的协作流程，缩短信誉空窗；要求平台对商业消息作来源标注，并对站内跳转外部链接给出明确中断；把收款方核验作为转账流程的默认环节，而非可选设置。三条都不需要新增用户教育投入，改变的是默认配置。 7 结语 本文的结论有三点。日常场景中的诈骗，其主要机制不是技术伪造而是场景嵌入：请求与流程一致、时间压力明确、出口唯一，使用户把判断替换为执行；购物、预订、银行三类场景的情绪不同，结构相同。传统信任信号在这一结构下相继失效，视觉一致性因复制成本趋零而失效，私有信息因数据流出而失效，通道可信因只保证传输而失效，域名证书因只证明加密而失效；剩余唯一有效的判别手段是离开消息、独立核验，而它恰好是成本最高、最难在情绪峰值执行的动作。网络层过滤降低暴露量，却不改变场景可信度；对以技术破绽取胜的攻击效力高，对以流程连续性取胜的攻击效力递减，这是分层防御必须承认的边界。 由此得出的治理取向是把验证嵌入流程，而不是把验证推给个体。应用内通知比对、支付环节的收款方核验、平台侧的消息来源标注，三者都是流程内约束，不依赖用户的判别能力，也不受情绪与时间压力影响。相较之下，继续增加宣教频次的边际收益有限，因为知晓率已不是主要瓶颈。 本文的边界需要交代。所依据的是面向公众的安全提示与媒体报道，案件数字为报案口径，未报案部分的结构未知，不能据此推算真实发生率或平均损失；监测数据的分子分母窗口不一致，本文仅取其量级，未作比例推算；关于网络层过滤盲区的判断基于公开的技术机制，具体产品的实现差异未作评估；文中提出的三项流程内设计属于机制推演，其有效性尚需在真实业务环境中验证。后续研究若要检验 "场景嵌入度" 这一概念，需要把消息与流程的耦合程度做成可编码的观测项，并与报案数据、拦截日志对齐。 编辑：芦笛 （公共互联网反网络钓鱼工作组） 来源：迪妙网络空间安全学院
|
关注公众号
桂公网安备45010502001253号
发表于 