断链之后：钓鱼工具包供应链的治理边界

迪妙资讯

摘要：2026 年 10 月，微软与医疗行业信息共享与分析组织等多方协作，依据美国法院的扣押令，对以 “YAM Store” 为交易入口、以三款钓鱼工具包为商品的地下供应链实施处置，查封并重定向相关域名，停用逾两万个账号，阻断逾十万个用于仿冒的域名。公开通报称，这些工具自 2026 年初以来支撑了超过十亿封钓鱼邮件与短信，波及七万五千余家机构、一百五十余个国家。本文以该行动为样本，分析钓鱼即服务供应链的层次结构，指出行动之所以产生超出单个工具包的溢出效应，原因在于工具包与市场、云租户、域名及授权校验之间存在强依赖，而非单纯的代码清除。文章进一步讨论断链的限度：模块化开发、镜像化构建与持续需求使替代供给能够回填，行动改变的多是重新上线的成本与时间，而非能力的有无。据此提出防守方应把重心放在租户卫生、授权收敛与可获得性成本监测，治理层面则应把单次执法行动转为持续的成本施加，并处理跨境取证、误伤申诉与行业信息共享的边界。结论认为，评价此类行动需要以重建成本为尺度，而非以下线数量为尺度。

关键词：钓鱼即服务；工具包；供应链断链；云租户；治理边界

1 引言

钓鱼攻击的组织形态在过去几年发生了明显变化。早期由单个攻击者编写页面、群发邮件，如今更多表现为分工明确的交易：有人开发仿冒页面与后台，有人经营账号与云环境，有人提供域名、证书与托管，有人负责投递。每一环都可以单独定价、单独出售，购买者无需理解技术细节即可发起一场覆盖多国的活动。这种结构使打击的对象从 “攻击者” 变成了 “供应链”，也让打击效果的评估变得困难：查封一批域名、关停一批账号之后，攻击是否真的减少，减少到什么程度，能够维持多久，往往缺少可核查的答案。

2026 年 10 月公开的一起行动提供了一个较为完整的样本。据微软与医疗行业信息共享与分析组织的通报，相关调查始于 2025 年底日本警方转来的线索，随后由平台企业、行业信息共享组织、日本非营利协作机构、云与域名服务商、支付分析机构等多方联合推进，依据美国佛罗里达南区联邦地区法院的扣押令，对地下市场 “YAM Store” 及三款钓鱼工具包实施处置。通报披露的规模是：自 2026 年 1 月以来，这些工具支撑了超过十亿封钓鱼邮件与短信，覆盖七万五千余家机构、一百五十余个国家，累计获利数千万美元；三款工具合计使用过约一万七千个独立域名；行动中查封并重定向了市场与工具相关的域名，停用逾两万个关联账号，阻断逾十万个用于仿冒的域名。

这些数字足以说明行动的体量，却不足以说明行动的机理。若把行动理解为 “删除了三套恶意软件”，那么其效果应当随着代码重新出现而迅速归零；若把行动理解为 “切断了一组依赖关系”，那么效果就取决于被切断的链接有多难重建、重建需要多少时间与资金。本文选择后一种视角，原因是公开材料显示，被处置的对象并非单纯的攻击工具，而是一套以 “可信外观” 为核心商品的供应体系：过期但仍有历史信誉的域名、被盗或伪造注册的云租户、可批量托管的存储空间、按国家与品牌定制的页面模板，以及一套要求客户端持续回连的授权机制。攻击者购买的不是代码，而是让别人相信自己的能力；防守方摧毁的也不是代码，而是这种能力的获取渠道。

需要说明的是，本文的分析建立在公开通报与厂商技术分析之上，不涉及具体工具的实现细节，也不对执法行动的合法性作评价。讨论集中在三个问题：这类供应链由哪些层次构成，哪些链接一旦断开会产生连锁效果，断链之后替代供给如何回填，防守方与治理方应据此调整什么。

2 事件的结构：被拆开的三层供应链

2.1 第一层：作为商品仿冒页面

三款被处置的工具包在功能上高度重叠，公开分析认为它们可能共享开发来源、复用代码，或由同一批中文开发者协作维护。以其中一款为例，它包含两千三百余套页面模板，覆盖一百三十九个国家的政府机构、银行、邮政、电信、零售与流媒体品牌，按当地语言与品牌习惯定制；另一家机构在隔离环境中购买并部署后统计到两千三百六十套诱饵包，覆盖一百三十余个国家和地区，并发现一台自建的代码托管与容器镜像服务器，其中保存了 2025 年 10 月至 2026 年 6 月间的九百一十一次后台构建。

这些数字说明工具包的本质不是 “一个恶意程序”，而是一个持续更新的内容库。模板需要跟随品牌改版、节日促销、税务申报周期调整；后台需要跟随检测规则演化；构建需要跟随云服务接口变化。购买者支付的是订阅式的内容与维护，而非一次性买断。这一点决定了打击的着力点：如果只删除某一批页面，内容库会以镜像形式迅速恢复；如果切断内容库的分发与授权，恢复就需要重新组织开发与分发。

2.2 第二层：作为商品合法外观

比模板更关键的是承载模板的环境。公开通报显示，该市场出售的不只是工具包，还包括对微软与谷歌云环境的访问权，来源包括被盗账号、以虚假组织信息骗取注册的租户，以及利用已过期但仍保留历史记录的组织身份重新注册的账号。商品按账号年龄、订阅类型、组织类型分类标价，教育机构与非营利组织因验证流程相对宽松而被单独列类。

这一层的商品属性值得展开。云租户提供的不是算力，而是信誉：一个注册多年、有正常邮件往来、有合法域名与备案信息的租户，在收件方看来与真实机构无异；它的发信信誉、域名历史、组织名称都能通过表面的核验。攻击者把窃取的租户改造成发信与托管基础设施，把共享存储变成页面托管空间，再把这些资源转售给下游。通报中提到，运营者通过应用级权限维持控制，重置口令、分配许可、保持对共享接口的访问，并把被劫持的存储空间包装成可出售的托管服务。这种控制被描述为更持久、更易扩展、更难被发现，原因是它寄生在合法管理通道之内，不依赖恶意进程或异常外联。

2.3 第三层：作为商品入口与结算

市场本身是第三层。它的功能不是展示恶意软件，而是完成交易撮合：把工具包、账号、域名、托管打包，提供客服、订单通知与售后，接受加密货币结算，并用即时通讯工具与买家保持联系。公开分析把市场与工具开发者分别编号跟踪，说明两者在情报上被视为不同实体，但在业务上互为依赖：没有市场，工具缺少稳定客源；没有工具，市场缺少可售商品。

这一层的存在解释了为何一次行动能够同时影响大量下游。下游买家各自独立，但他们共用同一套采购渠道。渠道中断时，单个买家可以更换供应商，但整个群体的采购成本、交付周期与信任关系会同时受到冲击。这与传统的 “打掉一个团伙” 不同：后者的影响局限于该团伙的活动，前者的影响扩散到依赖该渠道的所有购买者。

3 关键链接：打击为何产生溢出效应

3.1 授权校验：客户端必须回连

公开技术分析提到一个对防守方有利的细节：工具包需要定期联系厂商的授权服务器才能正常工作。这意味着部署并非完全自治，每一套活跃实例都与一个中心节点保持校验关系。若该节点被查封或解析被重定向，受影响的不是某一套页面，而是所有依赖同一授权的部署。这一结构在商业软件中常见，用于防止盗版与滥用；被移植到犯罪服务之后，它同时成为整个生态的单点。

从打击效果看，授权节点的价值高于页面本身。页面可以重新部署，授权关系需要重新建立；重新建立意味着通知所有存量客户、更换校验地址、重新签发许可，这一过程会暴露通信渠道，也会造成客户流失。行动方如果能够识别并处置这一节点，其影响会沿着客户关系扩散，而不是停留在被查封的具体域名上。

3.2 域名与解析：可信外观的载体

三款工具合计使用过约一万七千个独立域名，这一规模说明域名本身是被消耗的资源。域名的作用不只是解析到页面，它承载年龄、历史内容、备案与信誉记录。新注册域名在收件方与邮件过滤系统中往往评分较低，而重新启用一个曾经属于真实机构的过期域名，可以继承其历史信誉。公开通报提到，运营者会筛选已过期的组织名称，重建其网站，再用该组织的身份申请云账号，从而让整条链路看起来像一个正常存在的机构。

因此，查封域名的意义不在于减少页面数量，而在于消耗一种难以快速补充的资源。新域名的注册成本不高，但信誉积累需要时间；被阻断的域名越多，可用于伪装的 “老域名” 存量越少，攻击者被迫使用更年轻的域名，检测规则也就更容易命中。这一效果不会立即体现在拦截数量上，而会体现在到达率与转化率的下降上。

3.3 云租户与存储：合法通道的关闭

行动中停用逾两万个账号，这一数字对应的是第二层商品。账号被停用之后，依附其上的发信能力、托管空间、许可分配同时失效，下游买家手里的页面模板失去承载环境，需要重新购置账号。相比封域名，停账号的打击更接近供给侧：它不改变页面的可复制性，但改变了 “以合法身份出现” 的可得性。

这里有一个容易被忽略的连带效应。云租户被用于托管时，页面往往存放在共享存储的公开链接中，这些链接的域名属于云服务商，过滤系统难以仅凭域名判定恶意。账号停用使这批链接整体失效，下游需要重新上传、重新生成链接、重新测试可达性。对防守方而言，这类链接的失效不会自动转化为拦截规则，但它确实缩短了同一批页面的存活周期。

3.4 结算与通信：可追溯的证据链

公开通报提到，市场与工具业务接受加密货币付款，调查方通过测试购买确认交易流程，并借助链上分析把多笔交易归集到同一组钱包，进而关联到具体基础设施与操作者。支付通道在这里具有双重作用：它既是犯罪服务的结算方式，也是取证中最容易留下连续记录的一环。域名可以更换，账号可以重注册，而资金流的归集关系一旦建立，就能把分散的基础设施串成一条可陈述的证据链。

对防守方的启示是，公开通报中的技术细节往往来自这类 “交易侧” 观察，包括商品分类、定价、客服流程、授权机制。这些信息比页面样本更能揭示供应链的结构，也更适合转化为行业共享的指标，例如某类账号的异常注册模式、某类域名的短期集中启用、某类授权校验的固定回连特征。

4 断链的限度：回填机制与替代供给

4.1 代码与构建的复制成本很低

断链行动最容易高估的效果，是 “删除了能力”。公开分析发现的九百一十一次构建、容器镜像与代码托管服务器说明，工具包的生产已经工业化：模板、后台、构建流程都被版本化管理，复制一套新实例的边际成本很低。即使原始开发团队被完全切断，存量客户手中的部署、镜像与模板仍然可以继续使用；有经验的买家可以自行维护，也可以转向其他供应商。

这也是此类行动难以产生持久效果的原因。打击针对的是分发与授权，而能力本身已经扩散到买家手中。除非行动同时清除了存量部署，否则 “能力” 不会因为渠道中断而消失，只会因为缺少更新而逐渐退化。退化需要时间，这段时间构成了防守方的窗口，但不是永久的优势。

4.2 需求侧没有消失

供应链的另一端是持续的需求。钓鱼即服务的买家包括以财务欺诈为目的的团伙、以窃取凭据为目的的中间商、以投放恶意程序为目的的初始访问经纪人。他们的需求不会因为某个市场被关闭而消失，只会转向其他渠道。价格信号会起作用：当供给减少、交付周期延长、账号价格上升时，一部分低端买家会退出，高端买家则愿意支付更高成本。净效果是活动总量下降、单次活动的投入上升，而不是活动归零。

这一判断可以用公开数据作粗略校验。通报称行动前这些工具支撑了超过十亿封消息、覆盖七万五千余家机构；行动后是否出现同等规模的活动，公开材料没有给出对照。缺少基线数据时，任何 “活动下降若干成” 的说法都缺乏依据。较为稳妥的表述是：行动改变了供给的价格与周期，其实际影响需要以后续观测验证。

4.3 打击的选择性留下缺口

此次行动的对象是市场与三款工具，未涉及投递渠道本身。钓鱼消息的送达依赖短信网关、被入侵的网站、被劫持的邮件账号与社交平台，这些环节分散在不同司法辖区，处置难度更高。工具包被断供之后，已有的投递能力仍然存在，攻击者可以用自建页面、开源模板或其他供应商的产品继续投递。供给侧的打击因此是 “减少选择”，而非 “消除可能”。

还有一层选择性体现在地域上。行动由美国法院授权，依托美国企业控制的域名注册、云服务与支付通道，因此对依赖这些基础设施的环节有效。若供应链的某些部分完全位于其他司法辖区、使用本地支付与本地托管，同类行动的可及性会明显下降。这不是行动的缺陷，而是跨境治理的结构性约束，也是为何通报强调多方协作与本地机构参与。

4.4 误伤与恢复：正当程序不可省略

域名查封与重定向涉及一个现实风险：被处置的域名中，可能包含已被合法组织重新注册的过期域名，或与合法业务共用解析记录的域名。一旦误伤，受影响的是正常业务，而不是攻击者。因此程序上需要保留通知、申诉与快速恢复机制，需要在查封前核验域名当前归属，需要在重定向页面中说明原因与联系方式。这些安排会拖慢行动节奏，但缺少它们，行动的公信力与后续协作都会受损。

对行业信息共享组织而言，这一环节还有额外要求：成员单位需要知道哪些域名被处置、哪些链接可能影响自身业务、何时可以恢复正常访问。信息发布若只给出 “已查封若干域名” 的总量，成员无法据此排查自身流量与邮件日志，行动的防护价值就被浪费了一半。

5 防守方的位置：从封堵到抬高成本

5.1 医疗行业的暴露特征

此次行动的通报由医疗行业信息共享组织参与发布，原因不难理解。医疗机构的暴露面具有几个叠加特征：对外沟通密集，预约、检验、保险、供应链往来都依赖邮件；系统可用性要求高，临床业务难以长时间中断；数据价值高，病历与支付信息在黑市上有稳定需求；安全投入与业务规模不匹配，中小型机构尤其明显。当钓鱼工具包按品牌与语言批量定制时，医疗机构很容易成为被覆盖的目标之一。

对这类机构而言，等待执法行动清除威胁并不现实。工具包的生命周期以月计，行动的周期以年计，两者之间存在明显的时间差。机构能够做的是缩短自身被利用的窗口：减少可用于伪装的合法外观，缩短凭据泄露到会话失效的时间，提升员工上报的比例与速度。

5.2 租户卫生：把合法外观的存量降下来

从此次事件可以提炼出一组自查项，指向的是 “自身是否容易被用作伪装”。过期域名是否仍指向内部系统，是否仍保留邮件解析记录；遗留的应用注册是否仍保有高权限，是否仍可读写共享存储；离职人员账号是否仍可分配许可；共享存储的公开链接是否可被外部写入与匿名访问；第三方应用的授权范围是否经过复核。这些项目在多数组织中存在，但很少被当作攻击面管理，因为它们不影响业务，只在被利用时才显形。

租户卫生的难点在于责任分散。域名归品牌与市场部门，账号归信息技术部门，应用授权归各业务系统，存储链接由协作工具自动生成。缺少统一的清单与责任人，自查就会停留在纸面。反网络钓鱼技术专家芦笛强调，租户卫生的实质是把 “可用于伪装的资源” 当作独立资产来管理，而不是把它当作业务系统的附属品；只要归属不清，过期域名与遗留授权就会长期留在账外，成为最容易被借用的一层外壳。可行的做法是把这类资源列入独立资产类别，指定归属，按季度核对，并把异常注册与异常授权纳入监测。

5.3 检测重心：从页面特征转向交互特征

工具包的逃避手段在公开分析中被反复提到：按国家限制访问、按地址段放行或阻断、用假验证码拦截自动化访问、在受害者提交后通过即时通讯推送通知、用长连接实时读取输入并决定下一步展示。这些设计的共同点是与受害者实时交互，而不是静态展示页面。

这给检测提供了另一类线索：页面在不同来源地址下表现不一致，同一链接对数据中心地址返回正常内容、对住宅地址返回仿冒页面；页面在提交后不跳转，而是停留在原地等待指令；页面加载后建立长连接并持续回传输入。这些行为特征比页面外观更稳定，因为外观可以批量更换，交互逻辑的改造成本更高。迪妙网络空间安全学院研究团队在梳理此类工具包的检测面时提出，仿冒页面的外观特征生命周期以天计，而交互逻辑的生命周期以月计，检测规则若只跟外观走，就永远落后于模板更新。把这些特征纳入邮件与网页的联动检测，比单纯依赖域名黑名单更有效。

5.4 响应：把授权节点情报用起来

授权校验的存在，为防守方提供了一个可操作的着力点。若行业共享的情报中包含某类工具包的授权回连特征，网络侧可以在边界处阻断这类回连，使已部署的实例逐步失效；若域名处置清单及时下发，邮件侧可以提前拦截尚未到达的诱饵；若账号停用信息能够与身份侧联动，机构可以核对自身租户是否出现在异常注册名单中。

这些动作的前提是情报的时效与可用性。通报层面的信息往往滞后数周，且以总量呈现；机构需要的是可比对的具体指标，例如域名清单、账号命名模式、证书特征、页面路径结构。行业信息共享组织的价值正在于此：把厂商掌握的细节转写为成员可直接使用的规则，同时避免暴露受害单位身份。

反网络钓鱼技术专家芦笛指出，此类行动真正改变的不是能力的有无，而是能力的价格与上线时间；防守方若只关注域名清单，就会错过行动释放出的更有价值的信息，即供应链在哪些环节最脆弱、替换需要多久。这一判断把评估尺度从 “删除了多少” 转向 “重建需要多少”，也为后续的成本监测提供了方向。

6 治理结构：多主体协作与持续施压

6.1 分工的合理性

此次行动参与方包括平台企业、行业信息共享组织、日本警方与协作机构、云与域名服务商、支付分析机构、邮件安全厂商。各自掌握的资源不同：平台企业掌握租户与注册数据，行业组织掌握受害单位的上下文，执法机构掌握强制力与跨境协作渠道，支付分析机构掌握资金归集关系，邮件安全厂商掌握投递侧的样本与规则。断链之所以能够同时作用于多个层次，依赖于这些资源在同一时间窗口内被组织起来。

这种分工也带来协调成本。域名处置需要法院授权，账号停用依据平台条款，支付追踪需要链上分析，行业通报需要脱敏审核，任何一环滞后都会拉长行动周期，而攻击者的替换周期以周计。缩短协调时间，比增加参与方数量更重要。

6.2 法律工具的组合与边界

民事扣押与域名重定向是此类行动的常用工具，其优势是周期相对可控、可以对境外基础设施产生实际效果；局限是只能作用于与美国有连接点的资产，且需要向法院说明证据链。账户停用依据服务条款，速度快、范围广，但缺少司法审查，容易引发正当程序争议。刑事协作可以提供搜查与扣押的强制力，但跨境取证的程序要求高、周期长。

三种工具的组合使用，实际上是在速度与正当性之间取平衡。公开通报强调测试购买、链上归集与法院授权，说明行动方有意把证据基础做扎实，以降低后续被质疑的风险。对行业而言，这一经验的价值在于：可复现的证据链比单次查封的数量更能支撑持续行动。

6.3 信息共享的边界

医疗行业的特殊性使信息共享需要额外谨慎。受害机构名称、受影响系统、泄露数据类别都属于敏感信息，公开通报若处理不当，可能给机构带来声誉与监管压力，也可能被攻击者用于筛选目标。合理的做法是分层发布：面向公众的通报只给规模与趋势，面向成员的通报给可操作指标，面向执法与厂商的协作给完整证据。三层之间需要有明确的脱敏规则与访问控制。

另一个边界是情报的用途。行业共享的域名与账号清单，若被用于商业营销或对外披露，会削弱成员分享意愿。共享机制需要约定使用范围，并保留追溯能力。

6.4 从单次行动到持续施压

单次断链的效果会随时间衰减。要让供给侧的恢复成本持续高于收益，需要把行动节奏从 “偶发” 改为 “连续”：定期识别新出现的市场与工具包，缩短从发现到处置的周期，反复消耗其域名、账号与授权节点。这种持续施压不追求一次清除，而追求让重建变成一件不划算的事。

持续施压需要可度量的指标。可考虑的方向包括：同类工具包的重新上线时间、账号与域名的市场价格、模板更新频率、授权节点的迁移次数。这些指标不涉及攻击细节，却能反映供应链的健康状况。据 DiMiao, CN 分析，供给侧治理的难点不在单次打击的力度，而在能否把 “重建成本” 变成可观测、可比较、可对外沟通的量；缺少这一尺度，行动效果只能靠通报中的数量自我证明。

7 结论

此次行动值得研究的地方，不在于查封了多少域名，而在于它展示了钓鱼供应链的可断点。工具包依赖内容库与授权校验，市场依赖稳定的客源与结算，云租户依赖合法的注册外观，域名依赖历史信誉，支付依赖可归集的资金流。每一环都是商品，每一环也都有对应的处置手段。行动之所以能够影响远超三个工具包的下游，是因为这些环节被同一批买家共用；行动之所以难以一击定局，是因为这些环节可以分别重建，且重建的边际成本不高。

由此可以得出三点判断。第一，评估此类行动应以重建成本为尺度。域名下线数量、账号停用数量是过程指标，反映投入而非效果；真正需要观察的是同类服务重新上线所需的时间、价格与客户流失，以及活动总量与到达率的变化。第二，防守方的重心应放在减少自身可被利用的合法外观。过期域名、遗留授权、共享存储链接、离职账号，这些资源在平时不产生收益，在被利用时却为攻击者提供了最难检测的掩护。第三，治理应从单次执法转向持续施压，并把多主体协作固定在流程上，而不是依赖临时联合。跨境取证、误伤申诉、信息分层共享，都是这一流程必须处理的约束。

文章的局限在于材料来源。公开通报由参与方发布，其口径侧重行动规模，缺少行动前后的对照数据；厂商技术分析提供了工具包的结构细节，但对存量部署的清除情况语焉不详；价格与上线时间等供给侧指标没有公开统计，本文只能提出方向，无法给出数值。后续研究若能与行业信息共享组织合作，建立一套不涉及攻击细节的供给侧观测指标，对判断此类行动的长期效果会有实际帮助。

断链之后并不会出现一个没有钓鱼的环境。更可能的情形是，供给变得更贵、更慢、更分散，一部分低端买家退出，剩下的买家转向更隐蔽的渠道。防守方对此应有清醒预期：治理的目标不是让钓鱼消失，而是让它的成本持续高于收益，让每一次重建都比上一次更麻烦。这个目标不醒目，却比任何一次行动的战果都更接近实际。

编辑：芦笛 （公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院