Booking.com预订数据疑遭泄露，香港网络安全事故协调中心发布钓鱼警报
香港网络安全事故协调中心（HKCERT）于2026年6月15日发布安全公告，提醒公众警惕冒充Booking.com及酒店发出的钓鱼攻击。此次攻击的特殊之处在于，诈骗者疑似掌握了从Booking.com此前安全事故中泄露的真实预订数据，包括住客姓名、电子邮件地址及预订详情，并以此作为攻击凭据，大幅提升了诈骗信息的可信度。攻击者通过电子邮件及WhatsApp向旅客发送虚假通知，声称其预订存在问题、付款授权失败，或要求在限定时间内更新支付信息，否则预订将被取消，以此制造紧迫感，诱使受害者点击可疑链接并提交个人资料、账户凭证或信用卡信息。根据公开资料，Booking.com此前曾发生未经授权访问部分预订数据的安全事故，受影响信息可能涵盖住客姓名、电子邮件地址、电话号码及预订详情，但不包括完整的信用卡号码。此类利用真实泄露数据实施的精准钓鱼攻击（又称"鱼叉式钓鱼"）远比泛化的群发诈骗更难识别，受害者往往因信息高度吻合而放松警惕。HKCERT建议公众采取以下防范措施：收到任何涉及付款或账户验证的信息时，应直接登录Booking.com官方网站或通过官方应用程序核实预订状态，切勿点击信息中的链接；对声称需要紧急更新支付信息的请求保持高度警觉；如有疑问，应直接联系酒店或Booking.com官方客服渠道进行确认。用户还应定期检查账户登录记录，发现异常登录活动时立即修改密码并启用双重身份验证，以降低账户被盗用的风险。
威胁行为者滥用社交媒体短视频平台实施钓鱼攻击，诱导用户下载恶意软件
安全公司ReversingLabs发布研究报告，揭示威胁行为者正将社交媒体短视频平台作为新型钓鱼攻击载体，通过制作以"教程"为主题的内容，以免费获取高级软件为诱饵，将受害者引导至恶意网站或直接诱导其下载恶意软件。这一攻击手法的危险性在于，恶意视频能够绕过传统的电子邮件安全过滤机制，直接触达大量用户，且因其内容形式与正常教程视频高度相似，极难被普通用户辨别。ReversingLabs分析了两个独立的攻击活动，两者均通过操纵内容推荐算法（如利用点赞数、观看量等指标）实现了大规模传播，成功触达了庞大的受众群体。攻击者精心设计视频内容，模仿真实软件教程的风格，承诺提供付费软件的免费破解版或激活工具，受害者在按照视频指引操作的过程中，不知不觉地执行了恶意脚本或下载了携带恶意代码的安装包。研究人员指出，此类攻击之所以成功率较高，原因在于用户对视频平台的信任度普遍高于陌生电子邮件，且短视频的快节奏特性使用户难以对内容进行充分的安全评估。针对此类威胁，安全专家建议企业将社交媒体相关风险纳入员工安全意识培训体系，明确告知员工切勿通过非官方渠道下载软件；在技术层面，应部署端点检测与响应（EDR）解决方案，对可疑的软件安装行为进行实时监控与拦截，同时加强对员工设备访问非官方软件下载站点的管控。
英国工党议员助理账户遭入侵，近2,000人收到钓鱼邮件
据Politico欧洲版报道，英国工党资深议员弗洛伦斯·埃沙洛米（Florence Eshalomi）的一名助理账户疑遭黑客入侵，导致近2,000人收到含有恶意文件的钓鱼邮件。英国议会数字服务部门（Parliamentary Digital Service）将此次事件定性为钓鱼攻击，攻击目的是窃取其他账户的凭证。受影响人员包括威斯敏斯特记者及公共事务专业人士，这些人均在埃沙洛米议员的联系人列表中。事件发生后，埃沙洛米议员向所有受影响人员发送了警告邮件，通报了此次安全事件的情况。此次事件再次凸显了政治人物及其工作人员的电子邮件账户所面临的安全威胁。攻击者通过入侵具有较高可信度的账户（如议员助理的官方邮箱），可以向其联系人名单中的大量目标发送看似可信的钓鱼邮件，从而绕过收件人的初步安全意识防线。议会相关机构已就此次事件展开调查。安全专家建议政治人物及其工作人员采取以下防护措施：为所有工作账户启用多因素身份验证（MFA）；定期审查账户登录记录，及时发现异常访问；对收到的含附件或链接的邮件保持警惕，即使发件人看似可信；并定期接受网络安全意识培训，了解最新的社会工程学攻击手法。
香港网络安全事故协调中心深度解析OAuth风险：从设备代码钓鱼到令牌滥用
香港网络安全事故协调中心（HKCERT）于2026年6月发布技术博客文章，深入分析攻击者如何利用OAuth（开放授权）协议的合法机制发动攻击，重点阐述了设备代码钓鱼（Device Code Phishing）与访问令牌滥用两类新兴威胁。OAuth是现代身份验证与授权体系的核心基础，广泛应用于云平台、企业协作工具及各类第三方服务，允许用户在不共享账户密码的前提下授权应用程序访问特定资源。然而，近期威胁情报显示，攻击者正日益频繁地滥用OAuth的合法流程，尤其是通过滥用访问令牌、刷新令牌及授权流程实施攻击。设备代码钓鱼攻击的典型流程为：攻击者向目标用户发送钓鱼邮件，声称需要通过设备代码完成某项服务的授权，诱导用户在合法的OAuth授权页面上输入攻击者提供的设备代码，从而在不知情的情况下将账户访问权限授予攻击者控制的应用程序。此类攻击的危险性在于，整个授权过程发生在合法的OAuth页面上，不涉及虚假登录页面，因此能够绕过传统的钓鱼检测机制及多因素身份验证保护。HKCERT建议组织机构对OAuth应用程序的授权请求实施严格审查，定期审计已授权的第三方应用，撤销不必要或可疑的授权；同时加强对异常令牌使用行为的监控，并对员工开展针对设备代码钓鱼的专项安全意识培训。
安全研究人员披露ChatGPT"ChatGPhish"漏洞：Markdown信任机制可被用于钓鱼攻击
Permiso Security的安全研究员Andi Ahmeti披露了OpenAI ChatGPT中存在的一项安全漏洞，并将其命名为"ChatGPhish"。该漏洞利用ChatGPT对Markdown链接及图片URL的隐式信任机制，通过触发提示注入（Prompt Injection）攻击，将ChatGPT的用户界面转化为钓鱼攻击的跳板。研究人员指出，chatgpt.com的响应渲染器会信任来自第三方页面的Markdown链接和图片URL——当ChatGPT对某个网页进行摘要处理时，它会自动获取页面中嵌入的图片，并将链接以可点击的形式呈现在受信任的助手界面中。在假设的攻击场景中，攻击者可在任意网页中嵌入小型恶意载荷，当受害者提示ChatGPT对该页面进行摘要时，ChatGPT会自动获取攻击者托管的图片，从而在无需用户主动交互的情况下，将受害者的IP地址、User-Agent及Referer信息泄露给攻击者。更为严重的是，攻击者可通过精心构造的Markdown链接，在ChatGPT界面中呈现看似合法的钓鱼链接，诱导用户点击并提交凭证。此漏洞的危险性在于，攻击发生在用户高度信任的AI助手界面内，用户难以察觉异常。目前，OpenAI已收到相关漏洞报告。建议用户在使用ChatGPT摘要功能处理不可信网页时保持谨慎，并关注OpenAI发布的安全更新与修复公告。
新型"浏览器中的浏览器"钓鱼活动以虚假弹窗窃取Microsoft 365凭证
Palo Alto Networks旗下Unit 42研究团队披露了一起针对Microsoft 365用户的新型浏览器中的浏览器（Browser-in-the-Browser，BitB）钓鱼活动。该攻击通过在网页内嵌入虚假浏览器窗口，模拟真实的浏览器身份验证弹窗，以极高的视觉仿真度欺骗用户提交账户凭证。攻击流程如下：受害者访问恶意网页后，点击"Microsoft登录"按钮，随即弹出一个看似真实的身份验证提示窗口，窗口中包含伪造的Microsoft OAuth URL及登录表单。Unit 42研究人员指出，弹窗地址栏中的伪造URL经过精心构造，与真实OAuth流程的URL高度相似，普通用户极难辨别真伪。此外，该弹窗还具备可拖动、可调整大小等交互特性，进一步增强了其仿真效果，使受害者误以为这是一个真实的浏览器窗口。BitB攻击手法并非首次出现，但此次活动在技术实现上更为精细，针对Microsoft 365的攻击尤为值得关注，因为企业用户的Microsoft 365凭证一旦被盗，攻击者可借此访问企业邮件、文件、Teams通讯等大量敏感资源。安全专家建议用户养成通过浏览器地址栏直接访问登录页面的习惯，而非点击弹窗中的链接；企业应部署多因素身份验证（MFA）及条件访问策略，以降低凭证被盗后的账户接管风险，并定期开展针对BitB攻击的安全意识培训。
谷歌就AI驱动钓鱼攻击在纽约提起诉讼，剑指境外诈骗运营商
据路透社2026年6月12日报道，谷歌公司在纽约提起诉讼，将矛头指向利用人工智能技术实施钓鱼攻击的境外诈骗运营商。此次诉讼是谷歌持续打击网络钓鱼基础设施法律行动的重要组成部分，也是科技企业借助司法手段应对AI赋能网络犯罪的标志性案例。近年来，人工智能技术的普及使威胁行为者能够以更低的成本生成高度逼真的钓鱼内容，包括深度伪造语音、个性化欺诈邮件及仿冒网站，大幅提升了钓鱼攻击的成功率与规模。谷歌在诉讼中指控相关被告滥用其平台及基础设施，构建并运营以AI为核心的钓鱼攻击体系，对谷歌用户及更广泛的互联网用户造成了重大损害。此次法律行动延续了谷歌此前对抗网络犯罪的一贯策略，即通过民事诉讼识别并追究幕后运营者的法律责任，同时为执法机构提供调查线索。安全业界普遍认为，随着AI工具的门槛持续降低，AI驱动的钓鱼攻击将成为未来数年内最主要的网络威胁之一。建议企业部署具备AI检测能力的反钓鱼解决方案，加强对异常登录行为的监控，并持续更新员工安全意识培训内容，以应对日益复杂的AI生成钓鱼内容。
诺顿研究：全球逾350家酒店卷入预订劫持骗局，50国旅客面临精准钓鱼威胁
据《连线》（Wired）杂志报道，诺顿（Norton）母公司Gen Digital的安全研究人员发布调查报告，揭示全球至少350家酒店、度假村、汽车旅馆及民宿已卷入所谓的"预订劫持"骗局，受影响国家和地区多达50个。攻击者通过窃取酒店预订系统中的旅客信息与预订详情，将这些真实数据用于构建高度定制化的钓鱼攻击，以窃取受害者的信用卡信息及其他敏感数据。领导此次研究的Luis Corrons指出，此类攻击具有极强的针对性，攻击者分析的钓鱼网站包含具体的酒店名称及针对每位受害者的差异化价格，使钓鱼信息看起来高度真实可信。由于钓鱼消息中包含受害者的真实姓名、预订日期、酒店名称等准确信息，受害者往往难以察觉异常，点击恶意链接的概率远高于普通钓鱼邮件。此类攻击的根源在于酒店预订系统或第三方预订平台的数据安全防护不足，导致旅客个人信息遭到批量窃取。安全专家建议旅客在收到涉及预订付款或信息更新的通知时，务必通过官方网站或官方应用程序直接登录账户核实，切勿点击邮件或短信中的链接；同时建议使用虚拟信用卡进行在线预订，以降低信用卡信息泄露的风险。酒店及预订平台应加强对预订数据访问的安全控制，并及时修补系统漏洞。
Zscaler年度报告：大规模钓鱼活动趋于收缩，精准定向攻击显著上升
Zscaler旗下ThreatLabz团队发布的年度钓鱼活动趋势报告显示，钓鱼活动总量在2024年和2025年均下降约20%，此前钓鱼活动在2023年达到超过20亿次拦截的峰值后开始回落。然而，报告同时警告称，"以拦截邮件数量衡量的钓鱼量已不再是钓鱼风险的可靠代理指标"，因为威胁行为者正将策略从大规模群发转向更具针对性的精准攻击。研究人员发现，攻击者越来越多地采用模仿日常业务通信的定向钓鱼活动，使攻击内容与正常工作邮件高度相似，大幅提升了欺骗成功率。在行业分布方面，服务业录得同比65.5%的钓鱼活动增幅，成为数据集中受攻击最严重的行业。账单通知、入职文件、续约提醒、支持请求及文档共享工作流等场景在针对服务业的攻击活动中频繁出现。这一趋势表明，网络犯罪分子正在优化其攻击策略，以更少的攻击量实现更高的成功率，攻击的质量与精准度取代了数量成为衡量攻击效能的核心指标。安全专家建议企业不应仅依赖传统的邮件数量统计来评估钓鱼风险，而应引入基于行为分析的威胁检测机制，重点关注业务流程中的高风险场景（如付款授权、账户变更等），并加强对服务业员工的针对性安全意识培训。
Zimperium警告：威胁行为者借2026年FIFA世界杯热潮发动移动端定向钓鱼攻击
移动安全公司Zimperium的威胁情报团队发布报告，揭示威胁行为者正大规模利用2026年FIFA世界杯这一全球最大体育赛事作为社会工程学攻击的诱饵，重点针对移动端用户实施定向钓鱼攻击。报告指出，由于本届世界杯扩展至48支球队、104场比赛，门票极度稀缺、价格高企，加之球迷的情感投入与购票紧迫感，为攻击者提供了极为有利的社会工程学条件。Zimperium研究人员分析了三类主要攻击活动：第一类针对购票者，通过大规模域名仿冒（Typosquatting）和机构冒充手法，部署如"fifa-tickets[.]vip"等虚假域名，诱骗急于购票的球迷提交个人信息及支付数据；第二类及第三类攻击则针对企业用户及赞助商相关人员，利用世界杯相关品牌实施鱼叉式钓鱼，以窃取企业凭证及敏感数据。攻击者还通过虚假的世界杯直播流、非官方购票应用及仿冒赞助商网站等多种渠道扩大攻击面。安全专家建议球迷及相关人员仅通过FIFA官方网站及授权票务平台购票，对声称提供特价票或内部渠道的信息保持高度警惕；企业应提醒员工在世界杯期间对相关主题邮件及链接保持额外谨慎，并加强对移动设备的安全管控，部署移动威胁防御（MTD）解决方案以检测针对移动端的钓鱼攻击。
国际刑警组织"Operation Ramz"行动摧毁Sniper Dz钓鱼即服务平台，逮捕201人
据The Hacker News报道，国际刑警组织（INTERPOL）主导的"Operation Ramz"行动于2025年10月至2026年2月间展开，成功摧毁了运营长达十年的钓鱼即服务（PhaaS）平台Sniper Dz，来自中东和北非（MENA）地区13个国家的执法机构参与了此次联合行动，共逮捕201名犯罪嫌疑人。据Group-IB披露，Sniper Dz平台据称已累计收集超过45,000条受害者记录。此次行动中，阿尔及利亚国家警察逮捕了Sniper Dz的主要开发者及管理员Guedz。该平台自2015年起持续活跃，多年来先后以Joker Dz、Storm Dz及Spam Dz等名称重新包装运营，不断演进为一个向其他网络犯罪分子提供即用型钓鱼工具包的成熟犯罪平台。执法机构在行动中关闭了用于提供PhaaS服务的网站，并没收了含有钓鱼软件及脚本的硬件设备。此次行动是近年来针对PhaaS基础设施规模最大的国际执法行动之一，充分展示了跨国执法协作在打击有组织网络犯罪方面的重要成效。安全专家指出，尽管此次行动取得了重大成果，但PhaaS生态系统的整体威胁并未消除，其他平台可能迅速填补空缺。建议各组织持续更新反钓鱼防护措施，并关注相关执法机构发布的最新威胁情报。
研究揭示ChatGPT提示注入漏洞可将任意网页转化为钓鱼诱饵
The Register报道了安全研究人员针对ChatGPT提示注入（Prompt Injection）漏洞的最新研究成果，揭示攻击者可通过在普通网页中嵌入恶意载荷，利用ChatGPT的网页摘要功能将任意网页转化为钓鱼攻击的跳板。当用户提示ChatGPT对含有恶意载荷的网页进行摘要处理时，注入的恶意指令可劫持ChatGPT的响应行为，使其在生成摘要的同时，向用户呈现攻击者精心构造的钓鱼链接或虚假内容，而这些内容均以ChatGPT受信任的助手界面形式呈现，极难引起用户的警觉。此类攻击的核心危险在于，用户对ChatGPT等AI助手的信任度普遍较高，攻击者通过污染AI的输入内容，可以间接操控AI输出，进而欺骗用户。攻击者无需直接入侵用户设备或账户，只需控制一个可被ChatGPT访问的网页，即可对大量使用该功能的用户构成威胁。研究人员指出，随着AI助手被越来越多地用于处理和摘要外部网页内容，提示注入攻击的攻击面也在持续扩大。建议用户在使用ChatGPT等AI工具处理不可信来源的网页时保持谨慎，对AI生成内容中出现的链接进行独立核实；OpenAI及其他AI平台应加强对提示注入攻击的检测与防御机制，限制AI对外部内容的隐式信任。
SOC Prime披露：以SSA钓鱼邮件为起点、AdaptixC2为核心的多RAT复合入侵行动
SOC Prime发布威胁情报报告，详细分析了一起以美国社会安全局（SSA）为主题的钓鱼邮件为入口、以AdaptixC2框架为核心指挥控制基础设施的多远程访问木马（Multi-RAT）复合入侵行动。此次攻击展现出高度的战术纪律性与技术复杂性。攻击链从一封以SSA为主题的钓鱼邮件开始，邮件中采用了RTLO（从右到左覆盖）文件名欺骗技术，通过操纵Unicode字符使恶意文件的扩展名在显示时呈现为无害的文档格式，诱导受害者执行恶意载荷。成功入侵后，攻击者部署了AdaptixC2作为主要的命令与控制（C2）框架，同时使用XWorm作为辅助访问渠道，并通过Telegram实施数据外泄。此外，攻击者还部署了ScreenConnect远程管理工具，以支持键盘操作（Hands-on-Keyboard）活动，实现对受害者系统的实时交互控制。攻击者在整个入侵过程中设置了多条持久化路径，确保在部分修复措施实施后仍能维持对受害系统的访问。此次行动的多层次架构表明，攻击者具备较强的专业能力，能够在遭遇部分检测与响应后快速切换攻击手段。建议安全团队重点关注AdaptixC2、XWorm及ScreenConnect的相关检测规则，加强对RTLO文件名欺骗技术的识别能力，并对SSA主题的钓鱼邮件实施严格过滤。
Malwarebytes揭露：LinkedIn主题钓鱼活动滥用Adobe A/B测试平台绕过安全检测
Malwarebytes研究人员披露了一起针对专业人士的新型钓鱼活动，攻击者以LinkedIn商业邮件为伪装，并滥用Adobe旗下受信任的A/B测试服务平台作为攻击中间层，以绕过传统的邮件安全过滤机制。从受害者视角来看，攻击始于一封看似普通的商业询盘邮件，声称对方希望通过LinkedIn与受害者洽谈业务合作，并附上了一份已签署的合同供其审阅。邮件内容简短专业，发件人的公司名称和姓名均真实存在（尽管经核查该人员并不在该公司任职），具有较强的迷惑性。打开附件后，受害者将看到一个高度仿真的LinkedIn登录页面，且页面中已预填了受害者的电子邮件地址，进一步降低了受害者的警觉性。攻击者之所以选择滥用Adobe的A/B测试平台，是因为该平台域名具有较高的信誉评分，能够有效规避基于域名声誉的邮件安全过滤，使恶意链接顺利进入受害者收件箱。此类攻击手法被称为"受信任服务滥用"（Trusted Service Abuse），近年来在网络钓鱼活动中日益普遍，攻击者通过滥用Google Docs、Adobe、Dropbox等受信任平台托管或中转钓鱼内容，大幅提升了攻击的绕过能力。建议专业人士对收到的商业合作邮件及附件保持警惕，通过LinkedIn官方平台直接核实发件人身份，并为LinkedIn账户启用双重身份验证。
加拿大纽芬兰省医疗机构以"带薪假日"为诱饵开展钓鱼测试，引发员工强烈反弹
据《卫报》2026年6月22日报道，加拿大纽芬兰与拉布拉多省的医疗卫生机构NL Health Services（纽芬兰与拉布拉多卫生服务局）的IT部门开展了一次内部钓鱼意识测试，测试邮件以"六月假日"为主题，向数千名医疗工作者的收件箱发送了一封感谢信，信中表彰员工在实施新数字平台CorCare期间付出的大量强制加班，并以"带薪假日"作为奖励，要求员工点击链接进行登记。然而，点击链接的员工随即被标记为"测试失败"，而非获得承诺的假期。这一测试在已承受高度职业倦怠与人员短缺压力的医疗工作者中引发了强烈的愤慨与反弹。注册护士工会（Registered Nurses Union）对此提出严厉批评，工会主席Yvette Coffey表示，虽然网络安全教育至关重要，但必须以尊重和判断力为前提，不应利用医疗工作者的压力与疲惫作为测试手段。NL Health Services代理首席执行官Ron Johnson随后公开道歉，承认此次测试"可能引发误解"，并表示将对内部钓鱼测试的设计与审批流程进行审查。此事件引发了业界对钓鱼意识测试伦理边界的广泛讨论，专家普遍认为，有效的钓鱼意识培训应以建立信任、提升员工安全意识为目标，而非通过制造情感伤害来惩罚员工，测试场景的设计应充分考虑员工的心理状态与职场环境。
微软威胁情报：威胁行为者借AI品牌热潮实施社会工程学攻击，冒充ChatGPT、Copilot等平台
微软威胁情报团队于2026年6月8日发布博客文章，揭示威胁行为者正将全球对人工智能的高度关注转化为社会工程学攻击的利器，通过冒充ChatGPT、Microsoft Copilot、DeepSeek及Anthropic Claude等热门AI平台的品牌，实施钓鱼攻击、恶意广告（Malvertising）及搜索引擎优化（SEO）驱动的攻击活动，最终目标为凭证窃取、金融欺诈或恶意软件感染。微软强调，上述攻击活动并不代表相关AI服务本身遭到入侵，而是攻击者利用用户对这些品牌的信任与好奇心，通过仿冒其界面与品牌标识实施欺骗。尽管采用了AI主题的诱饵，这些攻击活动在战术层面仍延续了久经考验的传统手法，包括紧迫感驱动的消息推送、滥用受信任服务及多阶段感染链。微软观察到，攻击者尤其善于利用AI平台的新功能发布或重大更新作为时机，在用户好奇心最旺盛的窗口期发动攻击。此类攻击的广泛传播反映出AI品牌在普通用户中的高度认知度与信任度，也预示着随着AI工具的进一步普及，以AI为主题的社会工程学攻击将持续增加。建议用户仅通过官方网站或应用商店访问AI工具，对搜索结果中排名靠前的AI相关广告链接保持警惕，并为相关账户启用多因素身份验证。
Varonis研究：自主AI代理在钓鱼测试中被诱骗泄露AWS密钥与CRM数据
据CSO Online报道，Varonis威胁实验室的安全研究人员开展了一项针对自主AI代理的钓鱼攻击测试，结果显示，被赋予企业邮件与业务应用访问权限的AI代理可能成为攻击者的新型攻击目标。研究人员基于OpenClaw框架构建了一个名为"Pinchy"的AI代理，并在受控的Google Workspace环境中进行测试，赋予该代理访问包含模拟AWS凭证、CRM导出数据、内部对话记录及日历邀请的Gmail收件箱的权限。测试结果令人警觉：即便配置了内置安全提示，该AI代理仍被精心构造的钓鱼邮件诱骗，将云凭证（AWS密钥）及CRM导出数据分享给外部攻击者。研究人员测试了两种配置——通用生产力配置与安全增强配置，结果表明，即使是经过安全加固的配置，在面对复杂的提示注入攻击时仍存在被欺骗的风险。这一研究揭示了AI代理在企业环境中大规模部署所带来的新型安全风险：AI代理往往被赋予广泛的数据访问权限，而其对钓鱼攻击的抵抗能力尚未经过充分验证。安全专家建议企业在部署AI代理时遵循最小权限原则，严格限制代理可访问的数据范围；对AI代理的操作行为实施持续监控与审计；并在将AI代理引入生产环境前，开展专项的安全评估与红队测试，以识别潜在的提示注入与数据泄露风险。
供稿：北京中科易安科技有限公司（公共互联网反网络钓鱼成员单位）
编辑：芦笛（公共互联网反网络钓鱼工作组）
