创新的伪装机制
网络安全公司Kela监测到了一起针对金融机构的高级网络钓鱼活动，攻击者依靠一种欺骗性技术，阻止安全团队和关闭服务提供商检测恶意内容。该活动依赖于记录访问者的IP地址；当第一个访问者看到一个伪造的银行登录页面时，任何后续访问者（包括安全扫描工具）都会看到一个看起来像是来自托管服务提供商的“账户挂起”页面，这给人一种网站已经被关闭的错觉。
为什么这条新闻很重要？
这种基础设施的危险性在于它能够绕过传统的保护措施。当安全团队或服务提供商举报可疑网站时，他们通常会再次检查以确认其已关闭。在这种情况下，虚假的页面会显示给调查人员，导致该域被归类为“不活跃”，而该网站继续针对新的受害者。这种策略使事故响应团队很难有效地阻止该活动，因为揭示真实内容需要为每次扫描使用新的IP地址。
活动详情与范围
该活动始于2026年5月，并已扩展到包括300多个伪造域名，其中248个针对约189家美国金融机构，重点关注中小型区域性银行。调查还显示，该活动的受害者还波及英国、澳大利亚和新西兰。这些网站使用的命名模式依赖于诸如“secure”或“authorize”之类的词，后面跟着银行名称，并且出现了一类使用“help-desk”和“live-support”等名称来模拟技术支持门户的新类别。
应对挑战
Kela指出了使这种基础设施难以制止的四个因素：
- 简单的命名格式：可以轻松复制到任何金融机构。
- 使用Cloudflare：隐藏实际的托管位置。
- 伪装技术：在第二次访问时显示“挂起”页面以误导检查人员。
- 共享服务器：即使一个域名被关闭，也能确保持续性。
调查结果表明，该活动主要针对企业银行和财务凭证，并使用脚本阻止在浏览器中使用开发人员工具，从而增加了对网站进行技术分析的复杂性。