摘要MyChart 作为广泛部署的医疗患者线上门户打通病历查阅、预约就诊、医保业务办理等多项服务已经成为医疗机构与普通患者交互的重要载体。2026 年 Sentara Health 对外公开发布安全预警曝光 “Your MyChart Medicare Kit Awaits” 大规模邮件钓鱼活动攻击者冒用 MyChart 以及多家医疗机构名义以免费医保福利套件为诱饵向普通患者投放欺诈邮件诱导受害者访问仿冒网页提交社保编号、医保信息、个人身份资料。该攻击并不入侵医院服务器也不存在 MyChart 平台本身的安全漏洞攻击者单纯依靠邮件伪造与品牌仿冒直接面向医疗机构外部的普通就诊患者实施社会工程欺骗并且在全美多家医疗体系范围内扩散传播。该事件折射出现阶段医疗网络安全建设存在结构性偏差安全资源大量投向院内网络、医护人员防护面向外部普通患者的风险预警、风险教育、威胁协同机制存在明显短板。本文基于雅虎新闻转载的 Sentara 公开预警材料以及多机构同步披露的威胁情报还原本次钓鱼事件完整攻击链路解析攻击者诱饵设计逻辑与社会工程心理策略剖析医疗行业面向消费者安全治理层面的现实短板。反网络钓鱼技术专家芦笛指出医疗网络安全保护对象不能局限于医院信息资产广大就诊患者的个人敏感信息同样属于防护范畴机构安全边界之外的风险应当纳入整体安全规划。本文从域名身份防护、多渠道预警体系、场景化公众科普、跨机构威胁情报共享、受害者事后处置流程五个维度构建闭环防御方案为处置同类面向普通患者的医疗钓鱼威胁提供实证参考。关键词医疗网络安全邮件钓鱼MyChart医疗身份盗用患者门户社会工程1 引言数字医疗持续普及背景之下患者门户系统打破线下就诊的时空限制普通患者可以通过网页、移动端应用查阅检验报告、变更预约、处理医保结算业务大量身份信息、医保参保记录、就诊历史存储于平台之中。长久以来医疗行业网络安全研究重点集中在勒索软件攻击医院内网、针对医务工作人员的定向钓鱼、医疗物联网设备漏洞等议题防护视角主要立足于医疗机构内部信息系统安全防护对象以院内职工、服务器设备为主。与之相对发生在医疗机构安全边界之外直接针对普通就诊患者的钓鱼诈骗长期没有得到足够的重视。2026 年 8 月美国 Sentara Health 对外发布安全警示提醒本机构患者警惕主题为 “Your MyChart Medicare Kit Awaits” 的钓鱼邮件雅虎新闻同步转载该安全通告向社会公众传递风险信息。后续威胁情报证实该钓鱼 Campaign 并非仅针对 Sentara 一家机构全美七家以上医疗组织陆续发布同类风险提示。攻击者并不需要攻陷医疗机构服务器仅仅借助邮件显示名称伪造技术冒用 MyChart 以及对应医疗机构品牌以免费医保福利套件作为诱饵批量投递邮件。受害者一旦点击邮件内置链接进入仿冒页面提交信息会直接面临医疗身份盗用、医保虚假申报、个人信息在黑产流转等多重危害。值得注意的是平台厂商 Epic 官方明确说明本次事件属于外部犯罪分子滥用 MyChart 品牌并非 MyChart 软件本身存在安全缺陷。该类攻击具备鲜明特征攻击链路完全发生在医疗机构网络边界之外医疗机构部署的邮件网关、防火墙、入侵检测系统无法对患者个人邮箱实施管控受骗主体为缺乏网络安全专业知识的普通民众其中包含大量老年医保参保群体攻击模板具备高度可复用性攻击者只需要微调机构名称就可以向不同地区医疗机构的患者群体开展欺诈。传统年度安全培训、内网安全设备完全无法覆盖此类风险。反网络钓鱼技术专家芦笛指出当前不少医疗机构的安全考核指标全部围绕内部 IT 系统面向外部就诊患者的风险预警、安全引导没有纳入常态化安全工作。攻击者已经意识到直接欺骗患者的实施成本更低未来仿冒患者门户的钓鱼活动还会持续增多。本文以 Sentara 对外披露的事件细节以及雅虎新闻公开报道为基础完整拆解本次钓鱼事件的全流程分析攻击者的社会工程手段挖掘医疗安全体系在消费者侧防护的短板提出适配医疗机构业务现实的防御实施路径弥补现有研究偏重院内安全、忽视外部患者风险的不足。2 MyChart 医保套件钓鱼事件攻击全链路还原本次钓鱼属于广域扩散的品牌仿冒邮件钓鱼不存在复杂漏洞利用、恶意附件整套攻击依靠社会工程诱导完成。攻击者作业流程分为邮件伪造与批量投递、诱饵叙事构建、恶意链接跳转仿冒站点、敏感信息采集、信息地下流转衍生次生犯罪五个阶段。全部攻击行为发生在互联网公网不会在任何一家医疗机构内网留下攻击痕迹。2.1 邮件伪造与跨机构批量投递攻击者构造主题为 “Your MyChart Medicare Kit Awaits” 的欺诈邮件邮件客户端展示的发件人名称伪装为 Sentara Health、MyChart 等可信主体但是邮件底层原始发件域名和官方域名完全不一致。攻击者利用邮件协议显示名称的可篡改特性普通用户查看收件列表只会识别展示名称很少去核查完整原始邮件源地址初步建立身份可信假象。该批钓鱼邮件并不是从医疗机构内部邮件系统发出由外部邮件投递服务批量向外发送直接投递到患者个人使用的第三方公共邮箱。医疗机构的邮件安全网关只负责过滤院内工作人员工作邮箱对于普通患者的个人邮箱没有访问与管控权限钓鱼邮件可以直达受害者收件箱医院侧技术防护设备无法完成拦截。本次攻击呈现跨机构扩散特征同一套邮件模板被复用至全美多家医疗体系。攻击者只需要修改邮件展示的医疗机构名称不需要重新开发整套钓鱼物料就可以针对不同地区的患者群体开展欺诈。包括 UMass Memorial Health、Methodist Health System 在内多家机构先后发布风险提示证实威胁波及范围远超单一医疗机构。从攻击成本角度看模板复用大幅降低攻击者的作业开销是该类钓鱼可以大范围传播的重要原因。2.2 诱饵叙事免费医保福利的心理诱导区别于常见账号冻结、账单逾期类恐吓式钓鱼本次攻击采用正向收益诱饵以领取 MyChart 专属的 Medicare 医保套件作为叙事核心。邮件向收件人传递信息作为 MyChart 平台使用者有资格申领免费健康福利包只需要完成简单信息登记即可完成申领配送。该诱饵精准瞄准老年医保参保群体的心理特征老年参保人群对于医保配套福利存在较高关注度免费福利的叙事降低收件人戒备心理。邮件排版模仿医疗机构面向公众的正式通知整体文本没有大量低级拼写错误进一步提升迷惑性。攻击者不在邮件正文直接索要隐私数据而是引导用户点击邮件内链接跳转外部网页完成登记。Sentara 官方以及雅虎新闻转载的安全通告特别提示用户收到邮件之后不可以点击邮件内任何按钮其中包含邮件当中的 “退订” 按钮。攻击者放置伪造退订按钮受害者一旦点击相当于向攻击者确认该邮箱处于活跃使用状态后续会收到更多钓鱼与垃圾欺诈邮件造成二次骚扰风险。2.3 恶意链接跳转与仿冒信息采集页面用户点击邮件内超链接之后跳转至攻击者搭建的仿冒网页。页面复用 MyChart 品牌标识视觉风格高度贴近真实患者门户。页面叙事延续邮件内容告知用户申领医保套件必须完成身份核验表单要求用户填写姓名、社保编号、医保编号、联系地址、电子邮箱部分场景还会采集银行卡相关信息。整个交互流程模拟真实官方福利申领业务受害者主观上认为自己在完成医疗机构要求的登记操作实际上所有提交的敏感数据直接上传至攻击者管控后台。整个链路不涉及恶意程序下载安装危害来自用户主动填报隐私资料。浏览器、终端杀毒软件很难判别网页业务逻辑是否属于欺诈识别工作主要依靠用户自身判断。大量普通患者仅仅凭借页面上出现 MyChart 标识就认定网页具备官方属性缺少核验域名的习惯因此落入圈套。必须厘清一个关键事实该事件并不代表 MyChart 平台发生数据泄露。威胁行为属于外部犯罪分子盗用 MyChart 品牌开展欺诈平台厂商 Epic 对外公开说明MyChart 软件本身不存在安全缺陷用户依旧可以正常使用官方患者门户。但是普通民众很容易形成认知误区收到仿冒邮件即误认为自己的 MyChart 账号已经遭到入侵容易引发不必要的公众恐慌。2.4 敏感信息窃取与多重次生危害攻击者收集到社保、医保、身份信息之后可以开展多类下游黑产活动。第一类为医疗医保欺诈利用窃取到的参保人身份伪造就诊记录虚假提交医保报销申请套取医保资金。第二类是通用身份盗用利用受害者身份注册互联网服务、办理信贷业务给当事人带来长期财产风险。第三类是整套身份数据集在地下黑产市场售卖流转至其他电信诈骗团伙衍生更多诈骗骚扰。对于受害者个人而言医疗身份被盗用之后虚假就诊记录会混入本人真实医疗档案后续前往医院就诊时错误病历信息会干扰医师判断对个人诊疗带来潜在负面影响。清理医疗身份盗用的后果流程繁琐往往需要耗费受害者大量的时间精力对接医保机构、征信机构。2.5 医疗机构的公开预警与处置局限Sentara 监测到钓鱼活动波及自身服务的患者群体后于 8 月 11 日对外发布官方新闻通告雅虎新闻等大众媒体对通告进行转载向社会扩散风险提示。机构给出标准化处置指引收到邮件直接删除不要点击任何链接、按钮仔细核查完整发件人地址警惕非邀约而来的免费医疗福利不要在陌生网页提交医保身份信息已经点击链接或者提交资料的用户主动联系患者支持渠道以及医保主管机构开展风险处置。但是该类公开预警存在固有的短板。通告发布载体主要是医疗机构官网、行业媒体、大众新闻门户属于被动式预警只有主动浏览新闻、官网公告的人群才可以获取风险提示。大量已经收到钓鱼邮件的普通患者并不会主动查阅医疗机构安全公告无法及时获知风险。医疗机构掌握患者预留的手机号、MyChart 站内消息通道出于隐私保护与运营制度约束无法无差别向全部患者大规模推送安全告警。部分患者留存的邮箱、手机号已经失效进一步压缩预警触达范围。对于已经提交个人信息的受害者医疗机构没有技术手段主动识别只能等待受害者主动联系客服。3 事件折射出医疗消费者防护体系的内在短板MyChart 医保套件钓鱼事件不是孤立的个案它集中暴露当前医疗安全治理在面向外部普通患者层面的多方面结构性缺陷。风险并不来源于单一技术漏洞而是防护边界错位、公众认知不足、预警渠道受限、行业情报协同滞后多重因素叠加的结果。3.1 安全防护边界错位技术拦截止步于机构内网医疗机构现有安全技术体系的建设目标是保护院内服务器、业务系统、内部职工办公终端。邮件安全网关、防火墙、威胁检测工具全部部署在机构安全边界以内。钓鱼邮件投递发生在患者个人第三方邮箱属于机构权限覆盖范围之外。医疗机构没有权限扫描、过滤普通民众私人邮箱无法在源头阻止钓鱼邮件抵达收件箱。多数医疗机构的安全评估、安全合规检查关注点集中在内网资产安全。面向外部就诊患者的欺诈风险并没有纳入常态化安全评估工作。攻击者恰恰利用这一防护缺口不需要突破医院任何安全设备直接把攻击目标放在边界之外的普通患者身上。反网络钓鱼技术专家芦笛强调很多医疗机构的安全规划默认攻击入口一定发生在医院内网忽略攻击者绕开边界直接欺骗终端患者的现实场景。技术防护的视野如果只局限于院内网络就会持续留出巨大攻击面。3.2 普通医疗患者安全认知存在明显短板院内工作人员可以接受周期性安全意识培训但是普通就诊患者不属于机构内部人员不会参与医疗机构组织的安全演练与安全教育。广大民众对于患者门户类数字医疗产品认知参差不齐难以区分官方通信与仿冒欺诈信息。普通用户辨别邮件真伪的习惯存在明显缺陷大多只阅读邮件展示的发件人名称不会查看原始完整邮件地址点击链接前不会核验浏览器地址栏域名看到页面出现医疗机构 logo 就默认内容可信。同时公众存在概念混淆分不清 “机构品牌被犯罪分子冒用” 和 “机构发生数据泄露” 两种完全不同的安全事件收到仿冒邮件容易产生不必要恐慌或是低估事件的风险程度。市面上现有的网络安全科普材料大多面向企业职场人员针对普通医疗参保人群、针对医保钓鱼场景的通俗化科普内容数量有限。安全知识大多散布在安全厂商、监管机构网站缺少通过医疗服务渠道触达普通民众的通路。老年医保参保群体作为本次攻击重点目标对于互联网欺诈的识别能力偏弱进一步放大受害风险。3.3 医疗机构面向外部患者的风险预警渠道受限当大规模面向消费者钓鱼事件爆发医疗机构缺少可以触达全部潜在受影响患者的主动预警通路。官网新闻、媒体转载属于被动传播触达效率有限。MyChart 站内弹窗消息是相对可靠的渠道但是只有登录平台的用户才能够看到提示大量用户不会高频登录患者门户。出于隐私合规约束医疗机构不能随意向全部患者批量发送预警短信、邮件。机构缺少标准化的突发事件通告模板不同医疗组织发布的警示内容质量参差不齐。部分通告仅简单提示存在诈骗没有拆解攻击诱饵、没有给出分步骤可落地处置操作科普价值大打折扣。客服团队也缺少标准化应答脚本面对大量患者咨询很难清晰区分品牌仿冒攻击与内部数据泄露容易造成公众误解。3.4 跨医疗机构威胁情报协同存在滞后本次钓鱼模板具备高度可复用性威胁一旦出现会快速扩散到多家医疗体系。现实当中 Sentara 最先发布公开预警其余多家医疗机构间隔一段时间之后才陆续对外提示风险。各家机构独立监测钓鱼样本、独立分析诱饵特征存在大量重复工作。当前医疗行业情报共享机制更多聚焦勒索软件、内网入侵、医疗设备漏洞这类直接威胁院内系统的情报。针对面向普通患者的钓鱼邮件、仿冒网页样本没有建立常态化情报流转通道。样本、诱饵话术、仿冒域名等威胁特征不能快速在行业内同步导致各家医疗机构预警工作出现时间差部分患者在机构发布预警之前就已经接触到钓鱼邮件。4 面向医疗患者钓鱼威胁的闭环防御构建路径应对此类不触碰医院内网、直接欺骗普通就诊民众的钓鱼攻击不能单纯依靠传统边界安全设备。需要域名层技术加固、多维度分层预警、面向公众场景化科普、行业威胁情报协同、标准化受害者处置流程互相配合构建覆盖机构侧与患者侧的完整防御闭环。4.1 域名安全加固借助邮箱服务商提升外部拦截能力医疗机构应当清晰界定自身能力边界无法管控患者个人邮箱因此不能将拦截全部钓鱼邮件作为目标重点工作放在提升邮件伪造的难度。完善域名身份验证相关解析配置约束外部邮件服务器冒用本机构域名发送邮件让主流公共邮箱服务商可以识别伪造本机构身份的邮件对仿冒邮件执行标记、隔离或者拒收。借助外部邮箱服务商的能力弥补医疗机构无法访问用户私人收件箱的短板。统一规范医疗机构面向患者的官方邮件通信特征通过线下就诊大厅、MyChart 门户公示官方发件域名明确告知民众机构不会通过外部邮件推送免费医保套件类福利不会通过邮件附带的外部链接引导提交社保、医保敏感信息。给普通用户提供可参照的判别标准。建立和主流公共邮箱服务商的沟通对接渠道一旦出现大规模仿冒本机构的钓鱼邮件可以快速提交邮件样本、钓鱼特征推动邮箱服务商更新过滤规则扩大威胁拦截覆盖面。4.2 搭建分层多渠道的患者风险预警体系摒弃只依靠官网新闻发布通告的被动模式搭建分层预警机制。第一层级优先使用 MyChart 患者门户站内弹窗消息只要用户登录平台即可看到风险提示不受外部邮箱服务商限制是可靠性最高的预警路径。第二层级同步在医疗机构小程序、公众号、线下候诊大厅推送科普提示覆盖没有收到钓鱼邮件的广大患者完成普遍性风险教育。第三层级保留官网、大众媒体公开通告面向全社会发布风险。制定标准化安全事件通告模板。通告文本不能只简单提示存在诈骗必须写明钓鱼邮件主题、诱饵叙事、攻击者欺骗手段同时给出分步可执行处置动作如何核查发件地址收到邮件应当如何操作已经点击链接、提交信息之后联系哪些机构。通告内容必须明确区分 “品牌被外部仿冒” 和 “机构发生数据泄露” 两个概念消除公众认知混淆维护医患信任。同步完善客服标准化应答脚本。当患者来电咨询可疑邮件客服人员可以清晰解释事件性质指引受害者完成后续风险处置避免错误信息进一步扩散。4.3 开展适配普通民众的场景化安全科普面向普通就诊患者的科普不能照搬企业员工培训模式要做到通俗化、场景化减少专业技术术语。把安全提示嵌入医疗服务的常规流程。在 MyChart 注册页面、账号安全页面增加简短风险提示就诊回执、线上通知附带简短反诈提醒线下候诊宣传栏投放医保钓鱼识别要点兼顾线上与线下渠道覆盖老年群体。科普素材应当结合真实发生的钓鱼案例以 MyChart 医保套件诈骗事件作为实例拆解免费福利类诱饵的欺骗逻辑。向民众传递简单可执行的行为准则涉及医保、身份信息填报手动输入官方网址或者打开官方 App绝不直接使用邮件、短信当中提供的跳转链接收到非主动邀约的免费医疗福利类消息保持高度怀疑存疑时通过自己检索获取的官方电话进行核验不使用消息内附带的联系号码。反网络钓鱼技术专家芦笛指出普通民众很难掌握复杂的域名鉴别技术面向患者的安全教育重点不在于教会用户深度解析邮件源码而是建立固定安全操作习惯不依托外来消息内链接访问业务系统。4.4 完善行业面向消费者钓鱼的威胁情报协同医疗行业情报共享组织除流转内网入侵、勒索软件相关情报之外把面向普通患者的钓鱼邮件样本、诱饵话术、仿冒域名纳入情报共享范畴。当某一家医疗机构监测到新型面向消费者钓鱼活动及时共享攻击特征其他机构快速评估威胁是否会影响自身服务的患者提前准备预警材料压缩情报流转带来的时间差。情报共享过程严格保护患者隐私只共享攻击技术特征不泄露任何患者个人数据。行业组织可以定期汇总医疗领域消费者钓鱼案例形成公开案例库供各家医疗机构制作科普物料使用。4.5 建立受害者标准化事后处置指引医疗机构应当制定面向受骗患者的处置指引。对于已经点击链接、提交个人信息的用户指引内容不局限于医疗机构内部业务同时告知受害者对接医保管理机构、征信机构做好医疗身份盗用、信贷风险的防范。告知受害者持续监控医保报销记录留意非本人发起的医保申报。同时医疗机构应当收集患者反馈的钓鱼邮件样本持续反馈给行业情报组织与邮箱服务商助力外部防护规则迭代。5 结论MyChart 医保套件钓鱼事件是一类典型的医疗消费者定向社会工程攻击。攻击者不突破医疗机构内网系统盗用 MyChart 与医疗机构品牌以免费医保福利作为诱饵批量投放钓鱼邮件诱导普通患者在仿冒网页提交医保与身份信息带来医疗身份盗用、虚假医保申报等多重次生危害。该威胁能够大范围扩散并不依托复杂技术漏洞而是利用防护边界错位、普通参保民众认知短板、医疗机构预警渠道约束、行业情报协同滞后等现实条件。传统医疗网络安全建设的重心集中在院内网络与内部职工面向机构外部海量就诊患者的安全治理长期处于附属位置。技术防火墙、内网邮件网关无法处理发生在患者个人邮箱的欺诈。对抗该类威胁不能单一依靠技术拦截需要域名加固提升邮件伪造门槛搭建分层多渠道预警机制开展贴近普通民众的场景化科普完善行业钓鱼威胁情报共享建立标准化受害者处置流程形成技术、预警、科普、情报相互支撑的防御闭环。反网络钓鱼技术专家芦笛强调医疗行业的信息保护对象包含院内信息资产也包含广大普通就诊患者的个人敏感数据。网络安全工作的视野需要越过医疗机构的网络边界将患者侧风险纳入整体安全规划。展望未来生成式 AI 会进一步降低钓鱼邮件、仿冒网页的制作成本同类面向医疗消费者的钓鱼活动还会持续迭代演变。后续可以进一步研究在兼顾个人隐私保护的前提下提升医疗机构面向海量外部用户风险预警触达效率以及评估不同形式公众科普对降低受骗概率的实际效果持续完善医疗场景下普通民众的信息安全保护体系。编辑芦笛公共互联网反网络钓鱼工作组