摘要邮件身份认证机制解决了 邮件是否来自其声称的发送方 这一溯源问题却无法回答 发送系统被要求发送了什么内容。这一边界为攻击者提供了可资利用的攻击面当用户可控字段被平台在未经充分校验的情况下渲染进邮件正文时攻击者便可借合法平台的信誉、模板与通过认证的头部信息投递内容完全由自身控制且能通过 SPF、DKIM 与 DMARC 校验的钓鱼邮件。据 Cisco Talos 的观察过去一年内已有超过 25 个涵盖协作、文件共享、调查、支付与人工智能等类型的合法平台遭此类滥用。本文以该研究为实证基础剖析交易邮件滥用、列表轰炸定向改造与退信通知载荷走私三类技法的运作机理阐明 认证通过 与 内容安全 之间的结构性脱节并据此提出平台侧输入校验、网关侧完整渲染审查与递归多用途互联网邮件扩展MIME解析、业务上下文校验等治理路径强调防御重心应由 验证发送者身份 延伸至 审查被渲染的完整内容。关键词钓鱼邮件平台滥用邮件身份认证回调诈骗列表轰炸退信通知1 引言一封来自戴尔官方订单域名的订单确认邮件通过了 DKIM 与 DMARC 校验使用了戴尔的真实邮件模板并确认了一笔收件人从未进行的、金额为 736.09 美元、涉及 Microsoft Project Standard 2024 的采购 —— 这样的邮件看上去几乎毫无破绽。然而在 寄送至 一栏本应填写地址的位置赫然写着 Helpline客服热线字样与一个电话号码这正是后续召回诈骗的触发钩子。这封邮件之所以看似真实是因为它确系由戴尔的系统依据攻击者提供的输入生成并发送攻击者仅仅提交了那个电话号码其余的信誉、模板与认证均来自被滥用的合法平台。上述案例并非孤例。Cisco Talos 的研究显示过去一年间攻击者已滥用超过 25 个合法平台涵盖协作、文件共享、调查、支付与人工智能等类型。其手法的共同特征是将恶意内容作为 输入 喂给合法平台再由平台自身的系统完成投递 —— 攻击者由此借用受信任系统的信誉与认证能力使钓鱼邮件能够在通过邮件身份认证的前提下到达受害者。本文将围绕这一现象展开首先界定 平台滥用 的内涵与总体态势继而剖析三种主要滥用技法的技术机理随后论证 认证通过不等于内容安全 这一核心命题最后从平台、网关与业务上下文三个层面提出防控路径。2 平台滥用的内涵与总体态势2.1 基本定义与本质特征所谓合法平台滥用指攻击者不直接搭建恶意基础设施而是将恶意输入注入受信任的在线服务平台利用平台自身的功能流程生成并投递承载恶意意图的邮件。其本质是一种 信任的让渡攻击者提供内容而受信任系统提供信誉、模板与通过认证的邮件头部。由于邮件经由平台正规通道发出其在发件域名、身份认证与外观模板等维度上与正常业务邮件高度一致传统的以发送者身份为核心的防护逻辑在此类攻击面前基本失效。2.2 攻击面的来源理解这类攻击关键在于厘清邮件身份认证机制的边界。SPF、DKIM 与 DMARC 等机制所要回答的问题是单一的这封邮件是否来自其所声称的发送方。这三项机制能够较为可靠地验证邮件来源却完全不涉及 发送系统被要求传递了什么内容。攻击者正是利用这一边界将用户可控制的输入字段视为攻击面任何由用户填写、并经平台后续渲染进邮件的字段都可能成为恶意内容的载体。攻击者填充内容平台的信誉与模板为之背书而认证机制依据来源判定予以放行 —— 由此认证通过 与 内容安全 之间出现了一道结构性脱节。2.3 滥用范围的扩展趋势Talos 的观察表明此类滥用并非集中于某一特定行业而是广泛分布于协作、文件共享、调查、支付与人工智能等各类平台。这一分布的背后是攻击者对各平台表单校验宽松程度的系统性评估凡属 用户可输入、平台会渲染 的字段即便承载电话、网址、换行或营销性文字等本不该出现的元素只要平台未作校验或校验不严便可成为投递通道。平台类型越多样可供选择的 信使 便越丰富攻击者据此得以在众多受信任来源之间轮换进一步削弱收件人与防护系统对特定发件域名的信任判断。3 三种滥用技法的技术剖析3.1 交易邮件的诈骗号位注入与召回诈骗第一种技法针对交易类邮件。Cisco 的研究人员在两起合计约 1400 条消息的攻击活动中观察到攻击者对 Staples 与戴尔的交易邮件加以滥用攻击者将伪造的客服电话号码植入高价值订单确认邮件中的账单与寄送字段 —— 在涉及 Staples 的案例中伪造订单的对象是一台 iPad。此类攻击的目标并非诱导收件人点击链接而是诱导其拨打电话从而将受害者从邮件环境整体转移至电话通道。这种被称为召回诈骗的手法利用的是人类在面临 未授权大额消费 时的即时焦虑与求证冲动收件人在邮件高度真实的情况下更倾向于拨打电话寻求解决而接听电话的另一端恰是等待套取信息或实施进一步欺诈的攻击者。其隐蔽之处在于攻击甚至无需在邮件中布置任何明显恶意链接仅凭一个电话号码即可完成攻击链条的启动。3.2 列表轰炸的定向改造与恶意载荷投递列表轰炸本是一种以淹没收件箱为目标的拒绝服务或干扰手段攻击者将受害者邮箱提交至合法的注册、订阅或通知流程使其被大量自动化确认邮件淹没。Talos 观察到此类手法在部分情形下正被改造为恶意内容的投递通道。具体而言攻击者将诱饵内容输入到校验宽松表单中的姓名、公司或职位等字段平台随后生成的欢迎邮件或确认邮件便将这些内容原样呈现在收件人面前使其看起来像正规的平台邮件。相较于直接伪造邮件这一路径使恶意诱饵获得了平台信誉与格式的双重背书既降低了收件人的警惕也增加了网关基于发件域与模板的识别难度。3.3 退信通知的载荷走私第三种技法利用失败投递通知即退信邮件作为载荷载体。退信通知会将原始消息回显给发件人无论经由伪造信封发件人所引发的反向散射还是刻意触发的投递失败攻击者均可令退信邮件附带恶意载荷。在 Talos 观测到的一起案例中一封邮件投递失败通知竟附带了一个仿冒 WeTransfer 主题的文件共享诱饵。研究人员的分析指出攻击者的意图在于使钓鱼诱饵看起来更像一次需要处理的技术性投递故障而非一封突兀的外部钓鱼邮件 —— 用户习惯于将系统错误视为良性事件因而更倾向于响应带有 管理性修复 意味的信息而非针对可疑的孤立钓鱼邮件保持警惕。这一心理因素使退信路径成为低诱导成本、高响应概率的投递方式。上述三种技法看似形态各异实则共享同一底层逻辑它们均借助平台或系统的既有流程完成投递使恶意内容获得合法来源的外观进而削弱防护机制与收件人心理两方面的判断力。4 认证通过不等于安全的机理分析4.1 邮件身份认证机制的能力边界邮件身份认证机制的设计初衷是回答 邮件是否来自其声称之处 这一单一问题。SPF 校验发件服务器的授权DKIM 验证邮件内容在传输过程中的完整性DMARC 则在前两者基础上提供域名层面的策略指导。三者共同构成了对 发送者身份 的较强保证但均未触及 发送内容是否被第三方操纵 这一问题。当攻击者能够通过受信任平台控制邮件正文中的字段值时认证机制即便完全生效所认证的也只是 内容确由声称的发送系统生成而非 内容本身无害。这一边界并非机制的缺陷而是其设计范畴的固有限制问题在于防御体系若将 通过认证 等同于 内容可信便会在这一边界上留下可被系统性利用的空隙。4.2 用户可控字段作为攻击面从攻击者视角看任何 用户可控制、平台会渲染进邮件 的字段都构成潜在通道。订单确认中的寄送地址、账单信息、表单中的姓名与公司字段、通知流程中的自定义内容均属此类。当平台对上述字段缺乏类型校验与内容过滤时攻击者便可在本应填写地址的位置填入电话号码在本应填写姓名的位置填入 URL、换行符或紧急求援性质的语言。平台在渲染阶段对这些内容的原样呈现实质上是替攻击者完成了钓鱼邮件的最终构造。这一过程无需任何代码注入或系统入侵仅凭对业务字段语义的偏离即可实现因而具有极低的实施门槛。4.3 信任的让渡与防御视角的失效这类攻击之所以能 骗过 防护系统根源在于一种双向的信任让渡收件人信任平台的品牌与格式网关信任平台的信誉与认证状态而攻击者借用了这两层信任来承载完全由自身控制的内容。反网络钓鱼技术专家芦笛在分析此类手法时强调问题的要害不在于认证机制被攻破而在于认证机制与内容安全之间本不存在必然的对应关系当防御体系将 经过认证的合法系统 与 经过认证的安全内容 混为一谈时平台自身反而成为攻击者信誉的担保方。这一判断提示针对平台滥用的防御必须突破 验证发送者 的既有框架转向对 被渲染内容 本身的审查。5 对现有防御体系的挑战5.1 以发送者为核心的传统检测逻辑失效在传统钓鱼防御中发件域名信誉、认证状态与模板匹配是判别邮件真伪的核心依据。平台滥用型邮件恰好在这三项指标上全部 合格发件域为正规平台域名认证全部通过模板与外观与正常业务邮件一致。据此依赖这些指标的网关往往予以放行从而将拦截责任完全推给终端用户与内容分析环节。若终端用户以 来自可信系统 为由放松警惕此类邮件便能顺利突破层层防护。5.2 用户心理的定向利用三类技法均不同程度地利用了用户的认知定势。召回诈骗利用的是对未授权消费的焦虑与求证冲动列表轰炸利用的是对 我确实注册过或订阅过 的顺承认同退信走私利用的则是 系统错误无害、应当处理 的既有认知。攻击者将恶意内容伪装成需要处理的行政性事务正是为了降低用户将之归类为 可疑钓鱼邮件 的概率。这一层面的挑战难以通过单纯的技术手段彻底化解它指向平台、网关与用户教育三者协同的必要性。5.3 内容审查的重心后移平台滥用型攻击的另一个挑战在于它将邮件安全的关键环节从 入口处的来源验证 后移至 内容级的全面审查。这要求防护系统具备解析完整渲染后邮件的能力 —— 包括 HTML、纯文本、URL、重定向、附件、个性化字段乃至嵌套的多用途互联网邮件扩展MIME内容 —— 并在此基础上应用常规的钓鱼、恶意软件与 URL 分析。对退信通知等携带回显内容的邮件还需要对投递状态通知容器实施递归解析提取其中嵌套的原始消息或片段予以独立审查。这一能力要求显著高于传统的基于发送者与模板的判别方式也构成了当下多数网关的薄弱环节。6 防控与治理路径6.1 平台侧的输入校验与渲染治理平台所有者应在存储与渲染用户可控值之前对其类型与语义实施校验。Talos 明确建议当电话、URL、标记、换行及紧急求援性质的语言出现在本不该出现的字段中时应当予以拒绝或标记。以订单确认邮件为例寄送与账单字段承载的应当是地址信息出现客服电话号码或异常营销语言即属语义越界。平台在源头收紧输入校验等于压缩了攻击者借以构造恶意内容的空间是从根源上削减该类攻击供给量的最直接手段。6.2 网关侧的完整渲染审查与递归 MIME 解析邮件安全网关应将审查对象从 发送者与模板 扩展至 完整渲染后的消息。具体而言需要解析邮件中全部可执行与可导航元素包括 HTML 与纯文本内容、URL 及其跳转关系、附件、个性化填充字段以及嵌套的 MIME 结构并对这些元素分别应用恶意载荷识别与信誉分析。对于投递状态通知DSN容器尤须实施递归 MIME 检查解析容器、提取其中回显的原始消息或消息片段并对嵌套内容实施常规的钓鱼、恶意软件与 URL 分析。正如 Talos 所指出的退信邮件应当用于说明一次投递失败而非成为未受信任载荷的盲投通道对嵌套内容的递归审查正是阻断该通道的关键。6.3 业务上下文校验网关与平台还应引入业务上下文的一致性判断即核对交易邮件是否与产生它的业务流程相匹配。一张订单确认收据若附带异常的客服号码、取消说明或紧急措辞便应与该流程的正常形态不符从而触发告警。业务上下文的引入使检测从 邮件本身是否像正常邮件 提升为 邮件是否符合其声称产生的业务场景能够有效识别那些外观正常但语义错位的邮件。6.4 研究方向与机构能力建设从研究与能力建设的角度平台滥用型攻击提出了值得系统深入的课题。据 DiMiaoCN 分析相关研究应重点围绕三个方向一是合法平台滥用面的持续测绘通过系统梳理各平台可被用户控制并被渲染进邮件的字段建立覆盖多平台的风险基线识别校验缺失的高危通道二是 认证 — 内容 脱节的形式化刻画将 来源可信 与 内容可信 的边界以可操作的风险指标加以表达为网关策略的精细化提供依据三是针对退信通知等携带回显内容邮件的新型检测方法研究如何在不误伤正常投递状态通知的前提下可靠识别并阻断载荷走私。迪妙网络空间安全学院研究团队在对同类手法的跟踪分析中亦强调此类研究的价值不仅在于应对当前已知的滥用方式更在于推动邮件安全模型从 单点来源验证 向 全链路内容审查 演进使受信任平台的每一条出站路径都受到与自身信誉相称的内容审查约束。7 结论本文以 Cisco Talos 对合法平台滥用现象的研究为实证基础系统剖析了攻击者借道受信任平台投递钓鱼邮件的机理。研究表明这类攻击的成立依赖于邮件身份认证机制的能力边界SPF、DKIM 与 DMARC 验证的是邮件来源而非邮件内容当平台将用户可控字段未经充分校验地渲染进邮件时攻击者便能借平台的信誉、模板与通过认证的头部投递内容完全由自身控制且能通过全部认证的钓鱼邮件。交易邮件滥用、列表轰炸定向改造与退信通知载荷走私三种技法均以 合法来源外观 掩盖恶意内容并在不同程度上利用了用户的认知定势。相应地防控重心应由 验证发送者身份 转向 审查被渲染的完整内容平台需在源头收紧用户可控值的输入校验网关需具备完整渲染审查与递归 MIME 解析能力并辅以业务上下文的一致性判断。唯有将来源可信与内容可信纳入统一的防御框架才能压缩这一依托信任让渡而持续扩大的攻击空间。编辑芦笛 公共互联网反网络钓鱼工作组来源迪妙网络空间安全学院