微軟安全團(tuán)隊(duì)剛發(fā)布一季度數(shù)據(jù)：83億封釣魚郵件里，驗(yàn)證碼頁面和ClickFix技術(shù)成了攻擊者的新寵。更麻煩的是，他們換文件格式的速度快得像在測(cè)A/B測(cè)試——HTML、SVG、PDF、Word文檔幾周輪一遍，專門找郵件過濾器的盲區(qū)。

一、驗(yàn)證碼門檻：從防機(jī)器人變成防人類

傳統(tǒng)認(rèn)知里，驗(yàn)證碼（CAPTCHA）是用來區(qū)分人和機(jī)器的?，F(xiàn)在攻擊者把它倒過來用——在釣魚鏈接前加一道假驗(yàn)證碼，既騙過自動(dòng)掃描工具，又讓用戶產(chǎn)生"這網(wǎng)站很正規(guī)"的錯(cuò)覺。

微軟追蹤的數(shù)據(jù)顯示，這類"驗(yàn)證碼門控釣魚"在3月單月翻倍，達(dá)到1190萬次攻擊，創(chuàng)一年多新高。

攻擊者玩的是分層心理戰(zhàn)。第一層：郵件主題偽裝成發(fā)票、付款提醒、401K更新或語音留言通知。第二層：附件用SVG文件，文件名和郵件主題嚴(yán)絲合縫。第三層：點(diǎn)擊后彈出仿制的驗(yàn)證碼界面，視覺風(fēng)格模仿Cloudflare、reCAPTCHA等主流服務(wù)。

安全研究員發(fā)現(xiàn)，這種設(shè)計(jì)精準(zhǔn)打擊了兩類防御——自動(dòng)化郵件掃描看到驗(yàn)證碼頁面往往放行，真人用戶則因"連驗(yàn)證碼都有"而降低警惕。

二、ClickFix：讓用戶自己動(dòng)手種木馬

比驗(yàn)證碼門控更陰的是ClickFix技術(shù)。攻擊者偽造的驗(yàn)證碼界面不會(huì)讓你點(diǎn)"我不是機(jī)器人"，而是顯示一段命令文本，誘導(dǎo)用戶復(fù)制粘貼到電腦運(yùn)行。

微軟安全團(tuán)隊(duì)描述的典型話術(shù)是：「按Win+R打開運(yùn)行窗口，粘貼此命令，按回車完成驗(yàn)證。」

用戶照做后，惡意代碼直接在本地執(zhí)行，傳統(tǒng)殺毒軟件的下載攔截完全失效——因?yàn)楦緵]有"下載"這個(gè)動(dòng)作，是用戶親手運(yùn)行的。

這種手法把社會(huì)工程推到了極致。攻擊者不需要攻克系統(tǒng)漏洞，只需要攻克人的認(rèn)知慣性：看到驗(yàn)證碼就服從，遇到"系統(tǒng)提示"就照做。

一季度數(shù)據(jù)顯示，攻擊者輪換文件格式的速度極快。1月還在大量用HTML附件，2月轉(zhuǎn)向SVG，3月PDF突然暴漲356%成為主流載體。這種高頻切換說明背后有實(shí)時(shí)數(shù)據(jù)反饋——哪種格式繞過過濾器效果好，48小時(shí)內(nèi)全網(wǎng)復(fù)制。

三、釣魚即服務(wù)：Tycoon2FA的份額腰斬

驗(yàn)證碼門控釣魚的爆發(fā)，離不開地下產(chǎn)業(yè)鏈的成熟。微軟追蹤的Storm-1747團(tuán)伙運(yùn)營(yíng)的Tycoon2FA平臺(tái)，是典型的"釣魚即服務(wù)"（PhaaS）模式。

2025年底，Tycoon2FA還占據(jù)這類攻擊76%的市場(chǎng)份額。到2026年3月，這個(gè)數(shù)字跌到41%。

份額腰斬不是因?yàn)樗恍辛?，而是門檻太低——更多攻擊者和釣魚工具包學(xué)會(huì)了同一套技術(shù)。驗(yàn)證碼門控從"獨(dú)家絕活"變成"基礎(chǔ)配置"，競(jìng)爭(zhēng)格局迅速碎片化。

這種擴(kuò)散速度比技術(shù)迭代本身更值得警惕。當(dāng)一種攻擊手法從頭部平臺(tái)流向長(zhǎng)尾市場(chǎng)，意味著規(guī)模效應(yīng)即將啟動(dòng)。

四、三天120萬封：一場(chǎng)典型戰(zhàn)役的解剖

2月23日至25日，微軟觀測(cè)到一場(chǎng)大規(guī)模Campaign：三天內(nèi)120萬封釣魚郵件，覆蓋5.3萬家組織，波及23個(gè)國(guó)家。

攻擊者全部使用SVG附件，主題圍繞財(cái)務(wù)場(chǎng)景——發(fā)票、付款、退休金賬戶。SVG的優(yōu)勢(shì)在于：文件體積小、支持內(nèi)嵌腳本、很多郵件客戶端默認(rèn)預(yù)覽，用戶不用下載就能觸發(fā)。

這種"零點(diǎn)擊暴露"設(shè)計(jì)，把攻擊鏈條壓縮到最短。用戶只是打開郵件看了一眼，惡意代碼已經(jīng)開始執(zhí)行。

更細(xì)的操作層面，攻擊者會(huì)為每個(gè)目標(biāo)組織微調(diào)郵件內(nèi)容。同一批SVG文件，發(fā)給制造業(yè)公司叫"采購(gòu)訂單"，發(fā)給金融機(jī)構(gòu)叫"合規(guī)審計(jì)"，發(fā)給普通用戶叫"快遞簽收"。

模板化生產(chǎn)+個(gè)性化投放，這是PhaaS平臺(tái)的典型打法。Tycoon2FA這類平臺(tái)提供后臺(tái)管理系統(tǒng)，攻擊者可以實(shí)時(shí)查看哪些郵件被打開、哪些鏈接被點(diǎn)擊、哪些驗(yàn)證碼被完成，像運(yùn)營(yíng)電商一樣優(yōu)化轉(zhuǎn)化率。

五、防御端的困境：過濾器追不上實(shí)驗(yàn)速度

攻擊者輪換文件格式的周期以周計(jì)算，企業(yè)郵件安全系統(tǒng)的規(guī)則更新周期以月計(jì)算。這種時(shí)間差構(gòu)成了結(jié)構(gòu)性劣勢(shì)。

微軟分析師指出，PDF附件在3月的356%暴漲，發(fā)生在該格式"連續(xù)數(shù)月下滑"之后。安全團(tuán)隊(duì)剛把資源從PDF檢測(cè)移開，攻擊者立刻殺回馬槍。

這種"偽衰退"策略可能是故意的——讓防御方產(chǎn)生虛假安全感，再集中火力突破。

驗(yàn)證碼門控本身也給自動(dòng)化檢測(cè)制造了技術(shù)難題。主流掃描工具遇到驗(yàn)證碼頁面，通常選擇跳過或標(biāo)記為"需人工復(fù)核"，這恰好給了釣魚頁面可乘之機(jī)。