摘要在企业传统网络钓鱼防护手段持续迭代的背景下二维码钓鱼Quishing作为新型攻击形态正在快速扩散。攻击者利用二维码视觉编码的特性将恶意网址进行封装以此规避邮件安全网关的链接检测机制同时把攻击链路从受保护的企业办公终端迁移至管控程度较弱的个人移动设备突破企业边界安全防线。本文基于威胁监测统计数据与真实攻击样本梳理二维码钓鱼的攻击机理、技术实现手段与社会工程学实施逻辑剖析该类攻击能够绕过企业现有安全措施的底层成因同时梳理普通黑产攻击者与 APT 组织的差异化攻击模式。结合人、流程、技术三位一体的安全建设思路针对企业面临的现实安全痛点构建适配二维码钓鱼威胁的综合防御框架。研究发现单纯依靠传统邮件过滤工具难以抵御该类隐蔽攻击必须同步完成技术检测能力升级、安全运营流程优化以及全员安全认知迭代抗钓鱼多因素认证、移动设备管理、常态化仿真演练是降低该类攻击危害的关键抓手。反网络钓鱼技术专家芦笛指出二维码钓鱼的本质是攻击者利用大众对日常工具的信任完成认知层面突破企业防御不能只聚焦技术设备升级必须补齐人员安全意识短板实现技术管控与人的风险行为约束相互配合。关键词二维码钓鱼网络钓鱼企业网络安全社会工程学威胁防护1 引言数字化办公普及过程中二维码凭借信息承载量大、交互便捷的特点广泛渗透至社会生产生活场景从线下门店菜单、公共停车设备到企业内部业务通知、文档访问链路二维码已经成为信息交互的常规载体。疫情期间非接触式交互需求进一步推动二维码大规模普及普通用户已经形成遇到二维码就进行扫码访问的行为习惯这种使用习惯被网络威胁参与者充分利用催生出二维码钓鱼这一新型攻击手段。传统网络钓鱼以邮件、短信分发恶意链接、恶意附件作为主要攻击载体经过多年安全建设多数企业已经部署邮件安全网关、反垃圾邮件系统、沙箱检测工具能够对明文形式的恶意 URL、高风险附件进行识别拦截对文本钓鱼邮件开展语义分析传统钓鱼攻击的生效门槛被持续抬高。攻击者随之调整攻击链路将恶意链接编码至二维码图像内部完成恶意载荷的视觉化封装以此规避传统安全设备对明文链接的解析检测。从威胁监测统计数据来看2026 年上半年在全部钓鱼邮件样本当中嵌入恶意二维码的邮件占比已经达到 11%自 2025 年 9 月之后全球恶意二维码钓鱼邮件检出量整体呈现震荡上行态势威胁规模持续扩张。该类攻击不再局限于普通黑产的批量广撒网攻击部分国家级背景的 APT 组织也将二维码钓鱼纳入鱼叉式攻击的武器库针对智库、科研机构、政府实体开展定向情报窃取活动威胁的危害层级进一步提升。当前很多企业安全体系建设依旧以 PC 端办公环境作为核心防护对象对移动端衍生的安全风险预估不足。二维码钓鱼的攻击链路存在特殊的跳转逻辑钓鱼邮件投递至企业员工的办公电脑但是恶意载荷的触发环节发生在员工个人手机终端。企业的邮件安全设备只能完成邮件本体检测员工扫码行为发生在企业安全管控边界之外这就造成原有防护链条出现断裂。现阶段部分企业安全管理人员对二维码钓鱼的攻击机理认知不够充分依旧沿用传统钓鱼的防御思路无法有效覆盖该类新型威胁。本文立足于公开威胁报告与真实攻击样本解析二维码钓鱼完整攻击链路挖掘其绕过企业安全防护的内在原因区分普通黑产攻击与 APT 定向攻击的行为差异从人员、管理流程、技术控制三个维度提出可落地的企业防御方案为国内企业应对该类新兴网络威胁提供参考。2 二维码钓鱼攻击机理与攻击链路拆解2.1 二维码钓鱼基础概念二维码钓鱼行业内简称为 Quishing该词汇取自 Quick‑Response Code 与 Phishing 两个单词的组合。二维码属于二维条形码可以完成 URL 地址、支付信息、联系资料等多种类型数据的编码存储扫码设备读取图像之后即可解析内部存储的数据直接跳转网页、调取应用程序或者执行其他预设操作。在正常业务场景之下二维码承担简化访问路径的作用用户无需手动输入冗长网址扫码即可直达目标页面。攻击者将钓鱼网站、恶意下载地址编码生成二维码图像通过邮件、即时通讯、伪造纸质物料等渠道分发诱导受害者使用手机扫码完成攻击触发。与传统钓鱼最大的区别在于恶意目标地址并不以可读文本形式直接展示而是隐藏在黑白方块构成的视觉图案当中人类肉眼无法直接识别二维码内部封装的真实访问地址必须依靠终端设备解码之后才可以获知目标链接这一特征构成该类攻击实现隐蔽性的基础条件。2.2 完整攻击链路的阶段划分一次典型的邮件载体二维码钓鱼攻击可以划分为诱饵投递、认知诱导、移动端触发、危害落地四个连贯阶段各个环节相互配合形成完整攻击闭环。第一阶段为诱饵投递。攻击者借助钓鱼工具包快速生成恶意二维码很多商业化钓鱼工具已经内置专用二维码生成模块攻击者无需掌握专业编码知识就可以批量制作恶意二维码图像。攻击者会把二维码图片嵌入邮件正文或者封装在 PDF、JPEG 格式附件之中向外投递。针对定向鱼叉攻击攻击者会提前收集目标人员岗位信息制作高度贴合企业业务场景的钓鱼邮件批量攻击场景下攻击者大规模向外群发包含恶意二维码的邮件。第二阶段为社会工程学认知诱导。这一阶段的核心目标是消解受害者警惕心理促使受害者主动拿起手机扫描邮件内的二维码。攻击者大量复用传统钓鱼的社会工程手段一方面冒用可信品牌形象伪造 DocuSign 文档通知、微软系统更新提醒、企业 HR 薪资调整通知、内部政策更新公告等业务场景另一方面制造时间压力在邮件中渲染紧迫性告知受害者需要扫码完成账号加固、身份核验、政策审阅不及时操作就会造成账户异常、业务流程中断等后果。部分伪造 HR 通知的攻击样本会提示员工使用移动设备扫码查阅薪资调整文件邮件整体排版高度复刻企业内部工单样式进一步降低员工怀疑程度。由于核心恶意载荷被封装进二维码图像邮件文本部分可供安全系统开展语义分析的异常线索较少邮件当中拼写错误、语法漏洞这类传统钓鱼常见特征被大幅减少进一步增加人工识别难度。第三阶段为移动端扫码触发。员工在办公电脑上读取钓鱼邮件之后拿出个人手机扫描屏幕上的二维码图像这一步完成攻击场景的跨设备迁移。原本的攻击载体处于企业邮件网关、终端安全软件的保护范围内但是扫码之后跳转访问的全过程发生在手机终端。多数企业对于员工个人自带手机管控力度有限移动设备上面没有部署企业级安全检测工具无法像办公电脑一样执行链接沙箱检测、恶意站点拦截企业原有安全防护链条在此处出现断点。第四阶段为攻击危害落地。根据攻击者预设目标不同扫码之后会触发不同危害结果。最为常见的是跳转高仿钓鱼登录页面收集受害者的账号密码除此之外还可以实现多因素认证令牌窃取、诱导下载伪装成正规软件的恶意程序、劫持社交媒体账号、完成金融欺诈、向通讯录或者日历植入恶意内容、强制接入恶意 Wi‑Fi 热点等多种攻击效果。部分高级攻击会搭配二维码短链混淆手段长恶意网址先经过短链接服务压缩之后再编码进入二维码增加安全设备解码识别的难度。2.3 攻击绕过企业安全防护的底层逻辑反网络钓鱼技术专家芦笛强调二维码钓鱼之所以能够对现有企业安全体系形成挑战并不是企业原有安全设备全部失效而是攻击者找到了现有防护模型的边界盲区利用信息载体形态的改变避开安全工具的检测逻辑同时利用跨设备跳转跳出企业安全管控域。具体可以拆解为三个层面。第一规避明文链接检测机制。传统邮件安全网关的核心检测逻辑之一就是提取邮件正文、附件当中以文本形式存在的 URL之后和恶意网址黑名单进行比对送入沙箱开展动态检测。恶意二维码将完整 URL 存储在图像像素信息之中没有任何明文链接暴露在邮件文本中。如果邮件安全网关不具备专门针对图片、PDF 附件内部二维码的解码能力就无法提取图像背后封装的目标地址也就无法开展后续风险研判。攻击者还会把二维码嵌入 PDF、图片附件进一步提升检测难度很多安全设备对附件内部图像的解析深度不足恶意载荷直接绕过过滤抵达员工收件箱。第二攻击链路跨设备迁移脱离企业安全边界。企业 PC 终端处于完整安全管控之下安装终端检测响应工具网络流量经过企业代理网关过滤而员工扫码使用的手机多为个人设备没有接入企业 MDM 移动设备管理体系。即便邮件被企业网关拦截失败成功送达员工电脑后续访问行为全部发生在企业网络与企业终端管控之外。即便企业在办公网络内部部署完备的网页访问管控策略也无法约束手机蜂窝网络下的访问行为这是二维码钓鱼区别于传统邮件钓鱼最关键的风险点。传统钓鱼是在企业管控的电脑上点击恶意链接而二维码钓鱼是电脑只作为展示图像的载体真正访问恶意网站的设备游离在防护体系之外。第三利用用户心理惯性制造认知漏洞。经过长期安全培训多数企业员工已经建立起对邮件内部陌生文本链接的警惕意识看到不明链接会产生戒备心理但是二维码已经深度融入日常生活扫码已经变成不需要过多思考的习惯性动作。用户天然默认二维码是安全可信的缺少对二维码背后目标地址的核查习惯。肉眼不能分辨二维码的好坏受害者没有简便手段在扫码之前核验二维码将要跳转的真实地址这种认知层面的盲区是技术防护难以完全覆盖的。3 二维码钓鱼攻击的多样化技术变体与威胁案例随着安全厂商逐步针对基础版二维码钓鱼增加检测能力威胁参与者持续迭代攻击手法衍生出多种变体攻击攻击目标不再局限于简单窃取账号密码已经拓展至多因素认证劫持、恶意应用分发、社交账号接管等多个方向同时普通网络黑产和 APT 高级威胁组织的攻击模式呈现明显分化。3.1 黑产驱动的规模化二维码钓鱼变体手段普通网络黑产开展的批量攻击追求攻击覆盖规模与落地成功率不断拓展二维码钓鱼的应用场景已经演化出多类攻击实现路径。第一种变体借助二维码分发伪装正版应用的恶意程序。常规钓鱼网页仅能够收集账号凭证部分攻击者通过二维码直接跳转非官方应用下载站点诱导受害者下载脱离官方应用商店的安装包。移动端应用商店本身具备应用审核机制恶意软件很难通过官方渠道分发二维码成为绕过应用商店安全管控的载体。受害者扫码之后直接下载 APK 安装包安装之后恶意程序就可以在手机内部收集通讯录、短信、本地存储的各类凭证信息。第二种变体利用合法应用作为跳板完成后续攻击。二维码解析之后并不直接跳转恶意钓鱼网站而是打开社交媒体、支付工具等正规应用。这种模式下二维码指向的域名本身属于合法服务传统黑名单机制不会标记为恶意迷惑性更强。攻击者可以通过该路径完成账户接管诱导受害者在正规应用内完成授权让攻击者获得账号访问权限也可以预先填充支付对象信息诱导受害者直接完成转账操作造成直接经济损失。第三种变体通讯录与日历投毒攻击。部分攻击会利用二维码跳转在受害者手机日历、通讯录当中写入带有钓鱼链接的会议邀约、联系人条目。这些内容存入手机本地之后后续受害者点击条目内链接时才触发钓鱼跳转攻击危害具备延时性扫码当时不会立刻出现异常用户很难把后续遭受的欺诈和此前的扫码行为关联起来提升事件溯源难度。第四种变体恶意 Wi‑Fi 诱导接入。部分二维码编码内容为恶意无线接入点配置信息受害者扫码之后手机自动连接攻击者搭建的恶意 Wi‑Fi。接入热点之后攻击者可以开展中间人监听拦截手机网络流量窃取用户传输的各类敏感信息。第五种变体短链接混淆增强规避能力。攻击者使用 URL 短链服务把最终的恶意网页地址转化为一层或者多层跳转短链接再将短链接编码进二维码图像。安全工具即便完成二维码解码获取到的只是短链地址如果不完整跟进重定向链路就无法识别最终落地页面的恶意属性以此逃避静态黑名单比对。ESET 威胁报告的监测数据显示自 2025 年 9 月至 2026 年 5 月全球恶意二维码钓鱼检出数量整体处于高位震荡上行趋势2026 年 4 月出现检测峰值反映出黑产攻击者持续加大该攻击手段的投入力度。一份典型的攻击样本模仿企业人力资源部门薪资政策更新邮件邮件正文提示员工使用移动设备扫描图片当中的二维码查阅薪资调整文档伪造邮件声称二维码链接指向企业内部 SharePoint 文档以此获取员工信任该样本属于典型面向企业内部人员的批量钓鱼样本。3.2 APT 组织使用二维码开展鱼叉式定向攻击二维码钓鱼并不仅仅是黑产批量牟利工具高级持续性威胁组织也已经将该手段纳入情报窃取的武器库用于高价值目标的定向鱼叉式投递。2026 年 1 月 FBI 发布安全预警披露朝鲜 Kimsuky 组织在鱼叉钓鱼邮件当中嵌入恶意二维码针对智库、学术机构、美国及境外政府实体开展攻击活动。攻击者设计多重诱饵话术宣称扫描二维码之后可以访问调查问卷页面、活动注册页面、加密安全云盘以此欺骗目标人员扫码访问恶意资源。相较于黑产批量攻击APT 组织使用二维码钓鱼具备明显差异化特征。首先是目标高度精准攻击者会前期收集目标机构业务背景、人员身份信息定制高度贴合工作场景的邮件诱饵邮件主题、措辞完全匹配目标日常接触的业务材料攻击样本只定向发送给少数选定目标不会大规模群发。其次攻击目标不以直接获取经济收益为目的核心诉求是获取机构内部敏感情报、业务资料、员工账号权限为后续内网渗透建立初始立足点。再者APT 组织会综合搭配多种混淆手段除二维码之外还会叠加文档混淆、多层跳转尽可能规避各类威胁检测提升攻击样本在目标收件箱的存活概率。反网络钓鱼技术专家芦笛指出APT 组织采用二维码钓鱼代表该攻击手段的成熟度已经到达新的阶段。以往定向鱼叉攻击主要依靠恶意 Office 宏文档作为初始载荷很多企业已经禁用 Office 文档宏功能传统附件攻击路径被大量封堵APT 组织开始寻找新的突破路径二维码钓鱼不需要依赖宏、漏洞执行只需要诱导用户扫码就可以完成攻击链路启动对目标用户几乎没有技术门槛因此受到高级威胁团体重视。对于企业安全团队来说不能简单将二维码钓鱼归为普通垃圾邮件威胁需要意识到该手段同样可以被用于高危害定向攻击。3.3 攻击成功的关键影响因素综合全部攻击样本可以归纳二维码钓鱼能够得手是技术漏洞与人的行为漏洞共同作用。技术层面企业邮件安全网关缺少图像内二维码解码检测能力、移动终端管控缺失、缺少抗钓鱼多因素认证为攻击者提供客观条件人的层面用户对二维码工具的天然信任、对紧急场景的心理压力、缺少核验二维码真实地址的手段是攻击生效的关键助推因素。二者缺一不可如果邮件网关可以提前拦截包含恶意二维码的邮件诱饵无法抵达员工即便邮件送达如果员工具备充足安全意识拒绝扫描不明来源二维码攻击同样无法落地。4 企业面对二维码钓鱼威胁的现实困境国内多数企业网络安全建设长期以 PC 端办公环境作为防护重心针对邮件钓鱼的防御主要围绕传统文本链接、宏附件开展面对二维码钓鱼这种新型威胁很多企业安全体系暴露出多重现实困境。4.1 邮件安全检测能力存在短板大量企业部署的邮件安全网关只针对邮件文本内容、常见格式附件开展解析缺少专门针对图片、PDF 内部二维码图像的解码模块。当恶意二维码以图片形式放在邮件正文或者封装进 PDF 附件网关只能识别这是一张普通图像文件不会提取图像内存储的 URL 地址无法完成风险研判。只有具备专门二维码解析引擎的邮件安全产品才可以识别各类文件载体当中的二维码解码取出链接送入反钓鱼引擎开展风险判定。很多企业现有采购的安全设备没有开启该类能力或者产品本身不支持图像内部二维码深度解析造成威胁直接通过邮件过滤环节。同时攻击者持续使用短链接、多层重定向混淆目标地址即便部分设备可以解码二维码若不能完整跟进全部跳转链路只检测第一层短链依旧会放过最终恶意站点。4.2 移动终端管控缺口放大攻击风险二维码钓鱼攻击危害触发环节发生在手机终端这是企业防护的薄弱环节。当前大量企业实行员工自带设备办公模式员工日常使用个人手机处理工作相关事务企业无法对全部个人手机进行强制安全管控。即便部分企业部署 MDM 移动设备管理平台也大多仅覆盖企业配发工作手机对于员工私人手机没有约束力。员工扫码访问恶意网站使用蜂窝移动网络流量不会经过企业安全代理网关企业侧无法看到这部分访问行为无法实现恶意站点阻断也不能记录相关访问日志用于后续安全事件追溯。当员工在手机上面输入企业账号密码企业终端安全产品完全感知不到该操作传统 EDR 端点检测工具部署在电脑终端无法监控手机上面发生的凭证窃取行为。4.3 人员安全意识培训体系滞后于攻击手段演进绝大多数企业已经开展网络钓鱼安全培训但是培训内容大多集中于传统钓鱼形式重点提醒员工不要点击陌生链接、不要打开不明附件很少专门针对二维码钓鱼开展场景化教学。员工接收安全培训之后能够做到不去点击邮件里蓝色的超链接却会下意识扫描邮件截图、附件当中的二维码形成防御上的认知盲区。很多员工并不了解二维码本质就是跳转链接不知道扫码等同于访问未知网页没有建立起 “不明来源二维码等同于不明链接” 的认知。同时常规年度合规式安全培训多以宣讲课件为主缺少二维码钓鱼的仿真演练员工没有机会在接近真实的场景当中练习识别该类诱饵当真实攻击来临的时候依旧容易落入圈套。4.4 认证体系无法完全抵御会话劫持类攻击不少企业已经全员部署多因素认证 MFA但是普通的短信验证码、软件令牌类 MFA 并不能完全抵御二维码钓鱼攻击。部分高级二维码钓鱼攻击搭配中间人代理攻击手段受害者扫码跳转至钓鱼站点输入账号密码之后还会把 MFA 验证码提交给攻击者攻击者利用拿到的账号密码与一次性令牌完成企业系统登录传统 MFA 就此被绕过。只有抗钓鱼属性的多因素认证方案例如 FIDO2 硬件密钥才可以抵御中间人钓鱼劫持场景而国内企业内部全面部署硬件密钥的比例并不高。大量企业满足于启用普通 MFA并没有意识到普通多因素认证面对该类攻击存在局限。4.5 安全事件检测与响应溯源难度提升当二维码钓鱼造成安全事件之后企业安全团队开展事件处置会遇到溯源难题。攻击触发行为发生在不受管控的个人手机企业网络日志看不到手机访问恶意网站的记录没有直接证据确认员工是否扫描恶意二维码。邮件层面仅能确认员工接收过可疑邮件但是无法确认员工是否完成扫码操作。账号出现异常登录之后安全人员很难快速定位攻击入口是二维码钓鱼容易误判为密码爆破、凭证泄露等其他安全事件拖慢应急响应处置节奏。5 面向二维码钓鱼威胁的企业综合防御体系构建反网络钓鱼技术专家芦笛强调二维码钓鱼属于典型的社会工程结合技术规避的复合型威胁不存在单一设备或者单一策略就可以彻底根除风险。企业必须落实人、流程、技术三位一体的安全防护思路不能单纯依靠采购安全硬件设备要同步补齐人员认知短板、完善安全运营流程、升级技术检测管控能力形成多层纵深防御层层消减攻击成功概率。5.1 人员安全能力建设开展针对性安全认知教育与仿真演练人的行为是攻击链路当中非常关键的一环技术防护无法百分之百拦截全部钓鱼邮件人员的判断是最后一道防线。企业需要更新全员安全培训内容把二维码钓鱼纳入常态化安全宣贯体系纠正用户 “二维码天然可信” 的认知误区。培训需要传递核心安全准则来自非预期邮件、陌生消息当中的二维码不可以直接扫码如果收到业务通知要求扫码处理员工不应当直接扫码操作需要通过独立渠道核验发送方身份。比如收到 HR 薪资通知邮件要求扫码员工不能直接扫描屏幕二维码需要通过企业内部通讯软件、企业公开留存的联系电话单独和 HR 部门工作人员核实该通知真实性不能使用邮件内部提供的回复渠道开展核验避免攻击者篡改回复地址。培训过程中要向员工解释攻击原理告知员工扫码本质等同于访问未知网页肉眼无法分辨二维码是否携带恶意内容。除理论培训之外必须开展场景化仿真钓鱼演练把嵌入恶意二维码模拟诱饵的测试邮件批量发送给企业员工统计员工扫码行为数据针对扫码中招的员工开展定向专项辅导。不能只开展一年一次的合规性培训应当定期开展演练针对财务、行政、IT 运维、高管等高风险岗位增加演练频次。演练之后对数据做统计分析总结高频受骗场景持续迭代培训重点内容。同时建立便捷的可疑邮件上报渠道引导员工收到包含不明二维码的邮件之后第一时间上报安全团队。5.2 技术管控能力升级搭建多层技术防护屏障技术防护需要覆盖邮件检测、移动终端、身份认证、威胁监控多个层面补齐原有防护体系的短板。第一升级邮件安全检测能力。企业需要评估现有邮件安全网关能力确认设备是否支持解析邮件正文、PDF、图片附件内部的二维码图像。优先选用具备专门二维码解码检测模块的邮件安全产品对提取出来的 URL 开展反钓鱼、反恶意软件、反垃圾邮件多引擎检测对携带恶意二维码的邮件执行拦截、标记、隔离操作。针对多层跳转短链接场景安全设备需要完整跟进重定向链路识别最终落地站点风险不能只校验第一层短链地址。同时继续落实 SPF、DKIM、DMARC 域名防伪造配置降低攻击者伪造企业内部发件人地址的能力从源头减少伪造诱饵邮件抵达收件箱的概率。第二强化移动终端安全管控。扩大移动安全防护覆盖范围对于企业配发工作手机完整启用 MDM 移动设备管理能力部署移动端威胁防护工具实现恶意网页访问阻断。对于员工个人自带设备通过安全制度要求处理企业业务时优先使用受管控设备同时向员工推送移动端安全基线要求提醒员工手机系统、扫码应用保持更新。尽可能约束高权限企业账号在无管控个人移动设备登录的场景减少风险暴露面。第三部署抗钓鱼的多因素认证体系。仅仅依靠短信验证码、普通软件令牌不足以抵御中间人劫持式二维码钓鱼攻击。企业应当逐步推广 FIDO2 标准硬件安全密钥这类具备抗钓鱼能力的 MFA 方案在所有核心业务系统、云平台、管理员账号强制启用。反网络钓鱼技术专家芦笛指出普通 MFA 可以防御密码泄露场景但是面对结合中间人代理的钓鱼攻击会失效抗钓鱼 MFA 能够从协议层面阻止攻击者转发窃取到的验证凭证是应对该类攻击非常关键的技术控制点。针对特权账号、高管账号优先完成硬件密钥部署。第四落实最小权限原则收缩攻击面。执行最小权限与即时访问机制员工账号只分配岗位必须的权限高等级权限不做长期分配采用按需申请的即时访问模式。保持移动端操作系统、企业业务系统、全部安全工具持续更新补丁减少系统层面可被利用的漏洞。开启全平台异常行为监控针对异地登录、陌生设备登录、特权账号非工作时段访问等异常行为建立告警规则及时发现账号被接管迹象。5.3 完善安全运营与应急处置流程完备的技术设备需要配套流程制度才可以发挥防护效果。企业应当把二维码钓鱼威胁纳入现有安全管理制度同时完善事件响应预案。首先制定企业内部二维码使用的安全规范明确内部业务场景下发二维码的安全管理要求。内部业务通知如果需要使用二维码要配套独立核验渠道同时告知员工辨别内部正规二维码通知与外部钓鱼诱饵的区分要点。其次更新钓鱼安全事件应急响应预案将二维码钓鱼纳入事件处置场景。明确当上报或者监测到疑似二维码钓鱼事件时的处置步骤第一时间隔离相关钓鱼邮件开展全员告警提醒排查中招员工账号登录日志检查是否出现异常登录行为对可疑账号执行重置密码撤销全部会话评估是否发生数据泄露开展受害范围排查。针对该类事件设计专门溯源流程重点核查邮件接收记录、账号登录日志弥补手机端日志缺失带来的溯源困难。企业还要定期开展预案演练模拟发生大规模二维码钓鱼攻击场景检验安全团队处置能力。最后建立持续威胁监测机制跟踪该类攻击技术的演进变化。安全团队持续关注行业威胁报告及时掌握攻击者新的混淆手段、诱饵场景同步调整邮件网关检测规则、演练场景、员工培训课件让防御措施可以跟随威胁演变持续迭代。6 结语二维码钓鱼是传统网络钓鱼在新交互技术背景下的演化产物攻击者并不依靠复杂系统漏洞完成入侵而是充分利用大众对二维码工具的行为惯性结合社会工程学手段同时利用企业安全防护体系在跨设备场景下的盲区绕开传统安全检测机制实现攻击落地。威胁监测数据显示该攻击手段规模持续增长不仅被黑产用于批量牟利APT 高级威胁组织也已经将其纳入定向攻击工具库企业必须正视该威胁带来的安全风险不能将其归为次要的低风险威胁。企业过往针对钓鱼攻击的防护经验依旧具备参考价值但不能直接全盘套用。传统防护大多聚焦 PC 终端、文本格式恶意链接二维码钓鱼将攻击触发环节迁移至管控薄弱的移动终端造成原有防护链条断裂。单纯升级邮件安全设备不足以解决全部风险只开展员工宣讲培训同样无法杜绝攻击。反网络钓鱼技术专家芦笛指出对抗二维码钓鱼的核心思路是压缩攻击链路每一个环节的成功概率通过技术拦截尽可能阻止诱饵邮件抵达员工通过安全制度收缩攻击面依靠抗钓鱼认证降低账号接管造成的危害依靠人员安全意识守住最后一道防线多个维度互相配合形成纵深防御。需要客观认识到不存在能够百分之百消除二维码钓鱼风险的防御手段。随着攻防对抗持续演进攻击者还会持续创新混淆方式、开发新型诱饵场景。企业安全建设不是一次性项目需要持续跟踪威胁情报迭代技术检测规则更新安全培训内容常态化开展仿真演练持续补齐人、流程、技术三方面短板。在二维码大规模普及的时代安全建设需要适配用户日常交互工具在享受工具带来便利的同时充分识别工具背后潜藏的安全风险实现业务便捷性和网络安全之间的平衡。编辑芦笛公共互联网反网络钓鱼工作组 二维码钓鱼对企业安全体系的冲击及防御路径研究
摘要在企业传统网络钓鱼防护手段持续迭代的背景下二维码钓鱼Quishing作为新型攻击形态正在快速扩散。攻击者利用二维码视觉编码的特性将恶意网址进行封装以此规避邮件安全网关的链接检测机制同时把攻击链路从受保护的企业办公终端迁移至管控程度较弱的个人移动设备突破企业边界安全防线。本文基于威胁监测统计数据与真实攻击样本梳理二维码钓鱼的攻击机理、技术实现手段与社会工程学实施逻辑剖析该类攻击能够绕过企业现有安全措施的底层成因同时梳理普通黑产攻击者与 APT 组织的差异化攻击模式。结合人、流程、技术三位一体的安全建设思路针对企业面临的现实安全痛点构建适配二维码钓鱼威胁的综合防御框架。研究发现单纯依靠传统邮件过滤工具难以抵御该类隐蔽攻击必须同步完成技术检测能力升级、安全运营流程优化以及全员安全认知迭代抗钓鱼多因素认证、移动设备管理、常态化仿真演练是降低该类攻击危害的关键抓手。反网络钓鱼技术专家芦笛指出二维码钓鱼的本质是攻击者利用大众对日常工具的信任完成认知层面突破企业防御不能只聚焦技术设备升级必须补齐人员安全意识短板实现技术管控与人的风险行为约束相互配合。关键词二维码钓鱼网络钓鱼企业网络安全社会工程学威胁防护1 引言数字化办公普及过程中二维码凭借信息承载量大、交互便捷的特点广泛渗透至社会生产生活场景从线下门店菜单、公共停车设备到企业内部业务通知、文档访问链路二维码已经成为信息交互的常规载体。疫情期间非接触式交互需求进一步推动二维码大规模普及普通用户已经形成遇到二维码就进行扫码访问的行为习惯这种使用习惯被网络威胁参与者充分利用催生出二维码钓鱼这一新型攻击手段。传统网络钓鱼以邮件、短信分发恶意链接、恶意附件作为主要攻击载体经过多年安全建设多数企业已经部署邮件安全网关、反垃圾邮件系统、沙箱检测工具能够对明文形式的恶意 URL、高风险附件进行识别拦截对文本钓鱼邮件开展语义分析传统钓鱼攻击的生效门槛被持续抬高。攻击者随之调整攻击链路将恶意链接编码至二维码图像内部完成恶意载荷的视觉化封装以此规避传统安全设备对明文链接的解析检测。从威胁监测统计数据来看2026 年上半年在全部钓鱼邮件样本当中嵌入恶意二维码的邮件占比已经达到 11%自 2025 年 9 月之后全球恶意二维码钓鱼邮件检出量整体呈现震荡上行态势威胁规模持续扩张。该类攻击不再局限于普通黑产的批量广撒网攻击部分国家级背景的 APT 组织也将二维码钓鱼纳入鱼叉式攻击的武器库针对智库、科研机构、政府实体开展定向情报窃取活动威胁的危害层级进一步提升。当前很多企业安全体系建设依旧以 PC 端办公环境作为核心防护对象对移动端衍生的安全风险预估不足。二维码钓鱼的攻击链路存在特殊的跳转逻辑钓鱼邮件投递至企业员工的办公电脑但是恶意载荷的触发环节发生在员工个人手机终端。企业的邮件安全设备只能完成邮件本体检测员工扫码行为发生在企业安全管控边界之外这就造成原有防护链条出现断裂。现阶段部分企业安全管理人员对二维码钓鱼的攻击机理认知不够充分依旧沿用传统钓鱼的防御思路无法有效覆盖该类新型威胁。本文立足于公开威胁报告与真实攻击样本解析二维码钓鱼完整攻击链路挖掘其绕过企业安全防护的内在原因区分普通黑产攻击与 APT 定向攻击的行为差异从人员、管理流程、技术控制三个维度提出可落地的企业防御方案为国内企业应对该类新兴网络威胁提供参考。2 二维码钓鱼攻击机理与攻击链路拆解2.1 二维码钓鱼基础概念二维码钓鱼行业内简称为 Quishing该词汇取自 Quick‑Response Code 与 Phishing 两个单词的组合。二维码属于二维条形码可以完成 URL 地址、支付信息、联系资料等多种类型数据的编码存储扫码设备读取图像之后即可解析内部存储的数据直接跳转网页、调取应用程序或者执行其他预设操作。在正常业务场景之下二维码承担简化访问路径的作用用户无需手动输入冗长网址扫码即可直达目标页面。攻击者将钓鱼网站、恶意下载地址编码生成二维码图像通过邮件、即时通讯、伪造纸质物料等渠道分发诱导受害者使用手机扫码完成攻击触发。与传统钓鱼最大的区别在于恶意目标地址并不以可读文本形式直接展示而是隐藏在黑白方块构成的视觉图案当中人类肉眼无法直接识别二维码内部封装的真实访问地址必须依靠终端设备解码之后才可以获知目标链接这一特征构成该类攻击实现隐蔽性的基础条件。2.2 完整攻击链路的阶段划分一次典型的邮件载体二维码钓鱼攻击可以划分为诱饵投递、认知诱导、移动端触发、危害落地四个连贯阶段各个环节相互配合形成完整攻击闭环。第一阶段为诱饵投递。攻击者借助钓鱼工具包快速生成恶意二维码很多商业化钓鱼工具已经内置专用二维码生成模块攻击者无需掌握专业编码知识就可以批量制作恶意二维码图像。攻击者会把二维码图片嵌入邮件正文或者封装在 PDF、JPEG 格式附件之中向外投递。针对定向鱼叉攻击攻击者会提前收集目标人员岗位信息制作高度贴合企业业务场景的钓鱼邮件批量攻击场景下攻击者大规模向外群发包含恶意二维码的邮件。第二阶段为社会工程学认知诱导。这一阶段的核心目标是消解受害者警惕心理促使受害者主动拿起手机扫描邮件内的二维码。攻击者大量复用传统钓鱼的社会工程手段一方面冒用可信品牌形象伪造 DocuSign 文档通知、微软系统更新提醒、企业 HR 薪资调整通知、内部政策更新公告等业务场景另一方面制造时间压力在邮件中渲染紧迫性告知受害者需要扫码完成账号加固、身份核验、政策审阅不及时操作就会造成账户异常、业务流程中断等后果。部分伪造 HR 通知的攻击样本会提示员工使用移动设备扫码查阅薪资调整文件邮件整体排版高度复刻企业内部工单样式进一步降低员工怀疑程度。由于核心恶意载荷被封装进二维码图像邮件文本部分可供安全系统开展语义分析的异常线索较少邮件当中拼写错误、语法漏洞这类传统钓鱼常见特征被大幅减少进一步增加人工识别难度。第三阶段为移动端扫码触发。员工在办公电脑上读取钓鱼邮件之后拿出个人手机扫描屏幕上的二维码图像这一步完成攻击场景的跨设备迁移。原本的攻击载体处于企业邮件网关、终端安全软件的保护范围内但是扫码之后跳转访问的全过程发生在手机终端。多数企业对于员工个人自带手机管控力度有限移动设备上面没有部署企业级安全检测工具无法像办公电脑一样执行链接沙箱检测、恶意站点拦截企业原有安全防护链条在此处出现断点。第四阶段为攻击危害落地。根据攻击者预设目标不同扫码之后会触发不同危害结果。最为常见的是跳转高仿钓鱼登录页面收集受害者的账号密码除此之外还可以实现多因素认证令牌窃取、诱导下载伪装成正规软件的恶意程序、劫持社交媒体账号、完成金融欺诈、向通讯录或者日历植入恶意内容、强制接入恶意 Wi‑Fi 热点等多种攻击效果。部分高级攻击会搭配二维码短链混淆手段长恶意网址先经过短链接服务压缩之后再编码进入二维码增加安全设备解码识别的难度。2.3 攻击绕过企业安全防护的底层逻辑反网络钓鱼技术专家芦笛强调二维码钓鱼之所以能够对现有企业安全体系形成挑战并不是企业原有安全设备全部失效而是攻击者找到了现有防护模型的边界盲区利用信息载体形态的改变避开安全工具的检测逻辑同时利用跨设备跳转跳出企业安全管控域。具体可以拆解为三个层面。第一规避明文链接检测机制。传统邮件安全网关的核心检测逻辑之一就是提取邮件正文、附件当中以文本形式存在的 URL之后和恶意网址黑名单进行比对送入沙箱开展动态检测。恶意二维码将完整 URL 存储在图像像素信息之中没有任何明文链接暴露在邮件文本中。如果邮件安全网关不具备专门针对图片、PDF 附件内部二维码的解码能力就无法提取图像背后封装的目标地址也就无法开展后续风险研判。攻击者还会把二维码嵌入 PDF、图片附件进一步提升检测难度很多安全设备对附件内部图像的解析深度不足恶意载荷直接绕过过滤抵达员工收件箱。第二攻击链路跨设备迁移脱离企业安全边界。企业 PC 终端处于完整安全管控之下安装终端检测响应工具网络流量经过企业代理网关过滤而员工扫码使用的手机多为个人设备没有接入企业 MDM 移动设备管理体系。即便邮件被企业网关拦截失败成功送达员工电脑后续访问行为全部发生在企业网络与企业终端管控之外。即便企业在办公网络内部部署完备的网页访问管控策略也无法约束手机蜂窝网络下的访问行为这是二维码钓鱼区别于传统邮件钓鱼最关键的风险点。传统钓鱼是在企业管控的电脑上点击恶意链接而二维码钓鱼是电脑只作为展示图像的载体真正访问恶意网站的设备游离在防护体系之外。第三利用用户心理惯性制造认知漏洞。经过长期安全培训多数企业员工已经建立起对邮件内部陌生文本链接的警惕意识看到不明链接会产生戒备心理但是二维码已经深度融入日常生活扫码已经变成不需要过多思考的习惯性动作。用户天然默认二维码是安全可信的缺少对二维码背后目标地址的核查习惯。肉眼不能分辨二维码的好坏受害者没有简便手段在扫码之前核验二维码将要跳转的真实地址这种认知层面的盲区是技术防护难以完全覆盖的。3 二维码钓鱼攻击的多样化技术变体与威胁案例随着安全厂商逐步针对基础版二维码钓鱼增加检测能力威胁参与者持续迭代攻击手法衍生出多种变体攻击攻击目标不再局限于简单窃取账号密码已经拓展至多因素认证劫持、恶意应用分发、社交账号接管等多个方向同时普通网络黑产和 APT 高级威胁组织的攻击模式呈现明显分化。3.1 黑产驱动的规模化二维码钓鱼变体手段普通网络黑产开展的批量攻击追求攻击覆盖规模与落地成功率不断拓展二维码钓鱼的应用场景已经演化出多类攻击实现路径。第一种变体借助二维码分发伪装正版应用的恶意程序。常规钓鱼网页仅能够收集账号凭证部分攻击者通过二维码直接跳转非官方应用下载站点诱导受害者下载脱离官方应用商店的安装包。移动端应用商店本身具备应用审核机制恶意软件很难通过官方渠道分发二维码成为绕过应用商店安全管控的载体。受害者扫码之后直接下载 APK 安装包安装之后恶意程序就可以在手机内部收集通讯录、短信、本地存储的各类凭证信息。第二种变体利用合法应用作为跳板完成后续攻击。二维码解析之后并不直接跳转恶意钓鱼网站而是打开社交媒体、支付工具等正规应用。这种模式下二维码指向的域名本身属于合法服务传统黑名单机制不会标记为恶意迷惑性更强。攻击者可以通过该路径完成账户接管诱导受害者在正规应用内完成授权让攻击者获得账号访问权限也可以预先填充支付对象信息诱导受害者直接完成转账操作造成直接经济损失。第三种变体通讯录与日历投毒攻击。部分攻击会利用二维码跳转在受害者手机日历、通讯录当中写入带有钓鱼链接的会议邀约、联系人条目。这些内容存入手机本地之后后续受害者点击条目内链接时才触发钓鱼跳转攻击危害具备延时性扫码当时不会立刻出现异常用户很难把后续遭受的欺诈和此前的扫码行为关联起来提升事件溯源难度。第四种变体恶意 Wi‑Fi 诱导接入。部分二维码编码内容为恶意无线接入点配置信息受害者扫码之后手机自动连接攻击者搭建的恶意 Wi‑Fi。接入热点之后攻击者可以开展中间人监听拦截手机网络流量窃取用户传输的各类敏感信息。第五种变体短链接混淆增强规避能力。攻击者使用 URL 短链服务把最终的恶意网页地址转化为一层或者多层跳转短链接再将短链接编码进二维码图像。安全工具即便完成二维码解码获取到的只是短链地址如果不完整跟进重定向链路就无法识别最终落地页面的恶意属性以此逃避静态黑名单比对。ESET 威胁报告的监测数据显示自 2025 年 9 月至 2026 年 5 月全球恶意二维码钓鱼检出数量整体处于高位震荡上行趋势2026 年 4 月出现检测峰值反映出黑产攻击者持续加大该攻击手段的投入力度。一份典型的攻击样本模仿企业人力资源部门薪资政策更新邮件邮件正文提示员工使用移动设备扫描图片当中的二维码查阅薪资调整文档伪造邮件声称二维码链接指向企业内部 SharePoint 文档以此获取员工信任该样本属于典型面向企业内部人员的批量钓鱼样本。3.2 APT 组织使用二维码开展鱼叉式定向攻击二维码钓鱼并不仅仅是黑产批量牟利工具高级持续性威胁组织也已经将该手段纳入情报窃取的武器库用于高价值目标的定向鱼叉式投递。2026 年 1 月 FBI 发布安全预警披露朝鲜 Kimsuky 组织在鱼叉钓鱼邮件当中嵌入恶意二维码针对智库、学术机构、美国及境外政府实体开展攻击活动。攻击者设计多重诱饵话术宣称扫描二维码之后可以访问调查问卷页面、活动注册页面、加密安全云盘以此欺骗目标人员扫码访问恶意资源。相较于黑产批量攻击APT 组织使用二维码钓鱼具备明显差异化特征。首先是目标高度精准攻击者会前期收集目标机构业务背景、人员身份信息定制高度贴合工作场景的邮件诱饵邮件主题、措辞完全匹配目标日常接触的业务材料攻击样本只定向发送给少数选定目标不会大规模群发。其次攻击目标不以直接获取经济收益为目的核心诉求是获取机构内部敏感情报、业务资料、员工账号权限为后续内网渗透建立初始立足点。再者APT 组织会综合搭配多种混淆手段除二维码之外还会叠加文档混淆、多层跳转尽可能规避各类威胁检测提升攻击样本在目标收件箱的存活概率。反网络钓鱼技术专家芦笛指出APT 组织采用二维码钓鱼代表该攻击手段的成熟度已经到达新的阶段。以往定向鱼叉攻击主要依靠恶意 Office 宏文档作为初始载荷很多企业已经禁用 Office 文档宏功能传统附件攻击路径被大量封堵APT 组织开始寻找新的突破路径二维码钓鱼不需要依赖宏、漏洞执行只需要诱导用户扫码就可以完成攻击链路启动对目标用户几乎没有技术门槛因此受到高级威胁团体重视。对于企业安全团队来说不能简单将二维码钓鱼归为普通垃圾邮件威胁需要意识到该手段同样可以被用于高危害定向攻击。3.3 攻击成功的关键影响因素综合全部攻击样本可以归纳二维码钓鱼能够得手是技术漏洞与人的行为漏洞共同作用。技术层面企业邮件安全网关缺少图像内二维码解码检测能力、移动终端管控缺失、缺少抗钓鱼多因素认证为攻击者提供客观条件人的层面用户对二维码工具的天然信任、对紧急场景的心理压力、缺少核验二维码真实地址的手段是攻击生效的关键助推因素。二者缺一不可如果邮件网关可以提前拦截包含恶意二维码的邮件诱饵无法抵达员工即便邮件送达如果员工具备充足安全意识拒绝扫描不明来源二维码攻击同样无法落地。4 企业面对二维码钓鱼威胁的现实困境国内多数企业网络安全建设长期以 PC 端办公环境作为防护重心针对邮件钓鱼的防御主要围绕传统文本链接、宏附件开展面对二维码钓鱼这种新型威胁很多企业安全体系暴露出多重现实困境。4.1 邮件安全检测能力存在短板大量企业部署的邮件安全网关只针对邮件文本内容、常见格式附件开展解析缺少专门针对图片、PDF 内部二维码图像的解码模块。当恶意二维码以图片形式放在邮件正文或者封装进 PDF 附件网关只能识别这是一张普通图像文件不会提取图像内存储的 URL 地址无法完成风险研判。只有具备专门二维码解析引擎的邮件安全产品才可以识别各类文件载体当中的二维码解码取出链接送入反钓鱼引擎开展风险判定。很多企业现有采购的安全设备没有开启该类能力或者产品本身不支持图像内部二维码深度解析造成威胁直接通过邮件过滤环节。同时攻击者持续使用短链接、多层重定向混淆目标地址即便部分设备可以解码二维码若不能完整跟进全部跳转链路只检测第一层短链依旧会放过最终恶意站点。4.2 移动终端管控缺口放大攻击风险二维码钓鱼攻击危害触发环节发生在手机终端这是企业防护的薄弱环节。当前大量企业实行员工自带设备办公模式员工日常使用个人手机处理工作相关事务企业无法对全部个人手机进行强制安全管控。即便部分企业部署 MDM 移动设备管理平台也大多仅覆盖企业配发工作手机对于员工私人手机没有约束力。员工扫码访问恶意网站使用蜂窝移动网络流量不会经过企业安全代理网关企业侧无法看到这部分访问行为无法实现恶意站点阻断也不能记录相关访问日志用于后续安全事件追溯。当员工在手机上面输入企业账号密码企业终端安全产品完全感知不到该操作传统 EDR 端点检测工具部署在电脑终端无法监控手机上面发生的凭证窃取行为。4.3 人员安全意识培训体系滞后于攻击手段演进绝大多数企业已经开展网络钓鱼安全培训但是培训内容大多集中于传统钓鱼形式重点提醒员工不要点击陌生链接、不要打开不明附件很少专门针对二维码钓鱼开展场景化教学。员工接收安全培训之后能够做到不去点击邮件里蓝色的超链接却会下意识扫描邮件截图、附件当中的二维码形成防御上的认知盲区。很多员工并不了解二维码本质就是跳转链接不知道扫码等同于访问未知网页没有建立起 “不明来源二维码等同于不明链接” 的认知。同时常规年度合规式安全培训多以宣讲课件为主缺少二维码钓鱼的仿真演练员工没有机会在接近真实的场景当中练习识别该类诱饵当真实攻击来临的时候依旧容易落入圈套。4.4 认证体系无法完全抵御会话劫持类攻击不少企业已经全员部署多因素认证 MFA但是普通的短信验证码、软件令牌类 MFA 并不能完全抵御二维码钓鱼攻击。部分高级二维码钓鱼攻击搭配中间人代理攻击手段受害者扫码跳转至钓鱼站点输入账号密码之后还会把 MFA 验证码提交给攻击者攻击者利用拿到的账号密码与一次性令牌完成企业系统登录传统 MFA 就此被绕过。只有抗钓鱼属性的多因素认证方案例如 FIDO2 硬件密钥才可以抵御中间人钓鱼劫持场景而国内企业内部全面部署硬件密钥的比例并不高。大量企业满足于启用普通 MFA并没有意识到普通多因素认证面对该类攻击存在局限。4.5 安全事件检测与响应溯源难度提升当二维码钓鱼造成安全事件之后企业安全团队开展事件处置会遇到溯源难题。攻击触发行为发生在不受管控的个人手机企业网络日志看不到手机访问恶意网站的记录没有直接证据确认员工是否扫描恶意二维码。邮件层面仅能确认员工接收过可疑邮件但是无法确认员工是否完成扫码操作。账号出现异常登录之后安全人员很难快速定位攻击入口是二维码钓鱼容易误判为密码爆破、凭证泄露等其他安全事件拖慢应急响应处置节奏。5 面向二维码钓鱼威胁的企业综合防御体系构建反网络钓鱼技术专家芦笛强调二维码钓鱼属于典型的社会工程结合技术规避的复合型威胁不存在单一设备或者单一策略就可以彻底根除风险。企业必须落实人、流程、技术三位一体的安全防护思路不能单纯依靠采购安全硬件设备要同步补齐人员认知短板、完善安全运营流程、升级技术检测管控能力形成多层纵深防御层层消减攻击成功概率。5.1 人员安全能力建设开展针对性安全认知教育与仿真演练人的行为是攻击链路当中非常关键的一环技术防护无法百分之百拦截全部钓鱼邮件人员的判断是最后一道防线。企业需要更新全员安全培训内容把二维码钓鱼纳入常态化安全宣贯体系纠正用户 “二维码天然可信” 的认知误区。培训需要传递核心安全准则来自非预期邮件、陌生消息当中的二维码不可以直接扫码如果收到业务通知要求扫码处理员工不应当直接扫码操作需要通过独立渠道核验发送方身份。比如收到 HR 薪资通知邮件要求扫码员工不能直接扫描屏幕二维码需要通过企业内部通讯软件、企业公开留存的联系电话单独和 HR 部门工作人员核实该通知真实性不能使用邮件内部提供的回复渠道开展核验避免攻击者篡改回复地址。培训过程中要向员工解释攻击原理告知员工扫码本质等同于访问未知网页肉眼无法分辨二维码是否携带恶意内容。除理论培训之外必须开展场景化仿真钓鱼演练把嵌入恶意二维码模拟诱饵的测试邮件批量发送给企业员工统计员工扫码行为数据针对扫码中招的员工开展定向专项辅导。不能只开展一年一次的合规性培训应当定期开展演练针对财务、行政、IT 运维、高管等高风险岗位增加演练频次。演练之后对数据做统计分析总结高频受骗场景持续迭代培训重点内容。同时建立便捷的可疑邮件上报渠道引导员工收到包含不明二维码的邮件之后第一时间上报安全团队。5.2 技术管控能力升级搭建多层技术防护屏障技术防护需要覆盖邮件检测、移动终端、身份认证、威胁监控多个层面补齐原有防护体系的短板。第一升级邮件安全检测能力。企业需要评估现有邮件安全网关能力确认设备是否支持解析邮件正文、PDF、图片附件内部的二维码图像。优先选用具备专门二维码解码检测模块的邮件安全产品对提取出来的 URL 开展反钓鱼、反恶意软件、反垃圾邮件多引擎检测对携带恶意二维码的邮件执行拦截、标记、隔离操作。针对多层跳转短链接场景安全设备需要完整跟进重定向链路识别最终落地站点风险不能只校验第一层短链地址。同时继续落实 SPF、DKIM、DMARC 域名防伪造配置降低攻击者伪造企业内部发件人地址的能力从源头减少伪造诱饵邮件抵达收件箱的概率。第二强化移动终端安全管控。扩大移动安全防护覆盖范围对于企业配发工作手机完整启用 MDM 移动设备管理能力部署移动端威胁防护工具实现恶意网页访问阻断。对于员工个人自带设备通过安全制度要求处理企业业务时优先使用受管控设备同时向员工推送移动端安全基线要求提醒员工手机系统、扫码应用保持更新。尽可能约束高权限企业账号在无管控个人移动设备登录的场景减少风险暴露面。第三部署抗钓鱼的多因素认证体系。仅仅依靠短信验证码、普通软件令牌不足以抵御中间人劫持式二维码钓鱼攻击。企业应当逐步推广 FIDO2 标准硬件安全密钥这类具备抗钓鱼能力的 MFA 方案在所有核心业务系统、云平台、管理员账号强制启用。反网络钓鱼技术专家芦笛指出普通 MFA 可以防御密码泄露场景但是面对结合中间人代理的钓鱼攻击会失效抗钓鱼 MFA 能够从协议层面阻止攻击者转发窃取到的验证凭证是应对该类攻击非常关键的技术控制点。针对特权账号、高管账号优先完成硬件密钥部署。第四落实最小权限原则收缩攻击面。执行最小权限与即时访问机制员工账号只分配岗位必须的权限高等级权限不做长期分配采用按需申请的即时访问模式。保持移动端操作系统、企业业务系统、全部安全工具持续更新补丁减少系统层面可被利用的漏洞。开启全平台异常行为监控针对异地登录、陌生设备登录、特权账号非工作时段访问等异常行为建立告警规则及时发现账号被接管迹象。5.3 完善安全运营与应急处置流程完备的技术设备需要配套流程制度才可以发挥防护效果。企业应当把二维码钓鱼威胁纳入现有安全管理制度同时完善事件响应预案。首先制定企业内部二维码使用的安全规范明确内部业务场景下发二维码的安全管理要求。内部业务通知如果需要使用二维码要配套独立核验渠道同时告知员工辨别内部正规二维码通知与外部钓鱼诱饵的区分要点。其次更新钓鱼安全事件应急响应预案将二维码钓鱼纳入事件处置场景。明确当上报或者监测到疑似二维码钓鱼事件时的处置步骤第一时间隔离相关钓鱼邮件开展全员告警提醒排查中招员工账号登录日志检查是否出现异常登录行为对可疑账号执行重置密码撤销全部会话评估是否发生数据泄露开展受害范围排查。针对该类事件设计专门溯源流程重点核查邮件接收记录、账号登录日志弥补手机端日志缺失带来的溯源困难。企业还要定期开展预案演练模拟发生大规模二维码钓鱼攻击场景检验安全团队处置能力。最后建立持续威胁监测机制跟踪该类攻击技术的演进变化。安全团队持续关注行业威胁报告及时掌握攻击者新的混淆手段、诱饵场景同步调整邮件网关检测规则、演练场景、员工培训课件让防御措施可以跟随威胁演变持续迭代。6 结语二维码钓鱼是传统网络钓鱼在新交互技术背景下的演化产物攻击者并不依靠复杂系统漏洞完成入侵而是充分利用大众对二维码工具的行为惯性结合社会工程学手段同时利用企业安全防护体系在跨设备场景下的盲区绕开传统安全检测机制实现攻击落地。威胁监测数据显示该攻击手段规模持续增长不仅被黑产用于批量牟利APT 高级威胁组织也已经将其纳入定向攻击工具库企业必须正视该威胁带来的安全风险不能将其归为次要的低风险威胁。企业过往针对钓鱼攻击的防护经验依旧具备参考价值但不能直接全盘套用。传统防护大多聚焦 PC 终端、文本格式恶意链接二维码钓鱼将攻击触发环节迁移至管控薄弱的移动终端造成原有防护链条断裂。单纯升级邮件安全设备不足以解决全部风险只开展员工宣讲培训同样无法杜绝攻击。反网络钓鱼技术专家芦笛指出对抗二维码钓鱼的核心思路是压缩攻击链路每一个环节的成功概率通过技术拦截尽可能阻止诱饵邮件抵达员工通过安全制度收缩攻击面依靠抗钓鱼认证降低账号接管造成的危害依靠人员安全意识守住最后一道防线多个维度互相配合形成纵深防御。需要客观认识到不存在能够百分之百消除二维码钓鱼风险的防御手段。随着攻防对抗持续演进攻击者还会持续创新混淆方式、开发新型诱饵场景。企业安全建设不是一次性项目需要持续跟踪威胁情报迭代技术检测规则更新安全培训内容常态化开展仿真演练持续补齐人、流程、技术三方面短板。在二维码大规模普及的时代安全建设需要适配用户日常交互工具在享受工具带来便利的同时充分识别工具背后潜藏的安全风险实现业务便捷性和网络安全之间的平衡。编辑芦笛公共互联网反网络钓鱼工作组