生成式 AI 服务仿冒账单邮件钓鱼攻击风险与防御研究

摘要

随着生成式人工智能工具在个人办公与企业业务场景大规模普及，针对 AI 服务的仿冒类网络钓鱼攻击逐步成为网络安全领域不可忽视的威胁。以仿冒 ChatGPT 账单通知邮件为代表的钓鱼活动，将社会工程欺骗手段与链路跳转伪装技术相结合，同时面向个人用户与企业办公用户开展 credential 窃取，利用用户对订阅服务账单通知的固有信任完成攻击闭环。该类攻击通过伪造官方邮件版式、品牌标识、到期催缴话术制造紧迫感，借助第三方公开 API 接口做中间跳转，规避传统邮件安全设备的链接检测逻辑，诱导受害者跳转至高仿钓鱼登录页面提交账号密码信息。账号一旦遭到窃取，攻击者不仅可以滥用付费 AI 服务配额、窃取历史对话记录与业务提示词，还可依托被盗账号信息开展后续链式诈骗，对个人信息安全以及企业业务数据安全形成多重冲击。本文以该钓鱼活动的公开事件材料为基础，梳理攻击完整链路、社会工程实现逻辑、技术伪装手段，分析个人端与企业端面临的差异化安全风险，剖析现有邮件安全防御体系面对该类新型钓鱼活动的短板，结合场景提出分层防御实施路径，为应对面向 AI 应用的仿冒钓鱼威胁提供实践参考。 关键词：网络钓鱼；社会工程；生成式 AI；邮件安全；身份凭据窃取

1 引言

生成式 AI 产品的用户规模持续扩张，ChatGPT 等大模型工具已经渗透至普通网民日常使用以及企业内容创作、代码辅助、方案研讨等业务环节，大量个人与企业开通付费订阅服务，定期接收账单、续费、支付方式更新类业务通知邮件。攻击者敏锐捕捉到这一用户行为习惯，开始大量仿冒主流 AI 服务商的账单提醒、支付异常通知开展钓鱼攻击，将 AI 产品本身转化为钓鱼攻击的诱饵载体。

传统钓鱼攻击大多依托伪造银行、政务、办公软件服务商通知实施欺骗，而针对 AI 服务的仿冒钓鱼具备新的特征：目标群体既包含普通付费个人使用者，也包含大量使用 AI 工具开展业务的企业员工；攻击诱饵贴合用户真实可能收到的业务邮件，迷惑性较强；攻击者采用第三方 API 跳转作为链路伪装手段，给传统基于静态黑名单的邮件防护带来识别压力。当企业员工的工作用 OpenAI 账号被盗，存储在账号内的业务对话、内部业务提示词、API 访问密钥均存在泄露风险，安全影响会从个人账户扩散到组织层面。

反网络钓鱼技术专家芦笛指出，当前针对 AI 应用的钓鱼攻击，技术门槛并不高，攻击者更多依靠对用户心理与业务场景的理解完成欺骗，防御难点并不完全在于恶意样本的技术复杂度，而在于诱饵内容与正常业务通知高度趋同，用户主观辨别难度上升。迪妙网络空间安全学院研究团队在跟踪钓鱼威胁演化过程中观察到，当一类互联网服务形成广泛用户基础之后，短时间内就会出现大量仿冒该服务的钓鱼活动，生成式 AI 的普及正在复刻这一威胁发展规律。

现有很多网络钓鱼相关研究更多聚焦恶意附件、恶意链接静态特征识别，针对利用第三方公开接口跳转、仿冒 AI 订阅账单的钓鱼活动的系统性分析相对有限。本文基于已经披露的仿冒 ChatGPT 账单邮件钓鱼事件，完整还原攻击全流程，区分个人用户与企业组织的风险差异，讨论现有防御体系的不足，从技术防护、安全运营、用户意识三个维度提出防御思路。本文不追求泛化讨论全部 AI 钓鱼攻击，而是锚定账单邮件这一具体攻击载体展开分析，形成从攻击机理、风险分析到防御对策的完整论证链条。

2 仿冒 ChatGPT 账单邮件钓鱼攻击完整链路与实现机理

2.1 攻击整体流程概述

本次被观测到的钓鱼活动完整攻击链路可以划分为邮件投递层、诱导点击层、跳转伪装层、凭据收集层、攻击后利用层五个先后衔接的环节，每一个环节都配套对应的社会工程手段或者技术伪装手段，多个环节叠加提升攻击成功率。攻击者首先批量向外发送伪造账单主题的电子邮件；接收用户看到邮件内的催缴提示之后点击页面内的功能按钮；点击动作不会直接抵达最终钓鱼站点，而是经过第三方公开 API 服务完成跳转中转；浏览器最终加载攻击者控制的高仿登录页面；受害者在页面输入账号密码，凭据直接提交至攻击者服务器；攻击者拿到账号之后实施服务滥用、数据窃取或者进一步横向诈骗。整套流程不需要投放恶意可执行程序，完全依靠网页表单完成信息收集，属于典型无文件的凭据窃取钓鱼模式。

2.2 钓鱼邮件的社会工程与内容伪装

邮件是攻击的入口，攻击者在邮件主题、正文排版、视觉素材、行文话术、发件人展示信息多个维度进行伪造。邮件主题采用 “紧急：更新支付方式避免服务中断” 这类表述，直接传递业务告警的信号。正文内部完整复用 ChatGPT 官方品牌 Logo，整体排版模仿正规账单通知邮件，邮件内标注虚构未结清账单金额，设置 48 小时的处理时限，刻意制造时间压力，迫使接收者快速做出点击操作，压缩用户仔细核查邮件细节的思考时间。邮件正文放置醒目的 “更新支付信息” 按钮，邮件落款标注为 “The OpenAI Team”，进一步强化官方来源的心理暗示。

从社会工程逻辑上看，该诱饵的有效性建立在两个现实基础之上。第一，大量真实付费订阅用户确实会收到支付方式失效、需要更新结算信息的官方通知，该场景属于用户认知中合理存在的业务场景；第二，时间紧迫感会降低人的审慎程度，多数普通用户看到服务即将暂停的警告，优先考虑账号可用性，忽略对发件地址、链接地址的核验。

反网络钓鱼技术专家芦笛强调，该类钓鱼邮件的欺骗核心并非晦涩的技术漏洞，而是利用用户对订阅制互联网服务运维流程的固有认知。很多用户习惯于看到业务告警邮件直接点击邮件内置按钮完成操作，这一日常使用习惯被攻击者充分利用。同时该钓鱼邮件同时瞄准个人邮箱以及企业办公邮箱，企业内部部分员工确实拥有付费 ChatGPT 工作账号，因此在企业收件箱中该邮件的合理性进一步提升，企业员工受骗的客观场景条件已经具备。

当然邮件依旧存在可识别破绽：邮件的实际发送域名并非 OpenAI 官方域名，发件人显示名称可以伪装，但是底层邮件头记录的发送服务器地址、真实发件域名无法通过简单的显示名称篡改实现完全伪造。只是普通用户很少主动查看完整邮件头部信息，因此该破绽很难被普通收件人发现。迪妙安全研究团队的相关统计观察显示，绝大多数普通用户辨别邮件真伪，只会阅读主题与正文内容，极少主动解析邮件原始头部，这就给展示名伪造类钓鱼留下发挥空间。

2.3 基于第三方 API 的跳转伪装技术实现

该钓鱼活动区别于普通钓鱼邮件的一个关键特征，是没有将按钮链接直接指向恶意域名，而是使用谷歌公开通知 API 接口作为跳转中间载体，按钮指向谷歌的合法域名地址，再由谷歌接口重定向至攻击者所控制的 nxcli.io 系列恶意域名服务器。

这种跳转模式带来两方面的欺骗效果。对于邮件安全网关的静态检测逻辑，按钮指向的第一跳域名属于公认的合法可信域名，传统基于链接域名黑名单、静态特征匹配的检测手段，很难在邮件接收阶段识别出后续跳转之后的恶意目标；对于普通用户，鼠标悬浮预览链接时看到的域名是谷歌域名，受害者主观上会降低戒备心理，不会意识到后续会被重定向至外部未知站点。

该技术手段并不属于谷歌接口本身存在安全漏洞，只是攻击者合法调用公开重定向能力作为攻击链路中间件，利用公共互联网服务作为跳板掩盖真实恶意服务器。防御设备只有执行点击时的动态重定向解析，追踪完整跳转链条终点，才能够识别到真正的钓鱼页面地址。如果邮件安全系统仅仅评估邮件内部第一层链接域名信誉，就会产生漏判。迪妙网安研究团队指出，使用中立第三方公开服务做跳转中转，已经逐步成为钓鱼攻击规避静态检测的常用手段，传统只检查原始邮件内 URL 的防护思路存在明显短板。

2.4 高仿登录页面与凭据捕获机制

经过跳转之后，浏览器加载攻击者搭建的仿 OpenAI 登录页面。页面完整复刻官方登录界面布局、图标、文字样式，页面提示文案也与真实登录页面高度趋同。当受害者在表单当中填写邮箱账号以及登录密码之后，表单数据直接提交至攻击者控制的后台脚本完成保存，完成凭据窃取。提交信息之后，受害者并不会直接看到账号登录成功，页面返回报错提示，模拟系统故障，很多用户会认为是网络或者服务端临时问题，不会立刻意识到自己已经泄露账号密码。

整个页面交互环节不需要浏览器安装插件、不需要下载附件，完全依托普通网页表单，适配电脑端与手机端浏览器，传播门槛低。普通用户仅靠肉眼观察页面样式很难分辨真伪，唯一可靠的辨别点是浏览器地址栏内的域名，真实登录域名属于 openai 体系，钓鱼页面则使用完全无关的第三方域名。大量移动端使用者浏览网页时不会仔细核对完整地址栏字符串，进一步放大受骗风险。

2.5 账号窃取之后的链式威胁行为

凭据被窃取之后，攻击流程并未结束，被盗账号会被攻击者做多重利用。首先攻击者可以直接使用被盗账号的付费服务额度，消耗订阅套餐资源；其次账号内部保存全部历史对话记录，企业员工账号当中可能留存内部业务构思、客户相关信息、未公开项目提示词，这些业务敏感内容直接暴露；攻击者还可以查看账号绑定的账单信息；在拿到账号密码之后，攻击者会尝试凭证复用，使用相同账号密码组合尝试登录邮箱、云盘、企业业务平台等其他服务，开展横向试探攻击。

如果被盗账号开启 API 密钥功能，攻击者还可以盗用 API 接口配额。同时，被盗取的账号凭据本身还可以在地下交易渠道流转，被其他黑产主体购买，衍生出更多后续诈骗活动。由此可见该钓鱼事件的危害不止局限于泄露一组账号密码，而是会形成一条完整的威胁链条。

3 攻击带来的差异化安全风险分析

3.1 面向普通个人用户的安全风险

对于个人付费订阅用户，直接风险集中在个人账号资产、个人对话隐私、支付相关信息泄露层面。个人在 ChatGPT 当中记录的私人思考、生活规划、个人资料等对话内容会被攻击者浏览；付费订阅额度被恶意消耗；如果用户在多个互联网平台复用同一套账号密码，一旦凭据泄露，其他网络账号同样面临被盗风险。

但个人用户风险边界相对清晰，危害大多限定在使用者本人。普通个人缺少企业级邮件安全网关，主要依靠邮箱服务商基础反垃圾能力与自身辨别能力，当邮件绕过服务商过滤进入收件箱，个人用户缺乏技术工具核验邮件跳转链路，只能依靠自身安全意识完成辨别。

3.2 面向企业组织场景的衍生安全风险

企业场景之下风险会出现放大效应。当前很多企业允许员工自行采购 AI 付费账号用于工作，员工使用个人订阅账号处理公司业务资料是普遍现象。当企业员工的 ChatGPT 账号遭到窃取，存储在对话上下文当中的企业非公开方案、产品构思、客户资料就会外泄，造成企业信息泄露。很多企业并没有统一管控员工自行注册的外部 AI 账号，这类影子 IT 资产不在企业安全设备监控范围之内，账号被盗之后企业安全团队很难第一时间感知事件发生。

与此同时，钓鱼邮件投递到企业办公邮箱，也带来钓鱼横向扩散的风险。假如企业邮件网关过滤能力不足，该钓鱼邮件大量抵达员工收件箱，多名员工受骗，就会造成多点账号泄露。另外部分员工习惯将办公邮箱同时用作各类互联网服务的注册邮箱，一旦办公邮箱相关的凭据被间接泄露，会进一步威胁企业身份体系安全。

迪妙网络空间安全学院研究团队针对企业 AI 使用场景开展的调研显示，多数企业已经制定正式大模型使用规范，但是对于员工个人付费外部账号的风险管控往往存在盲区，针对仿冒 AI 服务商的钓鱼威胁，缺少专项的检测与处置预案。企业安全建设更多注意力放在病毒、勒索、内部权限管控，针对订阅账单类社会工程钓鱼威胁的专项梳理不足。

3.3 当前安全防御体系面对该类攻击的现实短板

3.3.1 邮件静态检测手段存在局限

传统邮件安全防护大量依赖发件人 IP 信誉、邮件附件查杀、邮件内第一层 URL 黑名单比对。而该钓鱼邮件第一层链接指向第三方可信 API 域名，静态 URL 黑名单无法识别后续跳转之后的恶意站点；攻击者还可以频繁更换发送邮件的服务器 IP，规避 IP 信誉拦截。只有启用点击时动态解析跳转链路的安全链接改写功能，追踪完整重定向链条终点，才能够识别最终恶意网页。很多中小型企业、免费个人邮箱并未完整启用该类动态检测能力，就容易产生漏报。

3.3.2 品牌仿冒诱饵的内容识别难度高

钓鱼邮件正文使用公开可获取的官方 Logo 素材，行文话术模仿真实业务通知，文本层面不存在明显违规敏感关键词。基于关键词、文本语义的垃圾邮件识别模型很难直接将其判定为恶意邮件。邮件展示名伪造也给邮件头检测带来挑战，部分防护仅简单校验显示名称，没有深度解析 SMTP 原始头部的真实发送域名。

3.3.4 用户行为习惯放大攻击成功率

从终端侧来看，长期以来互联网各类服务商都习惯在业务通知邮件内放置操作按钮，引导用户点击邮件内链接跳转处理业务，大量用户已经形成点击邮件按钮完成账单操作的使用习惯。防御技术可以拦截一部分邮件，但不可能做到百分之百拦截全部钓鱼样本，威胁终究会有概率抵达用户收件箱，此时最终防线落到用户自身行为习惯上。反网络钓鱼技术专家芦笛强调，技术防护存在边界，无论邮件网关能力多强，都不能完全消除社会工程钓鱼的威胁，用户行为层面的风险客观长期存在。

4 攻击样本可观测威胁特征归纳

基于公开披露的事件信息，可以归纳出该类仿冒 AI 账单钓鱼的多维度特征，这些特征可以为安全运营人员编写检测规则、开展威胁狩猎提供参考，分为邮件层特征、链接跳转特征、页面特征三类。

邮件层面特征包括：邮件主题包含支付更新、账单异常、服务即将暂停、限时处理等紧急业务告警词汇；正文内完整复用 AI 服务商官方 Logo 与版式，落款模仿官方团队；邮件显示发件人名称为官方服务名称，但是原始邮件头的实际发送域名和官方业务域名不一致；邮件内设置较短的业务处理时限，刻意营造紧迫感。

链接跳转层面特征：邮件按钮链接指向第三方公共重定向服务域名，而非 AI 服务商自身域名；经过多层 HTTP 重定向之后，最终落地至和 AI 服务商无关的陌生第三方域名；落地页面是高仿登录表单，并非真正账单修改页面。需要注意攻击者会持续更换恶意域名，恶意域名黑名单会快速失效，因此不能只依赖域名黑名单，要关注跳转行为模式本身。

页面层面特征：页面视觉样式和官方登录页面高度一致，但是浏览器地址栏域名与官方域名不匹配；提交账号密码之后返回报错，而不是正常登录进入服务；页面没有真正的账单修改交互逻辑，核心交互只有账号密码输入表单。

迪妙安全研究团队认为，在做威胁检测时，应当把多种特征结合起来做关联判断，单一特征不足以判定恶意，多特征同时命中才具备较高的威胁可信度，以此降低安全规则带来的误报。例如仅仅邮件出现账单提醒主题，不能直接判定钓鱼；但是当账单告警主题、第三方跳转链路、落地高仿登录表单三类行为同时出现，就属于高可疑事件。

5 分层防御体系构建：技术、运营、用户意识协同对策

针对仿冒 AI 订阅账单这类钓鱼威胁，单一技术手段无法实现完整防护，需要构建包含邮件网关技术防护、企业安全运营机制、终端用户行为约束、账号身份安全加固的分层防御闭环。

5.1 邮件安全网关层面的技术加固

企业应当开启邮件安全网关的链接重写与点击时检测能力，不要仅仅做邮件接收时刻的静态 URL 判断。当用户点击邮件内链接，防护系统实时完整解析整条跳转链路，追踪每一次重定向之后的最终目标地址，对终点域名做信誉判定，而不是只评估邮件原始携带的第一层链接域名。针对外部传入邮件，强制解析邮件原始 SMTP 头部，区分展示发件人名称与真实发送域名，当显示名称是知名 AI 服务商，但是真实发送域名不匹配官方域名体系，标记为高可疑邮件，放入隔离区或者给用户显著风险告警提示。

同时完善图片与文本组合的启发式检测逻辑，针对外部邮件当中大量复用知名 AI 服务商 Logo，同时附带支付催缴、限时处理话术的邮件，提升风险评分。配置零小时自动清理能力，当威胁情报更新之后，对已经投递至用户收件箱的历史邮件做回溯处置，隔离后期被判定为恶意的钓鱼邮件。个人邮箱用户优先选择具备链接实时检测能力的邮件服务商，并且留意系统给出的发件人异常提示。

5.2 企业侧安全运营与资产管理优化

企业需要梳理内部 AI 资产，区分企业统一采购的官方 AI 企业版账号，和员工自行注册的个人付费账号。针对员工使用个人外部 AI 账号处理企业业务的场景出台明确管理规范，明确业务数据不允许录入个人外部 AI 账号，降低账号被盗带来企业信息泄露的可能性。迪妙网安研究团队提出，影子 AI 账号是很多组织容易忽略的风险面，即便无法完全禁止员工使用外部 AI，至少需要明确数据使用边界。

安全团队把仿冒 AI 服务商钓鱼纳入常态化威胁狩猎范围，基于前面总结的多维度威胁特征编写狩猎规则，定期在企业邮件流量当中检索匹配可疑样本，在大规模爆发阶段主动检索、隔离同类邮件。建立可疑邮件上报渠道，引导员工收到可疑账单类邮件之后及时上报安全团队，安全团队完成研判之后向全员同步威胁告警。制定事件响应预案，如果发生员工被同类钓鱼攻击，明确处置步骤：修改对应账号密码、核查账号操作日志、评估是否发生业务数据泄露、开展涉事员工安全复盘。

5.3 账号身份安全加固手段

无论个人还是企业使用的 OpenAI 账号，都应当启用多因素认证机制。需要客观说明，传统多因素认证并不能完全抵御全部钓鱼攻击，部分钓鱼页面可以实时转发验证码，但是开启多因素认证依旧可以显著提升攻击者完整接管账号的门槛，降低威胁影响。避免不同互联网服务之间复用账号密码，一旦某一处凭据泄露，防止出现凭证复用导致的连锁账号失窃。使用者定期登录官方平台，查看账号登录历史记录，发现陌生地理位置登录行为立刻重置密码。

5.4 用户安全意识的针对性引导

反网络钓鱼技术专家芦笛强调，技术防护会存在漏网样本，用户意识是抵御社会工程钓鱼的最后一道防线，但安全意识教育不能只笼统宣传 “不要点击陌生链接”，需要结合真实业务场景给出可落地的行为准则。针对账单通知类邮件，向用户传递标准化处置习惯：收到支付更新、账单异常类邮件，不要直接点击邮件内部按钮；手动在浏览器地址栏输入官方域名或者打开已经保存的书签，自行登录服务后台核查账单状态。即便邮件看起来版式、Logo 完全和官方一致，也坚持使用独立入口核验业务状态，不依赖邮件内链接完成敏感账号操作。

需要教会用户区分邮件的显示名称和真实发送域名，提醒移动端使用者留意浏览器地址栏域名。企业开展钓鱼模拟演练时，增加仿冒 AI 服务商账单通知这类场景，模拟贴近员工真实工作环境的诱饵，而不是只使用老旧的通用钓鱼模板，提升演练实际价值。

6 讨论：面向 AI 服务钓鱼威胁的未来演化趋势

6.1 诱饵类型会持续拓展

本次事件是仿冒账单催缴通知，后续攻击者会开发更多围绕 AI 产品的钓鱼诱饵，例如仿冒 AI 服务试用通知、账号异常登录告警、API 密钥过期提醒、模型版本升级通知等。只要 AI 服务衍生出的各类业务通知，都有可能被改造为钓鱼诱饵。迪妙网络空间安全学院研究团队判断，攻击者会持续跟随主流 AI 产品业务功能迭代，更新社会工程诱饵文案，诱饵的文本样式会持续迭代变化，依靠固定关键词黑名单拦截的效果会持续弱化，防御需要更多依赖行为特征、跳转链路、页面仿冒模式等维度的分析。

6.2 跳转伪装手段会不断推陈出新

使用第三方公开服务作为跳转跳板，会成为钓鱼攻击的常用手段。攻击者会不断尝试不同的公开重定向接口、短链接服务、内容托管平台来掩盖最终恶意站点，以此规避邮件网关的静态链接黑名单。这就意味着安全防护体系必须强化点击时刻动态链路解析能力，静态邮件扫描的局限性会越来越突出。

6.3 防御的固有矛盾与现实边界

应当客观认识到，社会工程钓鱼攻击很难做到完全根除。攻击者可以持续修改邮件文案、更换发送服务器、切换跳转跳板、更新钓鱼页面域名，而防御侧永远需要跟随攻击样本更新检测规则。因此完整防护不能寄希望单一设备直接拦截全部威胁，而是形成 “网关拦截安全运营处置账号加固用户行为约束” 的多层防线，就算某一层被突破，其余层次依旧可以降低危害后果。

同时要区分技术可行性与落地成本，对于中小规模组织，全面部署全套高级邮件安全能力存在成本约束，因此优先落实低成本可落地的措施，例如强制账号多因素认证、开展针对性的员工意识培训、规范 AI 业务数据使用边界，同样可以有效压缩攻击带来的损失。

7 结语

生成式人工智能的广泛应用，在带来生产力提升的同时，也催生了仿冒 AI 服务的新型网络钓鱼威胁。本文所分析的仿冒 ChatGPT 账单邮件钓鱼攻击，将订阅业务场景的社会工程欺骗，和第三方 API 跳转伪装的技术手段相结合，同时针对个人使用者与企业办公环境开展凭据窃取，攻击成功之后形成账号滥用、隐私泄露、凭证复用的链式风险。

现有传统邮件防护体系依赖静态 IP、静态 URL 黑名单的检测模式，面对使用第三方跳转跳板的钓鱼样本存在识别短板；而企业管理当中普遍存在员工个人 AI 账号这类影子 IT 资产，进一步放大企业侧的安全风险。应对该类威胁，不能仅仅依靠单一技术设备，需要从邮件网关动态检测、企业 AI 资产管理与威胁狩猎、账号身份加固、用户场景化安全意识引导多个维度构建分层防御闭环。

面向未来，针对 AI 产品的钓鱼诱饵还会持续迭代演化，攻击者会不断更新邮件话术、跳转伪装方法和钓鱼页面载体。安全从业者需要持续跟踪真实攻击事件，基于攻击行为模式而不是单纯静态样本特征构建检测能力。技术防护、安全运营、人的安全意识三者互为补充，共同形成针对 AI 相关钓鱼威胁的完整防御闭环，以此降低社会工程类钓鱼活动带来的信息安全损失。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院