搜索引擎付费广告驱动的银行凭证钓鱼攻击研究

摘要

搜索引擎竞价广告本是商业信息分发工具，现已演变为网络黑产实施钓鱼欺诈的重要载体。以美国司法部披露的真实攻击事件为样本，诈骗团伙通过搜索引擎付费竞价投放仿冒银行广告，诱导普通网民访问高仿伪造登录页面，批量窃取网上银行账号密码，该次攻击已经收集超过五千组有效登录凭证，造成约两千八百万美元的财产损失。本文从攻击链路、黑产运作模式、平台风控短板、用户行为弱点、多因素认证的现实局限等维度展开剖析。研究发现，该类攻击之所以能够规模化落地，根源在于广告主体资质核验存在漏洞、恶意页面规避自动化检测、用户习惯过度依赖搜索结果、金融机构外部风险感知能力不足，同时传统多因素认证无法抵御中间人式网页钓鱼。针对上述风险，本文分别从搜索引擎平台风控机制优化、金融机构外部威胁监测、终端防护能力建设、普通用户安全意识培育、跨机构协同处置五个层面提出落地性防御路径，同时剖析现有治理框架的现实约束，为防范搜索广告类金融钓鱼欺诈提供理论参考与实践指引。

关键词：网络钓鱼；竞价广告；凭证窃取；金融欺诈；搜索引擎风控

1 引言

互联网时代网上银行已经成为公众处理资产交易的主要渠道，账号凭证的安全直接关系用户财产安全。传统钓鱼攻击大多依靠垃圾邮件、短信、社交消息分发恶意链接，而近年来新型攻击路径不断出现，诈骗分子开始利用主流搜索引擎的商业广告体系开展欺诈活动。用户在搜索框输入银行机构名称，排名靠前的付费广告结果指向伪造网站，普通用户很难区分付费广告与自然搜索结果，点击之后进入高仿登录页面，输入账号密码直接造成凭证泄露。

美国司法部 2026 年 9 月对外披露案件材料，一个跨境网络犯罪集团大量采购谷歌、必应搜索引擎付费广告资源，定向针对美国多家联邦保险银行开展钓鱼攻击，整个团伙维护专门数据库存储盗取的账号凭证，累计获取五千条以上有效银行登录信息，涉案财产损失规模达到两千八百万美元，涉案核心开发人员被引渡接受司法审判。该案件不是孤立的安全事件，同类攻击在全球多个地区持续复现，已经成为金融领域高频威胁场景。

过往学术研究更多聚焦邮件钓鱼、短信钓鱼、恶意软件窃取凭证，针对搜索引擎付费广告作为攻击入口的系统性分析相对有限。搜索引擎广告具备流量大、触达精准、伪装程度高等特征，攻击者只需要付出广告投放成本，就可以把伪造页面推送到搜索结果最顶端，借助搜索引擎本身的公信力消解用户警惕心理。迪妙网络空间安全学院研究团队跟踪全球钓鱼事件样本时观察到，针对金融机构、政务平台、软件服务商的广告钓鱼案例数量连续两年保持上升态势，而现有防护体系在应对该类威胁时存在明显短板。

本文以该起公开司法披露的广告钓鱼案件作为核心案例，完整拆解攻击全流程，梳理黑产链条分工，分析平台、金融机构、用户三方的风险成因，客观看待多因素认证在该场景之下的防护局限，构建分层防御方案。研究采用案例分析法、威胁溯源分析，不做过度推演，立足于公开案件事实，旨在厘清广告驱动钓鱼攻击的内在逻辑，为安全运维、平台风控、公众安全教育提供参考。

2 广告驱动银行凭证钓鱼攻击完整链路与攻击特征

该犯罪团伙实施的欺诈流程可以划分为广告投放、流量引导、页面欺骗、凭证收集、资产窃取、基础设施轮换六个连续阶段，各个环节互相配合形成闭环攻击链条，每一个环节都对应攻击者规避检测的策略。

2.1 攻击完整业务流程

第一阶段为广告账户准备与竞价投放。攻击者通过空壳主体或者间接代理商渠道注册搜索引擎广告账户，以银行机构名称、网上银行登录、网银入口等作为竞价关键词。当普通用户搜索银行相关词汇时，诈骗广告优先展示在页面靠前位置。广告展示标题、描述文字高度模仿真实银行官方文案，普通用户肉眼很难分辨广告与官方结果之间的差异。

第二阶段流量跳转。用户点击付费广告之后，请求跳转至攻击者管控的仿冒域名。攻击者大量注册形近拼写域名，部分域名仅修改个别字符，从视觉上高度接近银行官方域名，以此降低用户警觉。部分场景攻击者还会利用云服务商提供的免费二级域名搭建钓鱼页面，借助可信域名的基础信誉绕过部分安全检测工具。

第三阶段高仿页面欺骗。落地页面完整复刻银行网上银行登录界面，包含品牌 logo、配色、表单布局，页面交互逻辑和真实业务保持一致。用户在表单输入账号、密码之后，这些信息会被后台服务直接捕获保存，页面还会继续向用户推送二次验证输入框，用于收集短信验证码、软件令牌动态码。

第四阶段凭证归集。团伙搭建专门数据库集中存储盗取的账号、密码、二次验证信息。案件披露材料显示，该团伙维护的数据库累计存放超过五千组窃取得到的银行登录凭证，配套开发专门工具批量整理、筛选有效账号，过滤已经失效或者错误的账号信息。

第五阶段账户接管与资金转移。攻击者使用窃取得到的凭证登录真实网上银行系统，查询账户余额，发起未经授权的电汇转账操作，完成资金盗取。部分情况下攻击者会优先查看账户交易限额、风控触发条件，选择低风险方式分批转出资金，规避银行交易风控规则。

第六阶段基础设施快速轮换。搜索引擎风控系统会对举报、标记的广告账户、钓鱼域名进行封禁处置。攻击者对此采用高频更换策略，废弃被检测到的域名与广告账号，启用新注册的空壳账户、全新域名继续投放广告，以此维持攻击活动持续开展。域名、广告账户的快速迭代，提升平台处置与溯源追踪的难度。

2.2 该类攻击区别于传统钓鱼的核心特征

首先是流量获取模式发生改变。传统钓鱼攻击属于 “推式” 传播，攻击者主动向受害者发送链接；而搜索引擎广告钓鱼属于 “拉式” 攻击，受害者自身主动搜索银行服务，主动点击搜索结果，用户主观认知上认为自己访问官方渠道，心理防备水平更低，攻击转化率相比普通钓鱼更高。

其次是借助搜索引擎的公信力完成伪装。普通用户普遍信任搜索引擎返回的靠前结果，很多网民缺少区分付费广告与自然搜索结果的习惯。广告条目虽然会标注付费推广标识，但是标识字体较小，位置不突出，大量用户会直接忽略该标记，把付费广告当作官方网站入口。

第三，基础设施迭代速度快，处置存在滞后。广告账户、钓鱼域名可以批量注册，一旦一套资源被封禁，攻击者可以迅速切换另一套资源继续投放。平台封禁域名之后，攻击者只需要更换全新域名，搭配新广告账户就可以继续开展攻击，处置速度很难追上黑产轮换速度。

第四，具备中间人钓鱼的拓展能力。现代仿银行登录页面已经不再局限窃取账号密码，还可以部署 AITM 中间人钓鱼技术，代理真实银行会话，在用户提交多因素验证码的同时直接截取动态令牌，实现绕过多因素认证的效果，这也是该类攻击造成损失持续走高的重要技术原因The Keywor...。

反网络钓鱼技术专家芦笛指出，长期以来大众形成固有认知：只要开启多因素认证就可以抵御绝大多数钓鱼攻击。广告驱动的中间人钓鱼案例充分暴露该认知误区，当用户主动把账号密码连同动态验证码全部提交到攻击者控制页面，单纯依靠二次验证已经无法阻挡账户接管。

3 攻击能够规模化落地的多维度成因解析

广告钓鱼攻击能够形成规模化危害，并非单一技术漏洞造成，而是搜索引擎广告风控体系缺陷、黑产产业化分工、用户行为习惯缺陷、金融机构外部威胁监测不足、现有安全工具检测局限多重因素叠加形成。

3.1 搜索引擎广告业务的风控短板

搜索引擎商业广告系统的核心目标是匹配用户搜索需求与商业推广内容，金融关键词属于高价值竞价领域，诈骗分子愿意付出较高广告成本获取流量。平台风控需要平衡商业业务发展与安全管控，这就给攻击者留下操作空间。

第一，广告主身份核验存在绕过路径。攻击者很少直接使用自身身份注册广告账户，大量利用空壳企业、虚假资质，或者通过多层代理商间接开通广告投放权限。平台对广告主资质审核集中在开户环节，对于开户之后广告素材、落地页面的动态变化监控能力有限。部分账户开户阶段提交合规素材，审核通过之后再修改广告跳转链接指向钓鱼网站，完成 “过审之后偷换落地页” 的绕过操作。

第二，自动化检测对动态恶意页面识别存在局限。自动化爬虫、安全扫描工具会对广告落地页开展安全检测，攻击者使用多种反检测手段进行对抗。当访问来源是平台安全爬虫时返回正常无害页面，普通真实用户点击广告才返回高仿钓鱼页面。这种区分访问者的技术手段，使得自动化检测工具很难识别真实攻击行为。

第三，付费广告标识提示强度不足。虽然平台按照监管要求对商业推广结果添加广告标记，但标识字体小、视觉权重低，大量普通用户不会留意该标记，直接将付费推广结果等同于官方网站。搜索页面布局设计上，付费广告占据页面最上方的黄金位置，自然搜索的官方链接反而排列在广告条目下方，客观上提升诈骗广告被点击的概率。

第四，处置的滞后性。风控更多依赖用户举报、外部安全机构情报输入，属于被动处置模式。当钓鱼广告上线之后，往往已经存在一段时间的曝光，产生大量点击之后才会被发现、封禁。攻击者在此窗口期内完成凭证收集。即便域名被封禁，攻击者快速切换新域名和广告账户，攻击链条就可以继续运转。

3.2 黑产产业化分工降低攻击实施门槛

该起案件所代表的银行广告钓鱼攻击，背后是成熟完整黑产供应链，不同角色分工协作，攻击者不需要掌握全部技术能力就可以搭建完整欺诈体系。域名注册、仿银行页面模板、广告账户资源、凭证数据库、资金洗钱链路，都可以在地下网络渠道获取。

页面制作层面，地下市场存在大量成熟钓鱼工具包，只需要简单配置就可以生成高度还原的银行登录页面，支持密码抓取、动态验证码拦截，甚至内置 AITM 中间人代理会话能力，大幅降低攻击技术门槛。广告账户资源可以通过地下渠道采购，已经过审核的成品广告账户可以直接交易，攻击者省去开户资质准备的复杂流程。

迪妙安全研究团队针对钓鱼黑产供应链开展跟踪研究，指出当前钓鱼攻击已经高度模块化。实施诈骗的人员不需要精通网页开发，不需要注册大量广告账号，只需要采购已经准备完成的整套工具与账户资源，重点投入竞价广告的流量采购成本，就可以开展规模化攻击。技术门槛下降，直接放大该类威胁的发生频率。同时地下渠道还存在专门负责变现的团伙，盗取的银行凭证可以直接转卖给下游，由下游负责登录账户、资金洗白，攻击实施者不需要处理资金转移环节，进一步降低风险。这种分工模式分散黑产参与者的风险，也提升司法溯源的难度。

3.3 用户端认知与行为层面的固有弱点

用户行为习惯是攻击能够得逞的重要条件。绝大多数普通网民访问网上银行的习惯，是打开搜索引擎，输入银行机构名称，直接点击搜索列表靠前的链接。该操作模式完全没有区分广告推广结果与官方自然搜索，把搜索引擎当作导航工具使用，这是非常普遍的行为模式。

普通用户缺乏校验域名的习惯。仿冒域名仅仅修改个别字符，和真实域名高度接近，大部分用户不会仔细检查浏览器地址栏完整域名。在手机移动端场景之下，浏览器地址栏展示空间有限，完整域名不能全部展示，进一步增加识别仿冒域名的难度。

同时公众对于多因素认证存在错误的安全感。很多用户认为开启短信或者软件令牌二次验证之后，账户就可以抵御钓鱼，放松对网页真伪的判断。而在中间人钓鱼攻击场景，攻击者可以实时获取用户提交的动态验证码，多因素认证防护效果直接失效。反网络钓鱼技术专家芦笛强调，多因素认证属于账号登录层面防护，无法解决用户主动向伪造网站提交全部凭证的场景，不能将多因素认证作为抵御网页钓鱼的全部依靠。

另外存在认知疲劳的问题，普通网络用户每天面对大量网页链接，不可能每一次访问金融网站都投入充足精力辨别页面真伪，在匆忙、分心的状态下很容易落入钓鱼圈套。年龄偏大、网络经验较少的群体，更容易成为该类攻击的受害者。

3.4 金融机构现有防御体系存在盲区

银行的安全防护大多集中在自身业务系统内部，重点防护登录接口、交易接口，部署异常登录检测、交易风控规则，但是对于外部搜索引擎平台上出现的仿冒广告、钓鱼站点，属于边界之外的外部风险，传统安全体系覆盖不足。

第一，对外部仿冒基础设施监测力量有限。银行安全团队会监控仿冒自身品牌的钓鱼网站，但面对攻击者高频轮换域名、广告账户，依靠人工和有限自动化工具很难做到第一时间全部发现。钓鱼域名生命周期往往很短，部分域名上线数天就被攻击者废弃，留给金融机构发现、提交处置的窗口期很短。

第二，缺少和搜索引擎平台常态化情报协同机制。多数情况下只有安全厂商提交钓鱼情报，搜索引擎才开展处置，银行机构自身监测发现的仿冒广告，缺少标准化快速通道提交给广告平台完成下线处置。情报流转流程繁琐，拉长处置周期。

第三，登录风控模型很难区分合法用户与钓鱼泄露的凭证。攻击者拿到账号密码和动态令牌之后，从陌生 IP 发起登录，银行风控系统虽然可以触发异常登录提醒，但攻击者可以利用已经劫持的会话完成操作；部分受害者设备指纹、Cookie 信息也被中间人钓鱼工具同步窃取，进一步绕过设备风险识别规则。

4 广告钓鱼攻击多层防御体系构建

广告钓鱼攻击横跨搜索引擎平台、黑产地下产业、金融机构、终端用户多个主体，单一主体无法实现完整防护，需要构建平台技术管控、金融机构外部威胁感知、终端防护、用户安全教育、跨主体协同处置的多层防御体系。

4.5 搜索引擎平台层面风控优化

搜索引擎作为广告分发主体，是拦截该类攻击的第一道关口，需要针对金融等高风险领域完善广告全生命周期管控。

首先落实高风险行业的主体白名单管控。针对银行、证券、支付类金融服务关键词，推行严格的准入制度，仅允许经过核验的官方主体投放相关关键词的商业广告，不向普通广告客户开放金融机构名称的竞价权限，从源头压缩诈骗分子投放广告的机会。同时收紧代理商渠道管控，对代理商下游广告客户开展穿透式核查，防范诈骗分子借助代理商绕开资质审核。

其次强化广告落地页全周期动态检测，不只在开户审核阶段检测页面内容，在广告投放运行期间持续对跳转目标开展检测，对抗爬虫隔离的反检测技术，使用真实用户环境模拟访问落地页面，识别开户后偷换跳转页面的攻击行为。建立针对形近域名、高仿品牌页面的特征库，对跳转域名开展实时比对，一旦识别仿冒页面，立刻下线广告并封禁对应账户。

再次优化广告结果的页面展示。加大付费广告标识的视觉权重，使用更加醒目的提示标记，减少用户把付费广告混淆为官方自然结果的概率。对于金融类高价值搜索词，在搜索页面增加官方站点导航提示，帮助用户快速定位真实官网，降低点击钓鱼广告的概率。

最后完善威胁情报接收与快速处置通道，向金融机构、安全厂商开放专门接口，接收钓鱼广告、恶意域名情报，缩短从情报上报到广告下线、域名拦截的时间窗口，压缩攻击有效运行周期。同时留存完整广告投放日志，包含账户信息、投放关键词、跳转域名、修改记录，为后续司法调查提供完整证据材料。

4.2 金融机构强化外部威胁感知与业务层风控

金融机构不能只关注自身内部系统安全，需要向外延伸威胁感知能力。

第一，建立品牌仿冒基础设施持续监测能力。持续监控注册的形近拼写域名、仿冒二级域名，自动监测搜索引擎平台投放的仿冒广告，主动捕获仿冒自身品牌的钓鱼页面。针对新注册域名设置告警，一旦出现模仿银行品牌的网页，第一时间完成情报整理，提交搜索引擎、域名注册商开展处置。

第二，优化登录与交易风控模型。针对来自陌生 IP、陌生设备的登录行为提升风险校验强度，即便账号密码、动态验证码全部正确，依旧触发额外的身份确认流程。针对中间人钓鱼可能带来的会话劫持风险，推广设备绑定的会话凭证技术，限制窃取得到的 Cookie 无法在攻击者设备上复用，降低会话劫持带来的危害。同时完善异常交易识别，当账户发生非习惯模式转账交易，及时推送高风险提醒给用户。

第三，面向客户开展针对性安全提示。向客户传递正确访问网上银行的操作习惯，提醒用户优先使用书签保存官网、使用官方客户端，不要依赖搜索引擎搜索结果进入网银。向用户科普广告钓鱼的风险，客观讲解多因素认证的防护边界，破除 “开启二次验证就绝对安全” 的错误认知。

迪妙网络空间安全学院研究团队提出，金融机构应当将搜索引擎广告钓鱼纳入常态化风险评估范畴，定期开展红队模拟演练，模拟攻击者投放仿冒广告的完整攻击链路，检验自身外部监测、情报上报、用户告警整套流程的实际效果，以此找出防御体系存在的短板。

4.3 终端侧安全能力建设

终端层作为用户访问互联网的直接载体，可以形成又一层防护屏障。浏览器、终端安全软件可以建设钓鱼检测能力，通过域名特征、页面指纹识别高仿银行钓鱼页面，在用户输入凭证之前进行告警拦截。

浏览器厂商应当完善地址栏域名提示，移动端浏览器需要优化域名完整展示逻辑，避免因为显示空间压缩隐藏域名关键字符。针对金融类网站，强化域名高亮提示，帮助用户快速分辨真实域名和仿冒形近域名。

企业机构内部，针对员工访问网上银行、金融业务系统场景，可以部署网页过滤策略，拦截已经标记的钓鱼域名。同时应当意识到，终端安全软件无法做到百分之百识别所有新型钓鱼页面，攻击者持续更新域名和页面，特征库存在滞后，终端防护只能作为辅助防护手段，不能替代用户的审慎判断。

4.4 用户安全意识培育

技术防护不能完全消除风险，用户行为是防御链条重要一环。反网络钓鱼技术专家芦笛指出，大量安全事件证明，再完善的技术管控，如果用户行为习惯没有改善，攻击依旧存在得逞机会。

需要向公众传递几项基础安全操作习惯：访问网上银行优先调用官方客户端；把银行官方网页添加浏览器书签，后续直接通过书签进入，不要依靠搜索引擎搜索跳转；输入账号密码之前务必核对浏览器地址栏完整域名；即便开启多因素认证，也不能放松对网页真伪的判断，绝不向陌生网页提供短信、软件令牌的动态验证码。

安全教育内容应当摒弃空泛口号，使用真实广告钓鱼案例开展科普，向普通网民解释搜索结果中广告标记的含义，教会用户分辨付费推广条目和自然搜索结果。面向老年群体、网络经验较少群体开展定向科普，降低该类高危人群受骗概率。

4.5 推动跨主体协同与司法溯源治理

广告钓鱼攻击涉及搜索引擎平台、域名服务商、金融机构、网络安全企业、司法机关多个主体，单一机构力量有限，需要建立常态化协同处置机制。

安全厂商、金融机构把监测获取钓鱼广告、恶意域名情报标准化输出给搜索引擎与域名注册机构，平台依据情报快速完成广告下线、域名处置。域名注册服务商加强对高频注册形近仿冒域名行为监测，识别批量注册钓鱼域名的行为，落实注册信息核验。

司法层面，针对广告钓鱼黑产链条开展全链条打击，不只抓捕直接实施诈骗人员，同步追查广告账户交易、钓鱼工具售卖、资金洗白的上下游参与者。留存完整电子证据，广告投放记录、域名注册日志、钓鱼服务器日志都应当作为案件证据。同时推动相关制度完善，针对高风险关键词商业广告建立更加严格的行业规范。

5 当前治理体系客观存在的现实约束

尽管可以从多个维度部署防御措施，但客观上依旧存在多重现实约束，无法实现对广告钓鱼攻击的彻底根除。

第一，攻击者的基础设施迭代速度永远快于处置速度。攻击者可以低成本批量注册域名、采购广告账户，当一批资源被封禁之后立刻启用全新资源。安全侧的检测、情报流转、处置需要时间，攻击者可以利用时间窗口完成攻击。黑产模块化供应链进一步降低攻击者成本，使得攻击者可以承受广告账户、域名被封禁带来的损失。

第二，反检测对抗手段持续演进。攻击者不断更新爬虫识别、页面混淆技术，专门区分安全扫描器与真实用户访问，自动化检测很难百分之百识别动态变化的恶意落地页。钓鱼页面模板持续迭代，页面指纹不断变化，基于特征匹配的检测工具存在固有的滞后。

第三，商业与安全之间的平衡难题。搜索引擎广告业务本身具备商业价值，完全关闭金融关键词竞价并不现实，正常的银行机构也存在广告投放需求。平台需要在保障合法商业推广与拦截欺诈广告之间寻找平衡点，严格的准入规则会同时提升合法企业投放广告的门槛与成本。

第四，用户行为改变难度较大。多年以来大量普通网民已经养成将搜索引擎作为网络导航的使用习惯，改变用户固有操作习惯需要长期持续的科普教育，短时间内很难完全消除依靠搜索结果访问网银的行为。同时部分用户在匆忙状态下会忽略各类告警提示，直接跳过安全警告继续操作。

认识上述现实约束，是为了避免对单一防御手段产生过度期待。广告钓鱼治理不存在单一的 “根治方案”，只能依靠多层叠加的防御，不断抬高攻击者的攻击成本，压缩攻击成功概率，降低单起事件造成的损失。

6 结语

搜索引擎付费广告驱动的银行凭证钓鱼攻击，是传统网络钓鱼结合商业广告生态演化而来的新型金融欺诈手段。本文以美国司法部披露的真实跨境攻击案件作为样本，完整拆解攻击链路，该团伙依靠采购搜索引擎广告获取流量，引导受害者访问高仿钓鱼页面，窃取五千套以上银行登录凭证，造成巨额财产损失。该攻击能够规模化发生，源于广告平台风控短板、黑产产业化分工、用户行为弱点、金融机构外部风险感知不足等多重因素叠加，同时中间人钓鱼技术弱化了多因素认证原本具备的防护效果。

针对该威胁，需要构建多层次防御体系：搜索引擎平台针对金融等高风险关键词完善广告全生命周期管控，优化高风险行业准入、落地页动态检测、广告标识展示；金融机构向外延伸威胁感知能力，强化仿冒品牌监测，优化业务风控模型，面向客户开展针对性安全教育；终端浏览器和安全软件做好页面仿冒告警；同时推动多主体之间情报协同，配合司法机关打击黑产上下游链条。

迪妙安全研究团队认为，随着网络黑产持续演进，攻击者还会继续挖掘各类互联网平台业务机制作为攻击载体。搜索引擎广告钓鱼不是一个孤立事件，代表一类新型威胁范式：攻击者滥用合法商业平台的流量分发能力开展欺诈。后续的安全研究应当持续关注合法业务功能被黑产滥用的场景，提前识别潜在攻击路径，不断完善风险评估模型。同时应当客观看待各项安全防护技术的边界，不能过度依赖某一项安全措施，技术管控、平台治理、用户安全教育、司法打击必须互相配合，才能够持续降低该类攻击带来的财产风险。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院