一封来自戴尔或史泰博的订单确认邮件，发件域名是真的，邮件设计是真的，连邮件认证都通过了。但邮件里那串让你打电话取消订单的客服号码，可能属于攻击者。

打开网易新闻 查看精彩图片

思科 Talos 研究人员在 10月21日发布的报告中记录了两轮此类活动，涉及约 1400 封邮件。报告作者为 Diana Brown。研究人员将其定性为钓鱼与电话诈骗，而非已确认的恶意软件感染。

手法并不复杂：攻击者不伪造邮件，而是把诈骗指令塞进订单详情里，让可信的零售系统替自己把内容送达收件人。邮件描述的是收件人可能并不认识的昂贵购物，目的只有一个——让收件人拨打所谓的客服电话去取消订单。

史泰博的样本是一笔苹果 iPad 订单，带有订单号、配送信息、价格、账单信息和零售商的标准页脚。可疑指令出现在通常用于填写配送或账单数据的字段里。

戴尔的样本遵循同样的套路，描述的是一笔售价 736.09 美元的 Microsoft Project Standard 2024 采购。其配送和账单部分包含订单确认措辞和一个所谓的求助热线，使这个电话号码看起来像是既有销售流程的一部分，而不是外部诈骗者的号码。

两个样本都不依赖诱导收件人点击明显的钓鱼链接。攻击者预期的下一步是电话。一旦沟通离开邮件，攻击者就可能尝试支付诈骗、密码窃取或远程协助诈骗。Talos 并未确认这两轮活动中实际发生了哪些后续动作。

史泰博那封邮件显示 DKIM 认证对齐，并通过了 DMARC 检查。戴尔相关基础设施同样通过了 DKIM，其订单域名通过了 DMARC。这些结果支持邮件表面上的来源，但并不能证明购买详情或内嵌的客服指令是真实的。

Talos 把这种手法称为“平台即代理”滥用：攻击者提供误导性内容，可信服务负责投递。这一区分对邮件安全很关键——SPF、DKIM 和 DMARC 帮助判断发送基础设施是否符合预期，但它们不判断一个配送字段里该不该出现取消指令，不判断一笔购买是否合理，也不判断列出的电话号码是否属于零售商。

同样的弱点此前已出现在 GitHub 和 Jira 通知中：攻击者把有害内容放进字段，合法服务随后将其纳入自动邮件。Talos 还描述了注册滥用——攻击者把诈骗文本填入姓名、公司或项目字段，自动欢迎邮件再把这段文本原样发给收件人。

在某些情况下，列表轰炸不再只是收件箱骚扰：合法的注册邮件本身成了攻击者控制消息的载体。Talos 还在一封投递失败通知中发现了以 WeTransfer 为主题的诱饵，把问题延伸到退回邮件内容。

Talos 的建议是：在存储用户可控字段之前检查一次，在生成邮件之前再检查一次。当地址或姓名字段中出现意外的电话号码、链接、紧急措辞和客服指令时，应触发审核。安全网关应检查完整邮件，包括嵌套在投递报告中的内容，而不是只信任外层发件人。

对普通收件人来说，可操作的判断点很直接：一封订单邮件是否可信，不能只看它是不是真的从戴尔或史泰博发出。邮件里让你拨打的号码、让你执行的取消操作，才是需要单独核实的部分。