BigBear 2.0 AiTM 钓鱼攻击对 Microsoft 365 的威胁与防御研究

摘要钓鱼即服务PhaaS模式推动中间人对抗AiTM钓鱼攻击实现产业化落地传统多因素身份认证MFA防护机制面临现实挑战。本文以 BigBear 2.0 大规模钓鱼事件作为实证样本梳理该攻击平台的基础设施架构、攻击链路、受害分布与黑产运营模式剖析 AiTM 代理劫持会话 Cookie 实现绕过 MFA 的内在机理阐释该攻击区别于传统凭证窃取钓鱼的核心差异。研究发现BigBear 2.0 依托 Evilginx2 框架与 offy 配置模板借助住宅代理、合法 TLS 证书完成对抗逃逸累计采集 5137 条凭证记录波及 461 家来自 40 余个国家的组织机构其中 258 家机构发生 MFA 被成功绕过的账号接管事件。本文从身份认证机制、安全产品短板、组织管理缺陷三个维度解析攻击得逞的底层诱因结合攻击全链路提出覆盖事前风险管控、事中行为检测、事后应急处置的闭环防御路径同时讨论 PhaaS 黑产扩张带来的治理难题。反网络钓鱼技术专家芦笛指出AiTM 类钓鱼攻击不破解身份校验算法而是劫持合法会话上下文单纯依靠 MFA 已经无法构建完整身份防护屏障。本研究可为企业 Microsoft 365 云身份安全建设、安全运营优化提供实证参考。关键词AiTM 攻击钓鱼即服务Microsoft 365会话劫持多因素认证绕过1 引言云办公生态普及背景下Microsoft 365 已经成为全球各类组织主流协同办公平台Exchange Online 邮件、Teams 即时通信、SharePoint 文档库、OneDrive 云存储依托 Entra ID 完成统一身份管理单一账号承载邮件、业务文档、内部沟通、单点登录第三方业务系统等多重访问权限账号被劫持之后的连锁危害持续放大。为抵御账号被盗风险绝大多数企业将多因素身份认证作为基础安全基线行业普遍认知中开启 MFA 即可大幅降低凭证泄露带来的账号接管风险。但伴随钓鱼即服务黑产工具链成熟对抗中间人 AiTM 钓鱼技术逐步商业化攻击者不再以窃取账号密码为唯一目标转而致力于拦截用户完成 MFA 校验之后服务器下发的有效会话 Cookie复用 Cookie 直接接管已建立完成的云会话该攻击模式能够在用户完整完成全部身份校验流程之后实现账号入侵打破 MFA 的防护假设。2026 年 6 月安全研究团队 CloudSEK 获得 BigBear 2.0 钓鱼平台后台管理面板访问权限获得该攻击行动完整运营数据为解析商业化 AiTM 钓鱼的真实运作状态提供珍贵实证素材。该平台专门面向 Microsoft 365 生态开发以租赁模式分发给多个黑产合作人员使用攻击活动波及全球四十多个国家大量 IT 服务商成为重点攻击目标。IT 服务商本身掌握大量下游客户基础设施访问权限一旦被攻陷极易触发供应链式次生安全事件进一步放大攻击危害范围。过往大量安全研究集中于传统密码钓鱼、设备码钓鱼等攻击模式针对商业化 PhaaS 平台驱动的 AiTM 大规模实战攻击的实证分析相对有限。很多组织机构安全建设仍停留在 “部署 MFA 即可抵御钓鱼接管” 的固有认知对会话劫持类攻击的风险认知不足安全策略、检测规则没有适配该类新型威胁。基于此本文以 BigBear 2.0 公开事件材料为基础还原攻击全流程分析技术实现逻辑、黑产商业模式、组织侧防御短板构建适配 AiTM 钓鱼威胁的防御闭环。本文不聚焦漏洞挖掘而是立足于真实攻击事件探讨云身份体系在社会工程 中间人代理联合攻击下的防护缺口为企业云安全运营提供可落地的思路。2 BigBear 2.0 攻击事件全景梳理2.1 事件基本概况BigBear 2.0 属于商业化 PhaaS 平台开发人员对外出租整套钓鱼基础设施下游多个攻击者作为平台分销使用者开展钓鱼作业平台别名操作者代号为 General Boss至少五组下游攻击者通过 Telegram 机器人实时接收窃取到的凭证与会话数据实现攻击载荷、基础设施、数据接收通道的一体化交付下游使用者不需要深度掌握代理开发、钓鱼页面搭建的底层技术只需要发送钓鱼诱饵即可开展攻击显著降低高级钓鱼攻击的技术门槛。安全研究人员在 2026 年 6 月发现该平台并且获取平台管理后台得以统计攻击完整成果数据。平台后台记录 5137 条窃取记录数据集合存在交叉重叠包含 1032 份明文账号密码、4148 条有效会话 Cookie一共 474 条记录对应完整 MFA 校验完成之后被劫持的登录会话对应 258 家组织机构发生真实账号接管。全部攻击记录关联 461 个受害机构受害 IP 来源覆盖全球超过 40 个国家印度、法国、沙特阿拉伯、新西兰、德国受害数量居于前列IT 服务行业、托管服务商是被攻击的重点对象该类机构的账号具备横向渗透到下游客户环境的能力具备极高黑产价值。平台运行生命周期内部署 42 台专门针对 Microsoft 365 配置的 VPS 节点节点主要托管于 Vultr 服务商节点承担反向代理流量中转工作。攻击域名全部申请合法 Let’s Encrypt TLS 证书钓鱼页面连接全程加密从传输层规避简单明文特征检测手段浏览器地址栏不会出现证书告警进一步提升页面欺骗性。2.2 BigBear 2.0 完整攻击链路BigBear 2.0 攻击流程区别于传统钓鱼传统钓鱼伪造登录页面收集账号密码用户提交凭据之后攻击结束如果目标开启 MFA攻击者拿到密码依旧无法登录系统。BigBear 2.0 基于 AiTM 对抗中间人代理全程在受害者与微软官方认证服务之间转发双向流量完整攻击链路分为诱饵投递、代理会话建立、凭据与会话劫持、数据外传、账号滥用五个阶段。第一阶段攻击者向目标用户投递钓鱼诱饵邮件或者消息诱饵伪装成微软官方安全通知、文档共享提醒、工单通知等办公高频场景诱导受害者点击恶意域名链接。用户点击链接之后访问 BigBear 平台管控的钓鱼域名该域名前端展示的不是静态仿制页面而是通过反向代理实时镜像微软官方登录页面页面视觉效果、交互逻辑和真实登录页面几乎没有差异。第二阶段受害者在代理转发的页面输入账号、密码输入内容首先提交到攻击者控制的反向代理服务器代理一方面留存明文账号密码另一方面把用户的登录请求原样转发至微软 Entra ID 官方认证接口。微软服务器返回 MFA 校验请求这个 MFA 弹窗同样由代理转发回受害者浏览器受害者按照正常操作完成二次身份校验例如输入验证码、完成推送确认。在整个交互过程用户主观感受是正在和微软官方服务交互无法感知中间存在攻击者代理节点。第三阶段当用户密码正确并且 MFA 验证通过微软认证服务器生成有效的身份会话 Cookie该 Cookie 代表用户已经完成全部身份核验具备访问 Microsoft 365 全部服务的权限。正常流程中 Cookie 会下发到受害者本地浏览器但是 AiTM 代理处在通信链路中间在 Cookie 抵达受害者浏览器之前将其截获保存之后再把 Cookie 转发给用户浏览器保证用户侧登录流程表面正常完成。很多受害者完成登录之后没有任何异常感知不会意识到身份会话已经同步被攻击者获取。第四阶段平台把截获的密码、Cookie、会话元数据通过 Telegram 机器人实时推送给下游黑产使用者攻击者拿到会话 Cookie不需要知道用户密码不需要再次通过 MFA 校验直接复用 Cookie 在自有浏览器发起访问即可登录受害者的 Microsoft 365 租户。平台后台同时记录受害者 IP、访问时间、目标机构相关信息方便攻击者筛选高价值受害账号。第五阶段攻击者接管账号之后开展后续恶意活动。访问受害者邮箱读取邮件检索财务往来信息发起商务邮件欺诈查看 Teams 内部聊天记录收集企业内部业务信息读取 SharePoint、OneDrive 存储的业务文档依托该账号已经完成的单点登录访问租户绑定的第三方业务应用。攻击者还可以利用该账号向企业内部同事继续发送钓鱼邮件以已被攻陷的内部账号身份开展二次钓鱼提升邮件可信度以此在组织内部横向扩散。部分场景下该账号还会被用于收集情报为后续勒索软件部署做前期侦查铺垫。2.3 关键技术配置与逃逸手段BigBear 2.0 核心技术底座是开源工具 Evilginx2平台使用专门定制的 offy 配置模板模板内部嵌入三段自定义 JavaScript 注入脚本专门适配 Microsoft 365 认证流程完成会话劫持逻辑这套配置就是实现 AiTM 攻击的核心载体。很多安全从业者会混淆 AiTM 攻击与普通中间人攻击普通中间人攻击一般依靠 ARP 欺骗、网络劫持等手段篡改局域网流量而 Evilginx2 类 AiTM 钓鱼不需要控制受害者本地网络依靠受害者主动访问恶意域名在应用层完成代理转发受害者网络环境、终端设备本身不需要被入侵攻击门槛显著降低。反网络钓鱼技术专家芦笛指出AiTM 钓鱼攻击最大迷惑性在于用户完整走完官方全部身份验证步骤密码输入正确MFA 确认操作全部完成用户主观层面认为自身防护操作已经全部到位但是攻击者拿到的是服务端下发的合法会话凭证MFA 校验已经执行完毕无法再对复用 Cookie 的攻击者生效。除核心代理框架之外平台部署多层逃逸手段规避安全检测。攻击链路调用匹配受害者地理位置的住宅代理池来源 IP 分布于 69 个国家攻击者复用窃取的 Cookie 访问微软服务的时候流量出口 IP 地理位置和受害者真实登录 IP 地域特征保持一致。Microsoft Entra ID 内置的条件访问策略中地理位置异常告警是重要检测规则地域匹配的住宅代理能够弱化该条安全控制的告警触发概率降低账号接管之后被安全系统识别的可能性。同时钓鱼域名部署合法可信证书传输全程 HTTPS 加密邮件网关、网络代理设备很难从流量内容层面识别代理内部转发的真实交互传统基于特征库、恶意 URL 黑名单的防护手段存在明显局限。3 BigBear 2.0 攻击能够大规模得逞的诱因分析BigBear 2.0 造成数百机构受害并非单一漏洞导致是黑产工具产业化、云身份机制客观局限、企业安全配置缺陷、用户认知偏差多重因素叠加形成的结果。从技术机制、安全产品能力边界、组织管理、黑产产业环境四个层面展开分析厘清攻击生效完整逻辑为后续防御策略提供分析基础。3.1 云身份会话机制带来攻击可行性Microsoft 365 依托 Cookie 维持登录会话生命周期。当用户密码、MFA 全部校验通过身份服务签发会话 Cookie后续一段时间内浏览器凭借 Cookie 直接访问各类云服务不需要反复提交账号密码与 MFA 验证码该设计的初衷是优化用户体验减少重复认证频次是绝大多数 Web 云服务通用设计思路。AiTM 代理攻击利用该机制的特点MFA 只负责完成初次身份核验核验通过之后生成的会话 Cookie 具备独立权限系统不会对每一次业务访问重复触发 MFA 校验。MFA 的防护逻辑建立在 “只有合法用户本人能够完成二次校验” 这一前提传统钓鱼场景攻击者无法拿到 MFA 动态码即便窃取密码依旧无法登录。AiTM 攻击并不破解 MFA 算法也不需要暴力破解验证码它诱导受害者本人完成全部 MFA 操作再窃取操作完成之后生成的会话凭证。此时 MFA 已经完成自身工作无法对后续 Cookie 复用行为做二次拦截这就造成即便开启 MFA账号依旧存在被接管风险。需要厘清该现象不代表 MFA 完全失去价值MFA 依旧可以防御密码泄露、密码爆破等攻击但是无法抵御 AiTM 代理劫持会话的攻击路径。同时Microsoft 365 身份体系是单点登录架构一份会话 Cookie 可以打通邮箱、协同工具、云盘以及第三方 SaaS 业务系统单点失守带来连锁权限扩散。一旦攻击者拿到有效会话就可以访问多个业务应用放大安全事件损失。3.2 传统安全防护体系的能力短板当前大量企业部署的安全防护组件对 AiTM 钓鱼存在多处检测盲区。邮件安全网关主要依靠恶意 URL 黑名单、邮件关键词、附件沙箱检测威胁。但 BigBear 2.0 的钓鱼域名生命周期短黑产快速轮换域名黑名单入库存在时间差大量全新域名无法被黑名单识别。诱饵邮件内容不携带恶意附件只是普通超链接没有明显高危关键词很多诱饵模仿内部办公通知语义层面不存在明显恶意特征邮件网关难以做有效识别。终端侧安全工具更多聚焦恶意程序、病毒木马检测AiTM 钓鱼不需要在终端落地任何恶意软件全程发生在浏览器网页交互终端杀毒软件没有检测抓手。网络层面全部流量走 HTTPS 加密网关设备无法解密读取代理内部转发页面交互逻辑不能识别页面属于反向代理镜像站点。很多企业过度依赖 MFA将开启 MFA 当作云身份安全的终点没有配套建设会话异常检测、条件访问精细化管控缺少针对会话 Cookie 被盗之后的检测与处置手段。反网络钓鱼技术专家芦笛强调MFA 属于身份认证环节的防护不能等同于完整身份安全认证完成之后的会话生命周期管控同样不可缺失很多组织把防护重心放在登录瞬间忽略登录成功之后账号行为风险。3.3 组织机构安全运营层面存在的现实缺陷从受害机构分布来看大量受害企业完成 MFA 部署但是缺少配套的安全运营能力。第一条件访问策略配置粗放仅简单开启 MFA没有配置风险登录的复合判定逻辑没有启用令牌生存期管控被盗 Cookie 能够在有效期内持续被攻击者利用。第二安全运维团队缺少针对云身份日志持续分析的能力Entra ID 会留存登录源 IP、客户端信息、访问行为日志但是很多中小企业没有专职人员持续审计日志账号被劫持之后很长时间无法发现异常访问行为。攻击者使用被盗 Cookie 访问账号登录日志会留存异常客户端标识、异常访问行为只是需要运营人员主动开展分析研判。第三安全意识培训内容更新滞后。多数企业钓鱼培训依旧集中提醒员工不要输入密码到陌生网站没有向员工科普 AiTM 钓鱼的存在员工即便牢记不泄露密码依旧会落入代理钓鱼陷阱。用户看到浏览器地址栏显示 HTTPS 安全锁就主观判定网站可信不懂得区分域名本身真伪。很多员工对于 “就算完成 MFA 也有可能账号被盗” 缺少认知完成二次校验之后就放下警惕心理。第四针对高权限账号缺少额外约束。IT 服务商、托管机构的运维账号权限很高一旦被攻陷形成供应链攻击但是很多机构高权限账号和普通员工账号使用相同一套身份防护策略没有做额外加固。3.4 钓鱼即服务产业化降低高级攻击门槛在 PhaaS 模式出现之前开展 AiTM 类高级钓鱼攻击者需要掌握反向代理开发、钓鱼页面适配、基础设施运维等多维度技术攻击门槛较高参与者以专业高级威胁团伙为主。BigBear 2.0 代表的商业化平台把复杂技术全部封装成服务平台维护 VPS 节点、代理池、钓鱼模板、数据接收机器人下游购买服务的攻击者只需要生成钓鱼链接制作诱饵邮件开展投递不需要理解底层代理实现原理普通黑产从业者也能够实施具备 MFA 绕过能力的高级钓鱼攻击。平台采用多租户租赁模式一套基础设施同时交付给多个攻击者使用摊薄硬件与运维成本进一步降低单次攻击成本。黑产工具公开流转攻击技术快速扩散AiTM 攻击从少数高级团伙的专属手段逐步变成广泛普及的攻击模式这是近年来该类攻击爆发增长的产业层面根源。4 面向 AiTM 钓鱼的 Microsoft 365 闭环防御体系构建针对 BigBear 2.0 呈现的攻击特征防御不能只依靠单一控制点需要构建覆盖攻击前风险预防、攻击发生时实时检测、事件发生后快速处置、长期持续优化的闭环体系。防御目标分为两层一是尽可能阻止用户接触并落入钓鱼陷阱二是即便发生会话 Cookie 被盗也能够限制攻击者利用权限缩短攻击者驻留时间降低实际业务损失。4.1 事前身份基线加固与攻击入口风险管控事前管控目标为提升攻击实施门槛压缩攻击者可利用的技术空间。首先完成 Microsoft Entra ID 条件访问策略精细化配置。不可仅仅满足于开启 MFA应当启用无密码认证路径优先推广 FIDO 安全密钥登录。FIDO 密钥协议本身能够抵御 AiTM 中间人代理攻击密钥校验绑定域名信息代理镜像的钓鱼域名无法完成密钥身份校验从协议层面阻断 AiTM 劫持路径是对抗该类攻击最有效的技术手段。对于暂时无法全面部署安全密钥的组织需要严格限制刷新令牌生命周期缩短会话 Cookie 有效时长即便 Cookie 被窃取可用时间窗口被压缩减少攻击者作恶机会。配置条件访问风险策略对异常客户端、不常见地理位置、匿名代理 IP 访问行为实施额外拦截或者二次校验需要注意住宅代理会伪造地理位置地理位置校验只能作为多维度判断因子不能作为唯一判断依据。其次强化邮件入口的安全防护。完成 SPF、DKIM、DMARC 域名邮件身份校验配置防范外部攻击者仿冒企业内部邮箱发送钓鱼邮件。邮件安全网关不能只依赖静态黑名单引入邮件内容语义分析、发送者行为画像重点针对文档共享、安全告警类高风险诱饵场景做专项检测。同时部署浏览器端安全扩展组件对用户访问页面的域名做实时校验及时向用户告警仿冒微软登录的恶意域名弥补浏览器仅校验证书可信性的缺陷。再者优化组织内部安全意识教育。传统钓鱼培训内容需要迭代升级不能仅仅强调 “不要泄露密码”应当向员工科普 AiTM 钓鱼基本逻辑告知员工即便输入正确密码、完成 MFA 确认依旧存在账号被盗的可能性。培训重点训练员工核验完整域名的能力不能仅凭 HTTPS 安全锁标识判断网站真伪针对高权限运维人员开展专项培训。定期组织模拟 AiTM 钓鱼演练检验员工实际风险识别能力。反网络钓鱼技术专家芦笛指出安全意识培训无法做到杜绝人为失误人的认知偏差客观存在意识教育属于补充防线不能替代底层身份技术加固必须技术管控与人的教育两者并行。最后梳理租户内部高权限账号对管理员账号、托管服务商运维账号实施重点保护优先部署 FIDO 密钥限制高权限账号的登录来源范围缩减该类高价值目标被攻陷之后带来的连锁危害。4.2 事中多维度行为检测识别已被劫持会话当用户已经点击钓鱼链接Cookie 已经被攻击者窃取事中检测的目标是尽早识别攻击者异常访问行为在攻击者大规模窃取数据、横向渗透之前发现风险。单纯依靠传统静态特征无法识别 AiTM 攻击检测思路需要从识别钓鱼页面转向识别账号登录之后的异常行为依托 Entra ID 审计日志构建多维度研判规则。第一客户端指纹比对。正常用户长期使用固定终端浏览器访问 Microsoft 365攻击者复用窃取 Cookie 访问会出现全新陌生客户端标识。同一套会话 Cookie 短时间内来自两个完全不同地域、不同客户端环境的访问记录是 AiTM 钓鱼之后非常典型的告警信号安全运营人员需要重点关注该类日志。第二账号行为基线对比。基于历史访问数据建立每个账号的行为基线包括访问时间段、访问的业务模块、邮件收发特征、文档下载行为。当账号出现非工作时段大批量下载 SharePoint、OneDrive 文档短时间大量读取历史邮件批量向外部联系人发送邮件Teams 大量新增外部联系人触发异常告警。需要注意单条行为不足以判定入侵需要多指标交叉确认减少误告警。第三针对令牌生命周期做监控审计关注异常令牌生成记录定期审计租户内部全部应用授权记录及时清除非业务需要的第三方授权应用。攻击者拿到会话之后有可能申请新的刷新令牌持久维持访问权限及时发现非预期令牌生成事件就可以尽早开展处置。企业应当保障安全运维人员能够持续访问云身份审计日志。对于中小企业缺少专职安全团队的情况下合理启用微软内置的身份保护告警设置告警的推送渠道保证异常事件可以及时触达运维负责人避免日志只存储不分析安全告警长期无人处置。4.3 事后标准化应急响应流程一旦告警提示账号存在被 AiTM 钓鱼劫持嫌疑需要执行标准化应急处置流程最大程度降低损失。第一步立刻吊销该账号全部现存会话令牌与刷新令牌。仅仅修改账号密码不足以终止攻击者访问AiTM 攻击场景攻击者持有的会话 Cookie 与刷新令牌在有效期内不受密码修改影响只有执行令牌吊销操作才能强制踢除攻击者已建立的会话。很多组织处置钓鱼事件时只重置密码忽略令牌吊销导致攻击者依旧可以继续访问系统这是事件处置中高频出现的失误。第二步冻结风险账号开展全面取证。导出该账号全部登录日志、访问记录梳理攻击者登录时间段确认攻击者访问了哪些邮箱、文档、联系人判断是否存在内部数据外泄检查账号是否创建新用户、授予额外权限、创建第三方应用授权排查攻击者是否建立后门维持长期访问通道。同时检查该账号是否向企业内部其他人员发送钓鱼邮件评估内部二次扩散风险。第三步评估事件影响范围。如果该账号属于托管服务商需要核查是否存在对下游客户系统的访问行为评估供应链次生事件风险。完成处置之后恢复账号使用权限强制该用户重新完成身份校验优先使用 FIDO 密钥完成登录。第四步事件复盘溯源。复盘诱饵来源、攻击链路检查现有防护策略存在哪些缺口针对性优化邮件网关规则、条件访问策略、安全培训内容实现安全事件驱动防御体系迭代完成防御闭环。4.4 对抗 PhaaS 黑产的治理层面局限与补充思考技术防御可以提升攻击门槛、降低受害概率但无法完全根除 PhaaS 黑产。BigBear 2.0 这类平台依托全球分布的 VPS 服务商、住宅代理服务商、域名注册服务基础设施分散在不同司法辖区溯源打击存在现实障碍。恶意域名快速注册、轮换传统黑名单的拦截效率被持续削弱。从组织视角企业无法单方面完成黑产产业链打击需要把重点放在降低自身被攻击之后的损失上限。除技术手段之外做好数据分级管控核心业务文档设置权限隔离即便单个普通员工账号被劫持攻击者也不能直接拿到全部核心业务数据。定期做租户安全配置审计排查身份体系错误配置缩减攻击面。行业机构共享 AiTM 钓鱼的威胁情报交换恶意域名、代理节点信息提升全行业对该类攻击的识别能力。5 结语BigBear 2.0 作为 PhaaS 产业化之后的代表性 AiTM 钓鱼实战案例直观展现出云时代网络钓鱼的演化方向。攻击者不再追求漏洞利用更多依靠社会工程与身份协议特性结合绕开大众寄予厚望的 MFA 防护完成大规模账号接管。该事件并不证明 MFA 失去防护价值而是揭示一个客观现实MFA 是登录环节的关键屏障但不能覆盖登录成功之后整个会话生命周期的全部风险云身份安全需要由认证、会话管控、行为检测、应急处置共同组成完整防线不能将安全建设简化为开启 MFA 这一项操作。本文通过对 BigBear 2.0 攻击全链路拆解可以看到AiTM 钓鱼攻击的技术逻辑并不复杂但 PhaaS 商业模式把技术门槛向下转移让具备 MFA 绕过能力的高级攻击工具可以被大量普通黑产从业者获取威胁覆盖面被持续放大。反网络钓鱼技术专家芦笛指出未来针对云办公平台的钓鱼攻击还会持续迭代攻击者会持续优化诱饵、改进代理逃逸手段安全防护思路也需要动态调整从静态特征检测向行为、意图、协议层面的深度校验演进。对于各类使用 Microsoft 365 的组织机构应当正视 AiTM 钓鱼的现实威胁优先推进 FIDO 无密码密钥部署精细化配置条件访问策略建立云身份日志审计机制迭代安全意识培训内容完善账号劫持事件的应急处置流程。同时做好数据权限隔离约束单点账号失守带来的连锁破坏。面对钓鱼即服务跨地域黑产链条单一企业技术防护存在边界行业威胁情报共享、上下游服务商安全协同同样具备重要价值。本文基于公开事件材料完成分析希望能够为国内企业云身份安全建设提供实证参考帮助组织补齐针对 AiTM 中间人钓鱼的防护短板。编辑芦笛公共互联网反网络钓鱼工作组 来源迪妙网络空间安全学院