摩纳哥银行遭高仿钓鱼围猎：从会话劫持到身份接管的攻击链复盘-北京尧图网络

开头先用一段话来定调。这起事件的公开信息其实不多但安全社区里关心金融对抗的人几乎一眼就看出这案子背后是完整的攻击链不是哪个小毛贼随手搭个假网页。摩纳哥银行这次遭到的“高仿”钓鱼围猎表面上看是客户被诱导着输入了网银账号密码实际发生的事远比“泄密”严重得多攻击者拿到手的是一整套可以持续伪装的数字身份凭证包括登录凭据、会话令牌、设备指纹信息甚至可能还有动态口令。我把这类攻击在新的框架下重新梳理了一遍逐个环节还原它到底怎么运作、为什么传统防护拦不住、以及全球银行和个人用户能吸取什么教训。文章会比较长因为里面牵扯到身份认证体系、DNS基础设施、浏览器信任机制和银行风控链路值得彻底拆开讲。1. 先摘掉“钓鱼”的帽子这次攻击的核心不再是骗密码而是接管身份1.1 钓鱼攻击已经进入“身份劫持时代”传统认知里的钓鱼攻击攻击者伪装成银行给客户发短信或邮件诱导对方点击链接进入仿冒页面输入账号密码和短信验证码然后攻击者拿这些信息到真实银行登录把钱转走。这条套路存在十几年了技术上没什么新鲜感银行端也有大量成熟的反欺诈规则比如同一设备短时间内登录多个账号会触发告警常用设备更换后要求二次验证。但这次摩纳哥银行的案子走的完全是另一条路线。从情报社区复原的攻击链条来看它是典型的“中间人会话劫持”攻击者不是等用户主动提交信息后再去银行登录而是把自己埋进用户和真实银行之间的那条通信链路里实时中转请求和响应。你输入的密码、银行返回的会话Cookie、页面发起的每一次Token刷新都会被完整“复制”一份。结果就是当受害客户以为自己在安全地查余额、转账时攻击者正同步操作着一个一模一样的克隆会话。换句话说钓鱼已经不再满足于“盗号”而是直接“接管身份”。想象一下这个差别传统盗号是有人偷了你家的钥匙趁你不在家进屋搬东西你一回家就会发现门锁异常、东西丢了而身份劫持是有人在你住着的时候用一套他复制的钥匙打开了你家隔壁的暗门在你不察觉的情况下把家具一件件运走。整个过程你全程居住在家里门锁没坏、警报没响但东西确实不在了。1.2 这起案件中最关键的三层错位我复盘这类攻击时习惯把它拆成三个环节去看信号层、身份层、授权层。信号层是攻击者接触到受害者的第一步他们伪装成银行发送通知制造紧急事件逼用户点击身份层是攻击者获取并保持登录状态的关键需要拿到可复用的会话凭据授权层是资金转移的最后一关正常情况下银行会在这里布下最重的风控。传统钓鱼往往在信号层骗到了身份层的信息却在授权层被银行的风控拦截而这次攻击的狠辣之处在于它把三层全部打通了。第一层错位在于“高仿网站的逼真程度”。据公开样本分析仿冒站点不仅复刻了摩纳哥这家银行的全部UI元素连页面加载速度、资源路径、证书链状态都做了对齐。普通用户根本不可能仅凭肉眼区辨真假。第二层错位在于“多因素认证反而成了帮凶”。很多银行宣传中强调的短信验证码、动态令牌在中间人攻击下形同虚设。用户输入验证码这个动作本身没有问题但验证码并没有直接到达银行而是先经过攻击者的中转层。攻击者拿到实时验证码之后立刻用它在真实银行页面完成认证然后把这个认证成功的页面再返回给用户看。用户看到“验证通过”的同时攻击者也拿到了有效的认证会话。第三层错位更隐蔽——银行日志中看到的用户行为完全正常。因为攻击者复用的就是真实用户的设备指纹和网络特征甚至部分指纹信息是从用户浏览器里直接抓取的。传统风控判断“用户是不是本人”的核心依据全部失效银行后台毫无警觉直至转账指令发来。对比维度传统钓鱼数字身份劫持攻击目标账号密码、验证码会话令牌、设备指纹、认证状态交互方式让用户在假页面输入信息实时转发用户与真实银行之间的流量绕过多因素认证靠诱导用户泄露动态码通过转发认证请求让银行自己通过验证隐蔽性登录触发新设备告警容易暴露会话和指纹与真实用户完全一致最终后果盗刷或账号冻结长期身份接管、二次欺诈、声誉损害2. 高仿基础设施复盘一套以假乱真的影子银行2.1 域名中的障眼法合法前缀、同形字符、子域名陷阱这次高仿攻击的准备工作比绝大多数人想象的精细得多。攻击者首先要解决的是“如何让用户进入仿冒页面并相信它就是官网”。一个很常见的低端做法是注册一个形近域名比如把字母o换成数字0或者把l换成1。这次案例里没有这么粗糙情报分析显示攻击者采用了至少三种伪装策略的叠加。第一种是子域名嵌套。他们注册的主域名看起来像是一个无关的中立域名但子域名部分完全仿冒银行品牌比如用“bankname.verify-secure.example”这类结构。浏览器地址栏里用户往往只盯着后半段的品牌词看加上邮件正文的超链接文字被刻意显示成银行官网全称忽略实际域名结构就在一瞬间。第二种是国际化域名同形字符攻击。这里的高仿站点用到了类似拉丁字母的Unicode字符替代原域名中的部分字母视觉上几乎无法辨认。因为很多浏览器和客户端默认自动将此类地址转换为形似的“国际化域名”表达安全提示阈值又比较宽松。这种手法不是新东西但这次被用在了针对高净值客户的定向攻击上说明攻击目标事先已经做过细致的品牌域名测绘。第三种更值得警惕就是直接使用银行真实域名的子路径搭配搜索广告投放把恶意链接包装在搜索结果顶部。用户习惯点击搜索结果中“看起来像官方”的链接而跳过广告标识。攻击者利用的是用户的注意惯性根本不需要在域名上做太多文章。2.2 证书链不可靠绿锁不等于安全仿冒站点配备了有效的SSL证书浏览器地址栏显示着锁形图标这个细节让大量受害者放下了戒心。但必须理解DV级别证书域验证证书的签发标准仅仅是证明域名控制权它根本不能证明域名背后的组织与仿冒品牌有任何关系。攻击者为自己的恶意域名申请一张合法证书用不了几分钟任何公共CA都可以自动签发。这与曾经用户被教育“看到锁标志就安全”的认知形成了强烈反差。当今加密通信已经全面普及加密本身只是防止内容被路上的人偷听却无法解决“你把信息交给了谁”的问题。攻击者根本不关心你传输的内容是否被加密因为他们就站在加密管道的一端你在真实银行保护的TLS隧道之外先跟恶意服务器建立了另一条完全加密的连接。从这次摩纳哥案件可以确认的一点是高仿钓鱼基础设施的“完成度”已经达到工业化水平域名注册、CDN加速、SSL证书、移动端适配、邮件网关绕过全部打包成了一条自动化流水线。防御者再也不能把希望寄托在用户能看出页面真伪上因为伪装的精度已经超出人类感知能力。2.3 页面克隆和动态输入捕获机制仿冒页面本身并不是静态的HTML快照而是带有JS脚本的动态页面。攻击者抓取了真实银行页面的全部静态资源后在表单提交处理逻辑中注入了恶意脚本。用户在仿冒页面输入的密码、口令、Cookie等信息会被脚本通过实时WebSocket通道发送到攻击者控制的收集服务器。更高级的设置是脚本只在特定条件下激活例如当检测到用户浏览器具备企业级防护插件特征时脚本会选择静默避免被安全软件截获当用户在夜间登录或网络环境变化时脚本会自动终止会话降低关联分析被他人发现的风险。这种条件触发机制对传统安全沙箱检测极不友好因为沙箱里看到的是一个完全无害的静态页面恶意行为只出现在真实受害者身处的场景中。3. “人机协同”式收割令牌窃取、会话注入与多因素绕过的操作细节3.1 从密码窃取到会话令牌窃取的升级逻辑传统钓鱼表单收集到密码之后攻击者必须立即使用这些密码去真实银行抢时间登录。一旦用户察觉异常并修改密码攻击者就前功尽弃。攻击者因此面临一个两难偷得太早容易被用户发现偷得太晚账户里钱可能已被转走。而这次钓鱼围猎完全不同。攻击者通过嵌入JS脚本除了盗取输入框内容外还同时调用了浏览器存储API读取了目标在当前浏览器中已保存的会话标识、设备指纹值以及可能存在的本地登录票据。部分浏览器存储的登录态Cookie并不带HttpOnly属性JS仍可通过document.cookie读取到会话ID这个看似微不足道的属性配置差异直接让攻击者的“后渗透”难度大幅降低。拿到会话令牌后攻击者要做的是“会话注入”将窃取的Cookie值写入自己控制的浏览器环境然后直接访问真实银行网站。这个过程中攻击者不需要重新输入密码也不需要再次触发认证流程银行服务器只认会话有效性不认具体持有者。如果银行没有同时校验IP、设备标识、地理位置等多维度信息那这个会话劫持根本不会暴露任何破绽。3.2 中间人代理如何彻底废掉多因素认证这次案件最让金融业震动的还是多因素认证被绕过的方式。攻击者没有试图破解任何动态口令也没有试图诱导用户报出验证码他们使用的是严格意义上的“中转式认证”。攻击者把自己的服务器作为用户与银行之间的正向代理用户在仿冒页面输入了手机收到的验证码后攻击者服务器实时将该验证码转发给真实银行网站驱动真实认证流程完成再获取银行返回的成功状态和会话令牌。用户看到页面上提示“验证已通过”但实际上这个“通过”发生在攻击者掌控的会话里而不是用户本地浏览器。这种攻击方式本质上没有“破解”MFA而是把MFA的验证闭环原封不动地搬到了自己手上。我见过不少安全人员讨论这个问题时说“只要银行验证登录设备和短信手机号一致就能防住”逻辑上没问题但实际运营中银行很难在每一次访问时都强制校验设备指纹一致性否则会给用户带来极大的可用性障碍。攻击者利用的正是“安全与易用之间那个无法避免的妥协地带”。3.3 避免会话失效攻击者如何对抗超时机制银行为了让会话足够安全通常会给未活跃会话设置一个较短的超时时间比如10分钟内无操作自动退出。攻击者拿到会话后如果只是静静坐着很快就会被强制下线。因此在真实攻击案例里攻击者会周期性地向银行服务器发送伪活跃请求比如刷新余额、更新令牌、保持心跳。这种操作让会话永不超时也确保了在资金转移等高压操作前一切状态都是“活跃且可信”的。同时为了躲避行为侧的风控模型攻击者还会用脚本模拟鼠标移动轨迹、视窗大小、滚轮滚动等行为特征让服务器端的机器学习模型认为“这个人依然是那个正常操作网银的用户”。摩纳哥银行事件中有安全研究者提到告警系统曾因为“高频心跳请求”产生过低级别异常提示但这类提示在正常用户频繁刷新页面时也会出现阈值设高了漏报、设低了误报最终被归为可忽略噪声。4. 银行防御盲区为什么预警系统直到转账才响警报4.1 登录环节的重兵防守与登录之后的真空地带大多数银行的安全建设重心放在“登录”也就是校验你是谁。密码、验证码、生物识别、设备绑定几乎全部堆叠在这一层。但从登录成功到资金转出之间的这段链路安全防线明显单薄得多。摩纳哥银行这起攻击的预警失败可以看作是整个行业防御思路失衡的缩影。攻击者在登录时表现得跟真实用户一模一样甚至“比真实用户还正常”银行在登录环节没有任何理由触发拦截。而登录之后的会话如果已经被攻击者劫持后续转账行为又来自合法会话传统风控系统中的多因子关系模型就很难捕捉到异常。有些银行会引入“转账二次确认”机制即对转账操作单独提示二次输入动态密码。但问题在于如果攻击者控制的就是整个会话这个二次密码同样会经过仿冒页面流通和登录验证码一样轻松被中转。二次确认只改变了验证步骤的位置并没有改变“用户侧输密环境已被污染”这个事实。4.2 威胁情报的延迟银行发现的“高仿”往往在攻击之后很多银行确实部署了域名监控和钓鱼检测方案但这些方案的响应时效通常是小时级甚至天级。攻击者快速注册域名、快速上线页面、快速完成攻击、快速下线销毁基础设施整套生命周期可能只有几十分钟。等威胁情报供应商汇总确认并将恶意域名放入封禁列表受害者早已完成了转账资金也通过层层转移路径离开了原始账户。这次事件还暴露出跨境金融协作中的视野盲区摩纳哥作为全球财富管理枢纽大量客户来自不同国家、使用不同币种资金一旦进入洗钱流转路径跨越多个司法辖区追踪难度成倍上升。而各家银行之间的威胁情报共享机制仍然停留在“合规交换”而非“实时联动”层面导致同一套攻击基础设施可以被复用于多家机构而毫无阻力。4.3 客户端设备信任体系缺失更往前走一步能明显看到的是银行普遍很少检验客户端的完整性。真实的设备指纹、浏览器版本、操作系统内核、插件环境、屏幕分辨率、本地时区这些信息都包含丰富的安全信号而且可以通过轻量级JS埋点获取。多数银行即便收集了这些信号也仅仅用于展示层优化或简单风控评分并没有在同一会话中将设备特征变化与账号绑定、与操作敏感度做关联。这次攻击中攻击者通过对用户浏览器指纹的全部复刻让自己的“克隆会话”在服务器端看起来完全等同原设备。如果银行的会话管理机制采用“短期可刷新令牌设备签名绑定”的架构也就是说令牌必须使用与设备绑定的私钥做签名附加验证那即使Cookie被完整复制攻击者的环境里没有硬件密钥也依然无法通过签名校验会话劫持就没有操作价值。可惜的是这家银行的认证体系仍然停留在传统口令加动态码阶段整个链条的失效也就顺理成章了。5. 金融行业真正有效的防御升级从反钓鱼监控到无密码认证的整改顺序5.1 先做外部资产暴露面收敛这起案件给全球银行的一句最重要提醒是把防守视野从自己的服务器扩展出去。银行不仅要在自己域内做安全加固还要持续监控外部空间中所有可能被用于仿冒的域名、Logo、品牌关键词和证书记录。自动化品牌监控工具可以每15分钟扫描新注册域名中是否包含品牌关键词的变体并对疑似钓鱼页面进行多级判定最快可在钓鱼页面上线后数分钟内完成阻断。对于已经被攻击者注册的相似域名银行还可以借助统一域名争议解决政策UDRP快速发起仲裁这类流程对品牌保护有明确倾斜周期远比普通法律诉讼短。但UDRP毕竟属于事后补救更务实的做法是提前注册一批常见形近域名尤其是包含同形字符和典型替换模式的域名作为防御性储备。虽然这会增加一定成本但相比一次成功劫持带来的资金和声誉损失这笔投入堪称低成本保险。5.2 推行FIDO2/Passkey等设备绑定认证协议面对中间人钓符无法根除的现实行业共识已经明显转向无密码认证体系。FIDO2标准和Passkey技术并不是一个遥远的未来方案而是今天就能落地的成熟能力。它基于非对称加密私钥存储在用户的硬件安全模块或手机安全芯片中认证过程中需要通过本机生物识别或PIN操作激活。更重要的是FIDO2的认证结构天然抵御中间人攻击浏览器在发起网络请求前会将绑定域名的身份信息纳入签名范围攻击者的中转服务器很难在保持流量转发的同时伪造一个让客户端认可的目标源。即使受害者访问了仿冒站点浏览器在将凭据发送出去之前会先校验该站点来源是否与WebAuthn请求中登记的身份一致不一致则拒绝发送认证断言。这等于从客户端层面掐断了“把身份信息交给假网站”的可能。当然推行过程会遇到兼容性问题比如部分旧浏览器或操作系统版本不支持Passkey银行需要保留备用的风险控制措施比如对非Passkey登录实施更高的交易限额限制以此激励用户主动升级到更安全的认证方式。5.3 风控模型从“身份验证”转向“行为连续性验证”无论认证环节多强会话一旦建立风险控制就必须持续在线。银行应该把风控逻辑从“登录时确认一次”改为“会话期内持续打分”。每次页面请求都携带实时生成的交互行为和上下文特征模型综合评估鼠标轨迹自然性、点击序列合理性、页面停留时间的分布、会话令牌刷新频率、复制黏贴动作占比等维度持续输出风险评分。对于突然出现的高风险评分不一定要强制退出登录可以通过渐进式干预先弹窗要求再次验证设备再限制单笔转账限额最后冻结高风险操作。风控的粒度越细误伤率越低这一原则在打击中间人攻击时尤为重要。因为在攻击者的伪造行为与被盗受害者真实行为之间几乎一定有细微差异——只是差异可能小到肉眼无法识别却足够让经过精心训练的机器学习模型捕捉。5.4 全天候钓鱼监控和攻防演练常态化全球性银行还需要将钓鱼攻防从“被动响应”改为“主动对抗”。一个可参考的做法是周期性地向全量客户发送模拟钓鱼演练但不是传统意义上那种全员点击测试而是模拟会真实出现在市场中的各种新型攻击变体尤其是中间人钓鱼场景。客户每通过一次演练系统记录其识别表现当客户下一次在真实环境中遇到同类攻击时银行侧安全团队可以有针对性地推送定制警示。这种做法的本质是把客户也纳入了安全监控体系的一环让人类变成主动的行为传感器。摩纳哥银行这起案件里如果银行平时就有针对高净值客户的定向演练客户在遭遇高仿页面时可能产生更高的怀疑阈值而银行也有机会在攻击早期通过对客户行为的异常分析触发阻断。6. 用户一侧的另一条战线普通人如何守住最后防线6.1 地址栏确认习惯必须成为肌肉记忆普通用户没法部署FIDO2服务器也不能修改银行的风控模型但依然可以在客户端减少被劫持的几率。最基础也最有效的习惯是每次登录网银前不要通过搜索引擎进入也不要点开邮件或短信里的链接而是手动输入完整官方域名或者直接从书签/收藏夹中打开。地址栏里略微停顿两秒确认域名拼写、确认没有额外的数字字母替换、确认协议前缀正常这个动作阻止掉的攻击比任何安全软件都多。6.2 关键账户必须启用硬件级安全加密密钥如果你的银行支持硬件安全密钥或支持与手机安全芯片绑定的Passkey立刻去开通。如果暂时不支持也要把全部交易类App的推送通知打开并为每一笔操作设置独立转账密码和限额。不要依赖短信验证码作为唯一的多因素认证手段短信验证码已经被证明在SIM卡劫持和中间人钓符环境下非常脆弱。宁可每天多一步解锁硬件密钥的操作也不要为了方便把数十万资产暴露在密码加短信的风险组合中。6.3 绝对不要把验证码透露给任何“客服人员”近年来大量钓鱼攻击采用“会话劫持后二次骗取”的战术也就是攻击者已经拿到了会话但银行系统要求最终确认这时攻击者直接冒充银行客服致电受害者以“账户检测到可疑操作请提供验证码以取消拦截”为话术套取动态口令。真正银行客服绝不会在电话中索要验证码这是绝对红线。只要接到这类电话立刻挂断并回拨银行官方客服号码人工确认。回拨这个习惯是切断社会工程学链路最简单的杀手锏。6.4 设置独立的登录邮箱和别名高净值个人用户尤其需要注意与资金账户绑定的电子邮箱一旦被攻破攻击者可以通过密码恢复功能直接重置网银密码。建议将网银和支付账户绑定一个独立且不常用的新邮箱地址该邮箱不做其他注册用途不在任何公开场合留下痕迹并开启登入新设备必须验证二次身份的能力这样即使其他平台的数据库泄露也无法直接关联到主力银行账户。从这次摩纳哥银行事件来看用户的个人防线更多取决于习惯的严谨度而不是工具的复杂度。把“高风险操作前多一步人肉确认”变成下意识动作会极大压缩攻击者的操作空间。你不需要比黑客更快只需要比同类型的其他受害者更难缠黑客自然会把目标挪到更容易的地方去。7. 我的一点实操体会与后续建议复盘整个案例之后我个人最强烈的感受是网络安全领域长期以来的叙事——“用户太蠢被骗是因为不小心”——在这里已经完全不适用。当攻击者连证书链、指纹、会话心跳、行为轨迹都做到以假乱真再聪明的用户也难以依靠直觉自保。真正能扭转局面的力量必须来自银行基础设施侧的全面升级以及用户侧主动采用更强的新一代认证方式。对我自己来说做完这个复盘后的第一件事是把全部主力资金账户的登录方式全部换成了硬件密钥并关闭了短信验证码作为唯一MFA手段的选项。同时把绑定邮箱改成独立域名邮箱开启入站筛选和登录告警并强制要求新设备首次登入时输入邮件中发送的确认码。这套组合虽然不复杂但在遭遇同类中间人钓符时至少让攻击者无法同时控制我的浏览器会话和硬件密钥。另一个值得持续跟进的方向是银行之间能否建立更快速的恶意域名情报共享机制。如果能将攻击者在摩纳哥案件中使用的域名特征、PI指标和C2地址在几小时内同步给全球主要金融机构后续类似攻击的命中率和响应速度会有质的提升。技术层面已经有成熟方案剩下的是行业协作意愿和合规路径的推进。就我个人而言会持续关注这个方向的公开研究期望后续能看到更开放的共享案例。这起高仿钓鱼事件终究会过去但攻击者留下的模式大概率会被快速复制到其他银行和线上服务中。希望读过这篇复盘的人无论你是负责银行安全的工程师、企业IT管理员还是只是一个普通用户都能从里面找到一条立刻能落地的防御动作——别再迟疑了。

摩纳哥银行遭高仿钓鱼围猎：从会话劫持到身份接管的攻击链复盘

相关推荐

Kafka再平衡风暴实战：触发原因、排查链路与优雅治理

MySQL索引全面解析：从B+树原理到失效与死锁调优

化工行业数字化转型：点线面框架与六大核心模块全解析

更多资讯

pstack-claude实战：用AI辅助分析进程栈与线上排障

如何打造无可挑剔的代码质量检查工具：从需求到落地的工程实践

Windows 上跑 Codex 总卡第一步？Node.js 与 npm 环境配置避坑指南

运维和网工哪个发展好？从日常、技能栈到发展路径的全面对比

SQL Server病房管理系统课程设计：从E-R图到建表避坑指南

t3code 实战：构建本地化代码质量分析与复杂度度量体系

今日更新

PHP htmlentities()函数用法讲解

AI Agent工程实战：从七要素到七个决策点的系统设计指南

AI入局芯片设计验证：验证收敛50倍加速的真相与应对

本周精选

CMOS设计三大物理效应：体效应、沟道长度调制与亚阈值导电

微信小程序在线阅读毕设全解析：Java后端+MySQL+避坑实战

Android音频问题五层分析法：从App到Codec的系统化诊断

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？