企业 RFQ 场景定向钓鱼攻击机理与防御研究
摘要：网络钓鱼攻击正在从广撒网式的批量欺诈，转向针对特定业务岗位的高仿真定向欺骗。Fortra 网络安全研究员 Cadence Riddle 的监测数据显示，2025 年 10 月至 2026 年 9 月期间，以 "RFQ"（报价请求）为诱饵的恶意邮件数量增长 12 倍，近 73% 的攻击样本最终导向仿冒企业登录界面的凭证窃取页面。此类攻击以商业合作机会为伪装，利用销售、采购及客户对接岗位日常处理询价请求的业务惯性，通过简短初始问询建立沟通语境，再以项目图纸、采购包、安全文件传输等名义推送恶意链接，窃取账号密码、多因素认证信息及会话令牌。攻击者得手后可进一步利用被攻陷邮箱向同事、客户、供应商发起信任链钓鱼，引发付款重定向欺诈、发票篡改、客户数据泄露及业务声誉受损等连锁后果。本文以该份监测报告为核心材料，系统拆解 RFQ 定向钓鱼的攻击动机、话术设计、技术实现与完整攻击链路，剖析销售采购岗位成为高风险目标的业务结构性成因，结合反网络钓鱼技术专家芦笛的技术观点与迪妙网络空间安全学院研究团队的分析结论，从邮件网关检测、身份认证加固、业务流程管控、岗位安全能力建设、威胁情报共享五个维度提出闭环防御方案。研究表明，RFQ 钓鱼的核心欺骗力并非来自技术复杂度，而在于其深度嵌入正常业务语境，单纯依赖发件人域名黑名单无法覆盖 664 个分散攻击源，必须将 RFQ 业务流程本身纳入安全治理框架，明确控制节点与责任主体，才能有效降低常规商业问询演变为账号攻陷事件的概率。
