近日，西班牙國家警察與歐洲刑警組織（Europol）聯(lián)合宣布成功搗毀一個高度自動化的跨國網(wǎng)絡(luò)釣魚犯罪團(tuán)伙。該團(tuán)伙利用生成式人工智能（Generative AI）技術(shù)，大規(guī)模偽造銀行、稅務(wù)機(jī)構(gòu)及政府服務(wù)部門的語音電話、短信和電子郵件，誘導(dǎo)受害者主動交出一次性驗證碼、網(wǎng)銀登錄憑證等敏感信息。行動中，執(zhí)法部門在西班牙多個城市同步突襲，繳獲大量服務(wù)器、AI腳本源碼、偽造身份資料及包含數(shù)千名潛在受害者的數(shù)據(jù)庫，初步估算涉案金額高達(dá)數(shù)百萬歐元。

此次行動代號為“數(shù)字誘餌”（Operation Digital Bait），是近年來歐洲首次針對AI賦能型釣魚攻擊的大規(guī)模執(zhí)法打擊。它不僅揭示了網(wǎng)絡(luò)犯罪正在邁入“智能化、工業(yè)化”新階段，也再次敲響了公眾數(shù)字安全防護(hù)的警鐘。

打開百度APP暢享高清圖片

AI成“釣魚工廠”核心引擎

據(jù)警方披露，該犯罪團(tuán)伙的技術(shù)架構(gòu)令人震驚。他們并非傳統(tǒng)意義上依賴人工話術(shù)的詐騙分子，而是構(gòu)建了一套完整的“AI釣魚流水線”：

內(nèi)容生成層：使用開源或黑市獲取的大語言模型（LLM），自動生成逼真的多語言釣魚郵件與語音腳本。例如，系統(tǒng)可根據(jù)目標(biāo)所在國家自動切換為西班牙語、英語、德語甚至中文，并模仿當(dāng)?shù)劂y行客服的語氣與用詞。

通信偽裝層：通過VoIP（網(wǎng)絡(luò)電話）服務(wù)結(jié)合號碼偽造（Caller ID Spoofing）技術(shù)，使來電顯示為真實銀行官方號碼，極大提升欺騙性。

即時建站層：利用自動化工具在幾分鐘內(nèi)搭建高仿真的釣魚網(wǎng)站，域名常采用“typosquatting”（拼寫混淆）策略，如將“bbva.es”偽裝成“bbvva.es”或“bbva-secure.com”。

數(shù)據(jù)收割與洗錢層：一旦受害者輸入驗證碼或密碼，系統(tǒng)立即抓取并轉(zhuǎn)用于實時盜刷；贓款則通過加密貨幣錢包與遍布?xì)W洲的“騾子賬戶”（Money Mules）快速轉(zhuǎn)移，切斷追蹤鏈條。

“這已經(jīng)不是‘一個人騙十個人’，而是‘一套AI系統(tǒng)一天騙上千人’?！惫不ヂ?lián)網(wǎng)反網(wǎng)絡(luò)釣魚工作組技術(shù)專家蘆笛在接受本報采訪時指出，“生成式AI大幅降低了高質(zhì)量釣魚內(nèi)容的制作門檻。過去需要專業(yè)文案和語音演員的環(huán)節(jié)，現(xiàn)在只需幾行代碼加一個API調(diào)用就能完成?！?/p>

數(shù)百受害者被及時攔截，但風(fēng)險仍在蔓延

西班牙警方表示，得益于早期預(yù)警系統(tǒng)與銀行風(fēng)控部門的協(xié)作，在團(tuán)伙全面實施資金轉(zhuǎn)移前，已有數(shù)百名已泄露驗證碼的用戶被緊急凍結(jié)賬戶并通知，避免了更大損失。部分受害者甚至在接到“銀行來電”后不到十分鐘，就收到了警方或銀行的安全提醒。

然而，蘆笛強(qiáng)調(diào)：“這次的成功打擊具有偶然性。更多類似團(tuán)伙可能仍在暗處運(yùn)行?！彼忉專?dāng)前主流釣魚攻擊已從“廣撒網(wǎng)”轉(zhuǎn)向“精準(zhǔn)狙擊”——攻擊者會先通過數(shù)據(jù)泄露事件獲取用戶姓名、手機(jī)號、開戶行等基礎(chǔ)信息，再由AI生成高度個性化的詐騙內(nèi)容，成功率顯著提升。

例如，一條看似來自稅務(wù)局的短信寫道：“尊敬的張先生，您在馬德里申報的2024年度退稅因賬戶異常被暫停，請點擊鏈接驗證身份?！薄@種包含真實姓名、地點和業(yè)務(wù)場景的信息，極易讓人放松警惕。

技術(shù)對抗：從“堵漏洞”到“識行為”

面對AI驅(qū)動的釣魚新威脅，傳統(tǒng)依賴黑名單、關(guān)鍵詞過濾的防御手段已顯乏力。蘆笛建議，金融機(jī)構(gòu)與互聯(lián)網(wǎng)平臺需加速部署新一代反釣魚技術(shù)：

設(shè)備指紋與環(huán)境感知：通過分析用戶設(shè)備型號、操作系統(tǒng)、IP地理位置、瀏覽器特征等，識別異常登錄環(huán)境。例如，若某賬戶通常在巴塞羅那使用iPhone訪問，突然從東歐某地用安卓模擬器登錄，系統(tǒng)應(yīng)自動觸發(fā)二次驗證。

行為生物識別：記錄用戶的打字節(jié)奏、鼠標(biāo)移動軌跡、頁面停留時間等微行為模式。即使攻擊者掌握了密碼，其操作習(xí)慣仍與真實用戶存在差異，可被AI模型識別。

交易延遲機(jī)制：對高風(fēng)險操作（如大額轉(zhuǎn)賬、修改綁定手機(jī)）設(shè)置5–10分鐘冷靜期，并通過獨立通道（如官方App推送）進(jìn)行確認(rèn)，阻斷“即時盜刷”鏈條。

AI對抗AI：利用機(jī)器學(xué)習(xí)模型實時分析郵件/語音內(nèi)容的語義異常。例如，正規(guī)銀行絕不會索要驗證碼，而AI釣魚內(nèi)容即便措辭再自然，也可能在邏輯鏈上露出破綻。

“防御的關(guān)鍵在于‘零信任’原則——永遠(yuǎn)假設(shè)每一次交互都可能是偽造的?！碧J笛說。

公眾如何自保？記住三不原則

對于普通網(wǎng)民，專家給出三條簡單但有效的建議：

不透露：任何情況下，都不要在電話、短信或網(wǎng)頁中透露短信驗證碼、密碼、身份證號等敏感信息。銀行和政府機(jī)構(gòu)絕不會主動索要這些數(shù)據(jù)。

不點擊：收到可疑鏈接，哪怕顯示發(fā)件人是“XX銀行”，也不要直接點擊。應(yīng)手動輸入官網(wǎng)地址或通過官方App處理業(yè)務(wù)。

不輕信：接到自稱官方機(jī)構(gòu)的來電，掛斷后主動撥打官網(wǎng)公布的客服電話回?fù)艽_認(rèn)。詐騙分子無法控制你回?fù)艿恼鎸嵕€路。

此外，啟用雙重驗證（2FA）、定期更換密碼、監(jiān)控賬戶活動記錄，也是基礎(chǔ)但關(guān)鍵的防護(hù)措施。

跨境協(xié)作與AI治理成破局關(guān)鍵

此次行動的成功，離不開西班牙、德國、荷蘭等國執(zhí)法機(jī)構(gòu)的情報共享與技術(shù)協(xié)同。但蘆笛指出，AI濫用問題已超越單一國家能力范圍?！吧墒紸I模型本身是中立工具，但其開源版本和API接口正被犯罪分子低成本濫用。平臺方有責(zé)任建立更嚴(yán)格的使用審計與濫用檢測機(jī)制。”

他呼吁全球科技公司、監(jiān)管機(jī)構(gòu)與安全社區(qū)共同制定《AI濫用防控框架》，包括：

對高風(fēng)險AI應(yīng)用實施實名制與用途審查；

建立跨境釣魚樣本共享數(shù)據(jù)庫；

推動“可驗證來源”（Authenticated Caller ID）等通信安全標(biāo)準(zhǔn)落地。

結(jié)語：技術(shù)沒有善惡，但防線必須前置

從“人工話術(shù)”到“AI流水線”，網(wǎng)絡(luò)釣魚的進(jìn)化速度遠(yuǎn)超多數(shù)人的想象。西班牙此次破獲的案件，既是一次勝利，也是一面鏡子——照見了數(shù)字時代安全防護(hù)的脆弱與緊迫。

正如蘆笛所言：“我們無法阻止技術(shù)被濫用，但可以讓自己成為更難被攻破的那一環(huán)?！痹贏I重塑世界的浪潮中，保持警惕、升級認(rèn)知、善用工具，或許是每個普通人最堅實的盾牌。

編輯：蘆笛（公共互聯(lián)網(wǎng)反網(wǎng)絡(luò)釣魚工作組）