釣魚三合會威脅行為者
自2024年1月1日起，一場大規模的簡訊釣魚活動已與超過19.4萬個惡意網域關聯，攻擊目標遍及全球，涵蓋多種服務。該活動利用欺騙性簡訊誘騙用戶洩露敏感訊息，簡訊內容通常偽裝成欠費通知或包裹誤送。
儘管這些網域是透過香港的網域註冊商註冊的，並且使用了中國網域伺服器，但攻擊基礎設施主要在美國託管的雲端服務上運行，這反映出全球分散式的設定。
目錄
釣魚詐騙三巨頭：與中國有關的威脅行為者
這場網路釣魚活動被認為是與中國有關的「簡訊釣魚三合會」（Smishing Triad）所為，該組織以向行動裝置發送大量欺詐性簡訊而臭名昭著。過去三年，這些網路釣魚活動獲利頗豐，為攻擊者帶來了超過10億美元的收益。
最新研究結果顯示，網路釣魚攻擊策略發生了顯著變化。釣魚工具包越來越多地針對證券帳戶，竊取銀行憑證和驗證碼。 2025年第二季針對此類帳戶的攻擊數量比2024年同期增加了五倍。一旦帳戶被攻破，攻擊者便會利用「拉高出貨」策略操縱股價，且幾乎不留下任何痕跡。
網路釣魚即服務：一個運作良好的犯罪生態系統
Smishing Triad 已從一個簡單的網路釣魚工具包提供者轉型為一個高度活躍的網路釣魚即服務 (PhaaS) 社區，該社區由多個專業參與者組成：
- 網路釣魚工具包開發者－創建工具。
- 數據經紀商－提供目標電話號碼。
- 域名賣家－註冊一次性域名，用於託管釣魚網站。
- 主機託管商——維護伺服器。
- 垃圾郵件發送者－大規模散佈詐騙訊息。
- 活體掃描器－驗證有效電話號碼。
- 黑名單掃描器－檢查網域是否在黑名單中輪換。
該生態系統允許快速部署和不斷適應，使得檢測和破壞變得困難。
域名註冊和客戶流失策略
分析顯示，在136,933個根網域中，近93,200個（68.06%）註冊在Dominet (HK) Limited名下。其中大部分使用.com前綴，但近幾個月來.gov域名的註冊量有所上升。
此行銷活動嚴重依賴網域快速更替：
- 29.19% 的網域活躍時間不超過兩天。
- 71.3% 的用戶活躍時間少於一週。
- 82.6% 的人活躍時間不超過兩週。
- 不到6%的人存活超過三個月。
這種頻繁變更，再加上 194,345 個 FQDN 解析到 43,494 個唯一 IP 位址（大部分位於美國，使用 Cloudflare），使得威脅行為者能夠持續逃避偵測。
基礎設施洞察與全球影響力
這項競選活動基礎設施分析的主要發現包括：
- 美國郵政服務是被冒充最多的服務，擁有 28,045 個 FQDN。
- 收費服務誘餌佔據主導地位，約有 90,000 個釣魚 FQDN。
- 流量最高的網域主要託管在美國，其次是中國和新加坡。
受害者遍佈多個行業，包括銀行、加密貨幣交易所、快遞服務、警察部隊、國有企業、收費服務、共乘應用程式、飯店服務、社群媒體和電子商務平台，這些國家包括俄羅斯、波蘭和立陶宛。
冒充政府機構的攻擊活動通常會將用戶重新導向到聲稱有未支付通行費或服務費的著陸頁，有時還會利用 ClickFix 誘餌來欺騙用戶執行偽裝成 CAPTCHA 驗證的惡意程式碼。
具有全球影響力的去中心化威脅
「簡訊釣魚三部曲」攻擊活動展現了其全球覆蓋範圍和去中心化特徵。攻擊者每天註冊並輪換使用數千個域名，模仿各種服務以最大化攻擊效果。針對美國收費服務的簡訊釣魚活動僅僅是這個龐大、適應性強且利潤豐厚的犯罪集團的縮影，而該集團仍在不斷大規模地演變。
