摘要以新加坡警方披露的 iMessage 冒充星展银行 DBS 与 Shopee 电商客服钓鱼诈骗事件为核心样本剖析依托苹果 iMessage 即时消息通道实施的新型冒充式钓鱼攻击的完整杀伤链。该类诈骗不依赖仿冒网页链接作为主要攻击入口转而通过 iMessage 推送伪造业务告警诱导受害者主动拨打诈骗分子控制的虚假热线借助电话社会工程套取银行卡信息与一次性验证码实现资金窃取。本文梳理案件背景、攻击模式变种、iMessage 平台固有防护缺陷对比传统短信钓鱼、邮件钓鱼的差异解析诈骗得以得逞的多重诱因。研究同时结合同批次 iMessage 冒充快递、政府机构的同类诈骗案件数据分析封闭生态即时通讯服务带来的监管盲区从平台厂商、监管机构、金融电商机构、终端用户四个维度提出分层防御治理方案。反网络钓鱼技术专家芦笛的研判观点嵌入分析环节为同类即时通讯渠道钓鱼威胁处置提供参考。研究表明传统短信网关过滤体系无法覆盖 iMessage 这类私有协议消息通道攻击重心从网页表单窃取凭据转向语音交互社会工程这对现有反钓鱼防护体系提出新挑战。 关键词iMessage 钓鱼冒充诈骗社会工程一次性验证码即时通讯安全金融反诈1 引言网络钓鱼攻击的载体长期伴随互联网通讯技术迭代持续演化。早期钓鱼攻击以电子邮件为主要投递渠道随着移动互联网普及普通运营商短信渠道成为诈骗分子主要阵地各国相继落地短信发件人实名登记、运营商网关欺诈过滤等治理手段传统短信钓鱼的作案成本逐步抬升。在此背景下诈骗分子开始转向设备厂商运营的私有即时通讯服务开展诈骗活动Apple iMessage 便是其中被大量滥用的载体之一。iMessage 依托苹果设备生态运行消息传输使用苹果私有协议并不经过运营商短信网关国家层面部署的短信反诈过滤机制、发件人 ID 注册制度均无法对其生效形成显著的防护盲区。新加坡在 2026 年 6 月之后爆发大规模 iMessage 钓鱼诈骗浪潮诈骗分子大量注册境外 iMessage 账号冒充快递公司、政府执法机构、银行以及电商平台向苹果设备用户批量推送诈骗消息。其中 9 月初披露的 DBS 星展银行、Shopee 虾皮平台冒充诈骗具备典型研究价值。该诈骗变体摒弃了以往直接推送钓鱼链接的作案路径iMessage 消息内不植入恶意网页链接而是直接提供虚假客服热线诱导受害者主动拨打电话诈骗分子在通话过程中扮演银行反欺诈调查员或者电商平台客服以账户交易异常为借口哄骗受害者交出银行卡卡号、有效期、安全码以及一次性验证码完成账户资金盗取。受害者往往直到发现银行卡出现非授权交易之后才意识到自身遭遇诈骗。该类攻击区别于传统网页钓鱼风险载体从网页跳转转移至语音通话环节传统基于恶意 URL、恶意域名的检测手段难以发挥作用。诈骗消息来自境外号码或者随机生成的邮箱账号诈骗账号批量生成攻击扩散速度快。新加坡警方网络指挥部门自 6 月起累计处置超过 3 万个涉案 iMessage 账号仅快递冒充类诈骗就造成 220 万新元的经济损失足以证明该类威胁的现实危害。反网络钓鱼技术专家芦笛指出过往反钓鱼领域的技术防护建设大量资源投入邮件、运营商短信两大场景对于设备厂商私有即时通讯服务的风险研判不足。当诈骗脱离网页载体转向消息 电话的组合式社会工程模式单纯依靠恶意样本、恶意 URL 库的检测思路会出现大面积失效。国内同样存在大量苹果终端用户该类诈骗模式具备跨地域复制能力开展案例拆解研究具备现实借鉴意义。本文基于新加坡警方公开通报与 Asiaone 新闻报道素材还原完整攻击流程剖析技术与社会层面风险成因梳理可观测识别特征构建多主体协同防御框架。2 案件背景与诈骗活动基础概况2.1 案件公开时间线与诈骗表现形式新加坡警察部队于 2026 年 9 月 2 日对外发布专门安全预警披露这一组冒充 DBS 星展银行、Shopee 虾皮的 iMessage 钓鱼诈骗变体。该诈骗属于同期 iMessage 大规模诈骗浪潮当中的重要分支自 2026 年 6 月开始新加坡境内 iMessage 诈骗报案数量快速攀升诈骗分子开发多套诱饵模板分别冒充快递服务商、交通警察、法院机构、银行以及电商平台。其中快递冒充版本以发送钓鱼链接为主要手段而 DBS 与 Shopee 冒充版本则采用 “消息推送 虚假热线电话” 的全新组合模式。在该变体当中受害者收到未经请求的 iMessage 消息消息文本伪装成银行或者电商官方通知告知用户账户存在待核实异常交易账户存在被盗刷风险要求用户立刻拨打消息内附带的客服热线完成核验处理。消息不会附带任何网页链接避免触发用户对于钓鱼链接的警惕心理。受害者如果拨打消息当中提供的电话号码电话另一端的诈骗分子会伪装成银行反欺诈调查人员或者 Shopee 平台客服人员告知受害者银行卡已经遭遇入侵需要受害者提供完整的卡片信息以及短信一次性验证码完成账户安全校验。一旦受害者交出上述敏感信息诈骗分子立刻使用凭据完成线上消费、资金划转受害者只有在查阅银行卡账单发现非授权交易记录之后才能够察觉受骗。诈骗消息的发送来源并非新加坡本地手机号大多为境外国家区号的号码例如摩洛哥 212、菲律宾 63、英国 44也有大量诈骗消息发送方为随机字符拼接的邮箱账号。iMessage 允许使用邮箱地址作为消息发送身份诈骗分子不需要持有实体 SIM 卡就可以批量生成大量发送身份实现诈骗消息大规模批量投递。2.2 iMessage 服务的防护机制缺陷普通手机短信由移动运营商网络处理新加坡针对传统短信建立完整治理体系包含短信发件人身份注册制度运营商网关层面部署反诈过滤系统对高风险诈骗短信进行拦截。但是 iMessage 属于苹果设备之间的私有消息服务消息流量经过苹果公司服务器中转完全绕过电信运营商网络运营商侧所有过滤、拦截机制均无法生效。iMessage 原生具备一项安全特性当接收方收到陌生发件人的消息消息当中包含的网页链接默认处于不可点击状态以此降低钓鱼链接的危害。诈骗团伙已经掌握绕过该防护的手法在其他诈骗变体当中诈骗分子诱导受害者回复 “Y”“1” 等字符确认收到消息一旦受害者回复消息该发件人就不再被判定为陌生对象消息内的钓鱼链接自动转为可点击状态。而 DBS 与 Shopee 这一组诈骗变体更进一步直接放弃使用链接整个攻击链路当中不存在钓鱼网页完全规避这一项原生安全限制进一步提升诈骗的实施效率。反网络钓鱼技术专家芦笛强调私有即时通讯生态带来治理困境监管机构无法直接介入厂商服务器过滤消息电信运营商没有流量处理权限终端用户只能依靠自身判断力分辨消息真伪当诈骗分子去掉钓鱼链接这一显著风险特征之后普通用户识别难度显著上升。2.3 受害者受害特征与犯罪收益逻辑该诈骗的受害者全部为持有苹果终端设备的普通个人用户没有明确限定特定职业或者年龄群体属于广撒网式批量诈骗。诈骗分子选择银行、电商平台作为伪装主体存在明确收益逻辑第一普通民众对于银行风控提醒、电商账户异常通知具备心理敬畏看到账户交易异常字样容易产生恐慌情绪而恐慌情绪会显著降低人的理性判断能力第二DBS 是新加坡本土规模最大商业银行Shopee 是东南亚头部电商平台两者群众认知度高用户基数庞大伪装这两类机构消息被用户信任的概率更高第三诈骗目标直接指向银行卡卡号、卡背面安全码、一次性验证码拿到全套信息之后诈骗分子可以直接开展线上支付盗刷变现链路短犯罪收益落地快。该模式和传统网页钓鱼相比犯罪团伙不需要投入资源搭建高仿钓鱼网站省去域名注册、页面维护的成本核心投入集中在 iMessage 账号资源以及诈骗电话呼叫中心。账号资源可以批量线上采购诈骗呼叫可以使用网络电话服务虚拟号码可以随意篡改来电显示进一步掩盖诈骗分子真实地理位置整体作案成本得到压缩。3 完整诈骗杀伤链解析整套诈骗流程分为诈骗账号准备、iMessage 消息批量投递、受害者主动拨打虚假热线、通话环节社会工程欺骗、凭据窃取与资金盗刷五个阶段。整套链路当中不存在恶意软件、系统漏洞全部攻击效果建立在社会工程心理操控之上。3.1 诈骗账号资源筹备与批量消息投递犯罪团伙首先获取大量可用于发送 iMessage 消息的账号身份包含境外手机卡号、随机生成的邮箱账号。iMessage 支持邮箱作为发送身份这意味着诈骗分子不需要采购大量实体 SIM 卡仅需要批量注册邮箱就可以生成海量消息发送身份实现大规模消息推送。完成账号资源准备之后诈骗团伙批量向外投递标准化诈骗 iMessage。消息内容构建紧急的叙事场景告知受害者账户出现可疑待处理交易为了保障账户资金安全需要拨打消息附带的客服联系号码开展核验。消息文本刻意回避网页链接只留下电话号码降低用户戒备。从受害者视角来看消息接收在系统原生信息应用内完成应用本身属于手机可信内置程序不会触发第三方安全软件告警。消息发送方显示境外号码或者乱码邮箱但是普通用户对于 iMessage 的发送身份规则缺少认知很难第一时间识别发送来源异常。该阶段的核心难点在于外部治理运营商无法拦截 iMessage 消息监管机构无法直接访问苹果服务器对消息进行筛查普通终端安全软件难以介入 iMessage 消息的内部内容解析。诈骗消息可以直达用户手机消息收件箱。3.2 受害者触发动作主动拨打虚假客服电话传统网页钓鱼是攻击者引导用户访问攻击者控制的站点而该诈骗变体是受害者主动发起呼叫连接诈骗分子控制的网络电话坐席。行为逻辑的反转带来检测层面的巨大变化。安全产品很难阻止用户手动输入电话号码拨出呼叫也无法直接干预手机系统拨号行为。触发呼叫的心理驱动来自诈骗消息制造的焦虑感消息强调交易异常、账户风险营造事态紧急的氛围促使受害者第一时间拨打电话处理而不是先去通过官方公开渠道核实真伪。部分受害者缺少安全常识看到消息内提供号码直接默认号码属于机构官方客服没有去银行 APP、电商应用内查找官方公开联系渠道进行交叉核验。3.3 通话环节的社会工程欺骗流程当受害者接通电话之后诈骗分子开启完整的话术欺骗流程。首先冒充 DBS 银行反欺诈调查人员或者 Shopee 平台客服向受害者复述消息当中提到的账户异常交易的叙事进一步强化受害者的紧张心理。诈骗分子会告知受害者其银行卡已经面临被盗刷风险需要配合完成安全核验才可以冻结可疑交易保护账户资金。后续诈骗分子分步索要敏感信息首先索要银行卡完整卡号、卡片有效期、卡片背面的安全校验码之后以发送核验验证码为理由诱导受害者把手机收到的银行下发的一次性验证码完整报给通话当中的诈骗人员。诈骗分子会编造各类说辞解释为什么需要验证码例如 “验证码用于阻断可疑交易”“验证码用于账户安全校验”刻意隐瞒验证码真实用途是完成线上支付。整个通话过程不存在技术层面的入侵行为全部依靠话术误导。很多受害者清楚验证码不能交给他人的安全常识但是在诈骗分子营造的紧急场景之下混淆验证码的使用场景将验证码口述给诈骗人员。3.4 凭据利用与资金盗刷诈骗分子收集到卡号、有效期、安全码、一次性验证码全套信息立刻发起线上支付交易。部分线上境外支付场景仅依靠卡号、有效期、安全码就可以完成交易部分交易场景需要一次性验证码确认受害者口述的验证码刚好满足交易校验条件。交易发起之后受害者银行卡内资金被转移。诈骗完成之后诈骗分子会直接挂断通话不再继续和受害者沟通。受害者后续查看银行推送的交易通知或者登录银行 APP 查看账单才会发现账户出现非授权消费意识到遭遇诈骗。此时资金往往已经完成跨境流转追回难度很高。3.5 同生态其他诈骗变体的杀伤链对照同期新加坡警方披露的 iMessage 诈骗还有另外两类主流变体一类冒充快递公司另一类冒充政府警察、法院机构。快递冒充版本会诱导受害者回复字符绕过链接防护之后点击钓鱼链接跳转仿冒网站输入银行卡信息缴纳所谓包裹滞留费用冒充公检法版本则编造罚单、逮捕令等叙事引导受害者访问伪造政府网页提交个人财务信息。而 DBS 与 Shopee 变体舍弃网页转向电话链路是诈骗分子的策略升级。网页钓鱼存在钓鱼域名被安全厂商快速标记封禁的风险而电话诈骗依靠网络虚拟号码号码可以快速轮换攻击生命周期更长。不同变体共同说明 iMessage 已经成为诈骗团伙规模化开展冒充钓鱼的重要载体。4 诈骗成功的多维度诱因解析该类诈骗能够造成大量受害案例并非单一因素造成是平台机制缺陷、防护体系存在盲区、社会工程话术有效性、用户认知短板、黑产工具链条成熟多重因素叠加的结果。4.1 私有消息生态带来监管与过滤盲区传统运营商短信从发送、传输到接收全部经过电信运营商基础设施监管机构可以出台规范要求运营商部署反诈拦截、发件人实名登记。iMessage 运行在苹果私有服务器架构之上消息流量不经过运营商网络运营商没有能力对消息内容、消息发送账号进行过滤拦截。监管规则很难直接落地到境外企业运营的私有消息服务。苹果终端本地安全软件权限受限很难深度读取、解析 iMessage 消息内容第三方安全应用无法像扫描短信一样实时检测 iMessage 内的诈骗内容。消息的安全过滤能力高度依赖平台厂商自身的风控能力如果平台侧账号识别、消息内容筛查存在滞后诈骗消息就可以大批量触达终端用户。4.2 攻击载体从网页转向语音突破传统反钓鱼检测范式长久以来反钓鱼技术体系核心检测对象是恶意 URL、仿冒网页域名大量规则、情报库围绕网页资源构建。DBS 与 Shopee 该类诈骗变体全程不使用钓鱼网页风险转移到消息文本与后续的语音通话环节。静态恶意域名、恶意 URL 情报完全无法发挥作用。反网络钓鱼技术专家芦笛指出很多机构的反钓鱼防护思维固化在网页攻击场景面对 “消息推送 语音社会工程” 的组合攻击技术检测手段会出现断层。消息完成投递之后后续受害行为发生在电话通话当中安全系统很难追踪用户电话交互过程这是该类诈骗最难防御的关键点。4.3 社会工程心理操控削弱用户风险判断诈骗的核心手段是心理操控诈骗消息和通话话术共同制造紧急风险场景利用受害者对于账户资金被盗的恐惧压缩受害者理性思考与核验的时间。普通人在紧张焦虑状态下会放弃常规的风险核验习惯不去打开银行官方 APP 核实告警真实性直接按照诈骗分子的指令操作。诈骗分子使用的叙事贴合真实业务场景银行确实会针对可疑交易开展风控提醒电商平台也确实会处理异常订单诈骗分子借用真实业务逻辑包装谎言提升欺骗效果。普通用户很难区分真实机构风控通知和诈骗伪造通知之间的差异。4.4 用户对 iMessage 身份机制认知不足大量苹果设备用户并不了解 iMessage 可以使用境外号码、随机邮箱作为发送身份主观上默认收到的 iMessage 消息发送方具备可信身份。用户对于 “陌生邮箱、境外区号发来的 iMessage 消息天然具备高风险” 缺少认知缺少基础风险识别知识。同时相当一部分用户对于一次性验证码的风险边界理解模糊只记住 “不要把验证码告诉陌生人” 的笼统口号但是在诈骗分子编造业务场景之后分辨不出哪些场景绝对不可以提供验证码。4.5 黑产工具链条降低诈骗实施门槛黑产市场已经形成完整供应链诈骗团伙不需要自行开发复杂技术工具。iMessage 账号可以在线批量采购网络虚拟电话服务可以随意篡改来电显示隐藏诈骗分子真实位置线上支付盗刷的变现链路已经成熟。整套诈骗只需要招募话术坐席人员就可以规模化开展犯罪活动技术门槛被黑产供应链大幅压低。5 该类 iMessage 冒充钓鱼攻击的识别特征由于攻击链路跨越消息、电话两个不同系统不存在单一技术点可以实现完整拦截需要分别从平台账号行为、消息文本特征、终端用户识别要点、事后痕迹多个维度建立识别特征。5.1 iMessage 消息层面可观测特征从消息来源角度诈骗消息发送方大量为境外国家区号号码或者是无实际业务含义的随机字母数字组合邮箱地址。正规银行、电商机构官方推送通知不会使用随机邮箱、海外陌生手机号向用户推送业务告警。消息文本层面诈骗消息会渲染账户异常、交易风险、紧急处理等叙事不附带官方 APP 跳转入口只留下一串联系电话号码引导用户拨打电话处理问题。正规金融机构、电商平台的风险通知优先引导用户打开官方应用完成核验不会仅通过第三方消息渠道推送一个外部电话作为唯一处置路径。部分同源诈骗消息会使用高度模板化的句式重复出现 “待核实交易”“账户风险”“紧急核验” 等关键词。平台侧风控可以针对账号行为进行识别短时间内向海量陌生用户批量发送内容高度近似消息的账号属于高风险账号行为。5.2 通话环节的行为识别要点当用户接到自称银行、电商客服的来电对方在通话过程当中索要银行卡完整卡号、卡片背面安全码、短信一次性验证码该行为本身就是明确的风险信号。正规银行、电商平台客服在电话沟通当中绝对不会向用户索要一次性验证码也不会索要卡片背面安全码用于账户核验。该行为可以作为用户端最核心的判断依据。需要注意诈骗分子使用网络虚拟电话来电显示号码可以被篡改即便来电显示显示为机构公开客服号码也不能证明通话对方身份真实来电显示不可以作为身份可信的判断凭证。5.3 区分不同 iMessage 诈骗变体的特征边界需要区分两类 iMessage 诈骗变体一类是推送钓鱼链接诱导点击仿冒网页另一类是本文重点研究的推送虚假热线诱导拨打电话。两类攻击来源同样为境外号码、随机邮箱账号但是后续行为路径完全不同。链接类诈骗风险特征集中在 URL电话类诈骗风险全部集中在后续语音交互在消息阶段没有高风险链接更容易被忽视。安全研判过程当中不能仅仅依靠消息内是否包含恶意链接来判断 iMessage 消息是否属于诈骗。6 多层协同防御与治理策略iMessage 渠道冒充钓鱼诈骗横跨境外平台、通讯网络、金融支付、终端用户多个环节不存在单点技术能够彻底消除威胁需要平台厂商、监管机构、金融与电商机构、终端用户多方协同构建分层防御体系。6.1 即时通讯平台厂商层面安全责任落实作为 iMessage 服务运营主体苹果需要承担平台侧安全治理责任。首先完善账号风控体系建立账号行为基线识别批量向大量陌生用户推送高度同质化诈骗消息的账号及时对诈骗账号进行限制处置。新加坡警方数据显示仅两个月就有超过 3 万个涉案账号说明诈骗账号批量注册与滥用现象突出账号层面的风险拦截能力还有提升空间。其次优化消息内容风险识别针对冒充金融、政府、电商机构的模板化诈骗消息做识别标记对于高风险消息在消息界面向终端用户给出醒目风险提示告知用户消息来源不可信提醒不要拨打消息附带的陌生电话号码。同时完善安全能力开放向监管机构、执法机构提供合规的线索调取接口在法律框架之下配合警方开展涉案账号溯源处置。针对 iMessage 消息安全防护开展公开科普向苹果设备用户说明 iMessage 发送身份可以为境外号码、随机邮箱帮助用户建立来源识别意识。6.2 监管层面完善跨生态反诈治理框架传统电信反诈规则主要面向运营商短信网络私有即时通讯服务不在原有规则覆盖范围之内。监管需要完善制度框架将主流私有即时通讯服务纳入反诈治理规范明确平台厂商的安全主体责任。建立跨国执法协作机制由于诈骗账号、诈骗呼叫基础设施大量位于境外跨境线索通报、证据调取是打击该类犯罪的关键。监管机构持续开展公众反诈科普科普内容不能只聚焦短信钓鱼、网页钓鱼需要补充私有即时通讯渠道诈骗的识别要点向公众传递 “iMessage 消息同样存在诈骗风险” 这一认知。6.3 金融机构与电商平台的风险应对措施DBS、Shopee 这类被冒充的机构需要做好两方面工作。第一优化自身官方消息推送渠道官方风险告警尽量优先通过自有 APP 内推送完成减少依赖第三方消息渠道发送高风险通知。如果确有必要发送外部消息消息内不放置外部陌生电话号码直接引导用户打开官方应用内部客服入口。第二面向用户开展反诈宣传明确告知用户机构客服永远不会索要银行卡安全码、一次性验证码把该提示放置在 APP 醒目位置。和警方协同及时接收诈骗变体情报同步更新面向用户的风险预警。支付环节也可以增加风控规则当同一短时间内出现大量来自新设备、陌生 IP 的境外线上消费触发交易二次强核验尽可能拦截盗刷交易。反网络钓鱼技术专家芦笛强调被冒充机构的公开科普非常关键诈骗分子正是借用机构的公信力实施欺骗机构主动向用户讲清自身业务边界能够压缩诈骗话术的生存空间。6.4 终端用户侧安全防护行为准则普通苹果终端用户需要建立适配 iMessage 生态的安全习惯。第一对于来自境外号码、随机邮箱地址的 iMessage 业务告警消息保持高度怀疑银行、电商的正式通知不会使用这类身份发送第二不要直接拨打陌生消息当中附带的客服电话遇到账户异常提示关闭消息自行从官方 APP、官方网站查找公开客服渠道进行核实不要使用诈骗消息提供的联系方式第三建立核心安全底线无论通话对方如何描述场景绝不向电话当中的人员口述银行卡安全码、短信一次性验证码第四不要相信来电显示虚拟网络电话可以篡改来电显示来电显示号码不能证明对方身份第五定期查看银行卡交易记录一旦出现不明交易第一时间冻结卡片并且报警。普通用户很容易过度信任手机系统自带消息应用应当建立认知消息应用本身可信但是消息的发送方身份不一定可信不能因为消息出现在系统原生消息收件箱就默认消息内容真实可靠。7 结语新加坡爆发的 iMessage 冒充 DBS 银行与 Shopee 电商的钓鱼诈骗案例展现网络钓鱼攻击又一次重要的模式转变。诈骗分子利用私有即时通讯服务的监管与过滤盲区放弃传统钓鱼网页载体采用 “iMessage 消息投递 虚假热线电话社会工程” 的组合攻击方式绕过大量基于恶意 URL 的传统反钓鱼检测手段借助心理操控套取银行卡凭据完成盗刷。同期大规模 iMessage 诈骗活动数据显示该模式已经形成规模化犯罪活动并非零散个案。该类诈骗的难点在于攻击链路跨越私有消息平台和语音通话网络运营商传统反诈体系无法覆盖 iMessage 私有协议第三方安全工具很难深度介入消息解析防护工作需要平台厂商落实账号风控与消息风险提示监管完善跨生态反诈制度金融电商机构做好用户科普终端用户建立对应的风险识别习惯多方共同形成防护闭环。该诈骗模式具备跨地域复制的能力只要存在大量对应设备终端用户诈骗团伙就可以迁移作案。传统只针对网页、运营商短信的反钓鱼思路已经不足以应对新型威胁安全研究需要持续跟踪私有即时通讯渠道的诈骗变体关注攻击从网页向语音、线下交互延伸的演化趋势不断更新识别与防御策略。编辑芦笛公共互联网反网络钓鱼工作组来源迪妙网络空间安全学院