某天上午，财务部几位同事几乎同时收到“考勤系统升级”的邮件，页面长得和内部门户一模一样。有人扫了里面的二维码，接下来半小时，攻击者的动向大概是这样的：

• 第一步：借合法会话横移
  扫码等于交出一次性令牌，恶意脚本拿到会话 Cookie，跳过密码环节直接进入内网文档区。

• 第二步：翻通讯录扩大覆盖面
  被控账号自动给全组发送同款邮件，标题换成“会议室预定变更”，欺骗率明显上升。

• 第三步：蹲守高价值目录
  攻击者不会立刻删库，而是静默订阅共享盘变更，等季度报表归集完成再批量拉取。

事后复盘通常会落在三条控制上，成本都不高：

值得纠正的一个误区：“密码够复杂就没事”已经不成立。 现在被利用的多半是用户已经登录的活跃会话，而不是明文凭证本身。QR码钓鱼（Quishing）之所以增长快，正是因为它绕开了传统邮件附件检测。

📌 可复用习惯：看到任何“请立即扫码核验”的内部通知，先去书签里手动敲门户地址，而不是点邮件里的链接。

EEC 工信教考中心，网络与信息安全工程师，北京青蓝智慧科技

马老师13521730416

丁老师13522094648

想把这些对抗思路串起来，可以从“身份—端点—日志”三个域分别搭最小实验台，先跑通告警闭环，再回来看策略缺哪块。