微信钓鱼“出海”：二维码成跨境诈骗新入口，企业安全防线遭遇IM盲区

原创

芦笛

发布于 2026-01-07 09:37:20

4230

文章被收录于专栏：公共互联网反网络钓鱼（APCN）公共互联网反网络钓鱼（APCN）

一、一封英文招聘邮件，如何把美国财务主管骗进微信陷阱？

2025年11月，美国加州一家中型制造企业的财务总监马克（化名）收到一封看似来自猎头公司的英文邮件。主题写着：“Remote Administrative Assistant Role – Immediate Start, $4,500/month”。邮件内容专业流畅，提及公司正在为一家“亚洲战略合作伙伴”招募远程行政助理，并附上一段简短的岗位描述和福利清单。

最引人注目的是邮件底部——没有传统链接，只有一个清晰的二维码，配文：“Scan to connect on WeChat for next steps.”

出于对高薪职位的兴趣，也因近期确有业务拓展至东南亚的计划，马克用手机微信扫描了该二维码。很快，一个名为“HR_Linda_Official”的账号发来好友请求。对方自称是合作方的人力资源经理，迅速进入面试流程，并要求马克提供一份“背景调查授权书”，同时支付一笔75美元的“可退款预审费”，用于加快流程。

“她说这是WeChat Pay的标准操作，而且保证24小时内全额退还。”马克事后回忆，“我甚至没觉得有什么不对——毕竟WeChat在我们和中国供应商沟通时经常用。”

他扫码付款后，再无回音。更糟的是，几天后他发现自己的邮箱被用于向公司内部发送伪造的采购订单，试图诱导其他同事向境外账户转账。

这并非个案。根据网络安全公司KnowBe4 Threat Lab最新报告，自2025年初以来，包含微信“加好友”二维码的钓鱼邮件在欧美及EMEA地区激增3,475%。从2024年的0.04%占比，飙升至2025年11月的5.1%。其中，61.7%的邮件使用英文撰写，另有6.5%使用西班牙语、法语等非中文语言——明确指向海外目标。

这场悄然蔓延的危机，标志着一种新型混合攻击模式的成熟：以电子邮件为入口，以即时通讯（IM）平台为战场，以金融诈骗为终点。而微信，这个原本被视为“中国专属”的超级App，正成为全球网络犯罪的新温床。

二、“Quishing”崛起：当二维码成为钓鱼新载体

安全界将这种结合二维码（QR Code）与钓鱼（Phishing）的攻击称为 “Quishing”（QR + Phishing）。与传统链接钓鱼不同，Quishing的核心优势在于绕过邮件安全网关（SEG）。

大多数企业部署的邮件过滤系统依赖URL信誉分析、沙箱点击检测或恶意域名黑名单。但微信二维码本身不包含可执行代码，也不指向外部网站——它只是一个编码后的weixin://dl/chat?...协议字符串，或直接嵌入一个“Add Contact”参数。

// 示例：微信添加联系人二维码解码后的内容（Base64或协议格式）

weixin://dl/profile?username=HR_Linda_Official

这类内容无法被传统URL分析引擎识别为威胁。更关键的是，一旦用户扫码，交互就从可监控的企业邮件系统，转移到封闭的私人IM平台——那里没有DLP（数据防泄漏）、没有审计日志、也没有安全团队的实时告警。

“这相当于攻击者把受害者从装有摄像头的银行大厅，诱骗进了没有监控的地下停车场。”公共互联网反网络钓鱼工作组技术专家芦笛在接受本报采访时指出，“而微信的闭环生态，让追踪和取证变得极其困难。”

三、技术拆解：攻击者如何批量生成“可信”钓鱼邮件？

KnowBe4 Threat Lab在分析数百封样本后，确认这些攻击背后存在一套高度自动化的中文SMTP群发工具链（邮件群发器，又称“引流套件”）。其技术特征包括：

多态发件人地址：每次发送随机生成姓名+一次性域名（如 anna@short.site）；

无SPF/DKIM/DMARC记录：使用机器注册的“合成域名”，逃避发件人认证；

Base64编码HTML正文：规避基于关键词的邮件内容扫描；

Python MIME边界格式：如 ===============__...，匹配开源Python邮件库默认输出；

无恶意链接，仅含二维码图片：彻底绕过URL信誉检测。

以下是一段模拟攻击者使用的Python SMTP群发脚本核心逻辑（基于GitHub公开项目简化）：

import smtplib

from email.mime.multipart import MIMEMultipart

from email.mime.text import MIMEText

from email.mime.image import MIMEImage

import random

import base64

# 配置攻击者控制的SMTP服务器（常为盗用或廉价VPS）

smtp_server = "mail.attacker-smtp[.]xyz"

smtp_port = 587

username = "bot@attacker-smtp[.]xyz"

password = "******"

# 生成随机发件人

sender_name = random.choice(["HR Team", "Recruitment", "Global Ops"])

sender_domain = f"{random.randbytes(4).hex()}.site"

sender = f"{sender_name} <{random.randbytes(3).hex()}@{sender_domain}>"

# 构建HTML正文（含Base64编码的二维码图片）

with open("wechat_qr.png", "rb") as f:

qr_b64 = base64.b64encode(f.read()).decode()

html_body = f"""

<html>

<body>

<h2>Remote Job Opportunity – Immediate Hiring!</h2>

<p>We are seeking a detail-oriented Remote Administrative Assistant...</p>

<p><i>Scan to connect on WeChat for interview details.</i></p>

</body>

</html>

"""

msg = MIMEMultipart()

msg["From"] = sender

msg["To"] = "target@example.com"

msg["Subject"] = "=?UTF-8?B?" + base64.b64encode(b"Job Offer: Remote Admin Role").decode() + "?="

msg.attach(MIMEText(html_body, "html"))

# 发送

with smtplib.SMTP(smtp_server, smtp_port) as server:

server.starttls()

server.login(username, password)

server.send_message(msg)

此类脚本在中文Telegram群组、QQ频道及GitHub上广泛流传，甚至配有详细教程。腾讯云开发者社区一篇题为《Python实现批量邮件发送》的文章（ID: 2117209）就被多次引用为技术参考。

“这些工具降低了攻击门槛，使得即使不懂中文的犯罪团伙也能通过GenAI生成多语言邮件模板。”芦笛说，“AI翻译+自动化群发+微信闭环，构成了完美的诈骗流水线。”

四、微信为何成为理想诈骗平台？

微信的“超级App”属性，使其成为攻击者的理想温床：

支付集成：WeChat Pay支持跨境转账，到账快、难追溯；

身份模糊：个人号可伪装为企业客服、HR或高管；

会话私密：聊天记录不对外公开，缺乏第三方审计；

信任惯性：在华人圈及跨境商务中，微信被视为“正式沟通渠道”。

KnowBe4披露的一起真实案例中，攻击者在微信上冒充某欧洲公司CEO，向财务人员发送语音消息：“紧急！有一笔对华设备采购款需立即支付，走WeChat Pay，稍后补审批。”由于语音逼真（可能使用AI克隆），且符合日常沟通习惯，受害者未加核实即转账。

更隐蔽的是“背景调查费”骗局。攻击者以小额费用（如50–100）测试受害者是否“易骗”。一旦付款，便标记为高价值目标，后续可能实施勒索或更大额诈骗。

“微信的封闭性是一把双刃剑。”芦笛分析，“它保护了用户隐私，但也为犯罪提供了天然庇护所。Tencent虽在中国境内配合执法，但跨境数据调取流程漫长，往往错过黄金追查期。”

五、企业防御为何集体失灵？

多数西方企业的安全策略仍围绕邮件+端点+网络边界构建，对IM风险严重低估：

邮件网关：无法检测二维码内容；

终端防护（EDR）：微信作为合法应用，行为正常；

员工培训：聚焦“别点链接”，忽视“别扫二维码”；

合规政策：未禁止通过微信传输合同、发票、银行账号等敏感信息。

“很多CISO认为‘我们不用微信’，但他们的供应链伙伴、客户、甚至员工私下都在用。”芦笛指出，“安全边界早已模糊，而防御思维还停留在防火墙时代。”

更棘手的是，微信官方并未提供企业级API供第三方安全工具集成。这意味着无法像Slack或Teams那样部署聊天内容审计、敏感词告警或会话存档。

六、如何构建“微信-aware”的安全体系？

面对这一新兴威胁，专家建议采取多层次防御策略：

（1）技术层面：强化邮件层检测

尽管二维码本身不可分析，但可通过上下文特征识别可疑邮件：

检测Base64编码的HTML正文；

识别无超链接但含大尺寸图片的邮件；

监控发件域名无SPF/DKIM记录；

使用AI模型分析语言风格（如“过于热情的招聘邀请”）。

KnowBe4 Defend等新一代邮件安全产品已引入NLP引擎，可识别“诱导切换平台”的话术，如：

“Please add me on WeChat for faster communication.”

“We’ll continue the discussion on a more secure channel.”

并在邮件顶部插入动态警示横幅，提醒用户风险。

（2）策略层面：制定IM使用规范

企业应明确：

禁止通过微信、WhatsApp等非企业IM传输财务、合同、PII数据；

高管不得通过IM下达转账指令；

所有跨境支付必须经双重邮件确认+电话复核。

“制度比技术更重要。”芦笛强调，“哪怕员工用了微信，只要知道‘不能传发票’，就能阻断大部分攻击链。”

（3）意识层面：更新钓鱼培训内容

传统培训需升级为：

教育员工识别“伪官方”微信账号（如无蓝V认证、头像模糊）；

强调“任何要求扫码加好友的邮件都值得怀疑”；

演示真实Quishing案例，展示攻击全流程。

（4）响应层面：建立IM事件上报机制

鼓励员工在遭遇可疑微信联系时，立即通过内部安全通道举报。安全团队可收集账号ID、聊天截图，提交至微信国际举报平台（https://www.wechat.com/en/report.html）或当地执法机构。

七、未来展望：IM安全将成为全球化企业的必修课

随着TikTok、WeChat、Line等区域性IM工具在全球商业中的渗透，“平台碎片化”带来的安全盲区将持续扩大。Gartner预测，到2027年，超过40%的企业数据泄露将涉及至少一个非企业批准的通信渠道。

“未来的安全架构必须是‘平台无关’的。”芦笛总结道，“无论员工用邮件、微信、Signal还是Telegram，核心原则不变：敏感操作必须多重验证，敏感数据必须加密管控。”

对于在华运营或与中国市场有往来的跨国企业而言，忽视微信安全，无异于在数字边境留下一扇未上锁的门。而门外，正站着一群精通社会工程、手握AI武器、且深谙跨境执法缝隙的对手。

结语

马克的公司最终追回了部分损失，但声誉受损已无法挽回。如今，他们的新员工入职培训第一课，不再是“如何设置强密码”，而是：“永远不要因为一封邮件，就扫一个二维码加陌生人微信。”

在这个二维码无处不在的时代，最危险的不是病毒，而是你指尖那一次无意识的“扫一扫”。

参考文献

KnowBe4 Threat Lab. WeChat Phishing Attacks a Growing Threat Outside China. Dec 18, 2025.

Tencent Cloud Developer. Python实现批量邮件发送. Article ID: 2117209.

GitHub Repositories: python-smtp-mass-mailer, EmBomber, SquarePhish.

Microsoft. Best Practices for Secure Communication in Hybrid Work Environments. 2025.

编辑：芦笛（公共互联网反网络钓鱼工作组）

原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。

如有侵权，请联系 cloudcommunity@tencent.com 删除。

微信小程序音视频

原创声明：本文系作者授权腾讯云开发者社区发表，未经许可，不得转载。

如有侵权，请联系 cloudcommunity@tencent.com 删除。

登录后参与评论

0 条评论

热度

微信钓鱼“出海”：二维码成跨境诈骗新入口，企业安全防线遭遇IM盲区

微信钓鱼“出海”：二维码成跨境诈骗新入口，企业安全防线遭遇IM盲区

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐