针对美国金融机构的钓鱼攻击正散布在一张碎片化程度很高的托管服务网络之中，这使得虚假基础设施难以被有效围堵。
Netcraft 的最新研究显示，2026 年上半年共发现近 4 万个与美国金融服务相关的独立钓鱼 URL，这些 URL 背后涉及 645 家托管服务商和 576 家域名注册机构，而较新的服务以及自动化 AI 工具，帮助攻击者得以在不同平台之间快速迁移。
廉价基础设施让攻击活动成倍增加
如果把视线从欺诈网站本身转向承载这些攻击的服务，活动规模会呈现得更加清晰。2026 年上半年记录的针对美国金融服务的钓鱼 URL 中，免费开发者托管与应用程序托管占到了 12.6%，也就是说，大约每八次被观测到的攻击里，就有一次依赖攻击者无需支付常规托管费用即可取得的基础设施。
Netcraft 发现，第一季度到第二季度之间基础设施的使用情况出现了明显变化，这表明当某些基础设施无法继续使用或变得不那么好用之后，犯罪分子会转向其他服务。AI 让这种迁移变得更加容易，它可以帮助使用者建站、复刻合法页面，并以更低的技术门槛部署恶意基础设施。Netcraft 指出，生成式 AI 建站工具和页面克隆工具越来越多地附带免费网页托管选项，进一步减少了搭建攻击活动所需的工作量。
被冒充的金融品牌也反映出攻击者在报告期内集中用力的方向。支付服务商占被观测钓鱼活动的 37.2%，而在这一细分类别中，PayPal 占到了 80.6%。在涉及卡组织的观测活动中，美国运通占 72.8%，足见攻击活动对辨识度高的金融品牌倾斜程度之重。
Omegatech 成为另一个攻击基础设施来源
随着 Omegatech 的出现，基础设施图景进一步发生变化。这是一家总部位于塞舌尔的付费托管服务商，于 2026 年 1 月开始运营。到 6 月，Netcraft 已将针对美国金融服务观测到的钓鱼攻击中约 3% 归因于通过 Omegatech 托管的基础设施。
其中一个集群包含 16 个 .es 域名，在 2026 年 3 月 25 日至 4 月 21 日之间生成了 585 个独立攻击 URL。这些域名通过子域名冒充了 41 个金融品牌，使单一集群即可支撑针对众多机构的攻击活动。其中许多域名的注册数据无法获取，这限制了对注册这些基础设施的公司进行追溯的可见度。
Omegatech 出现的同时，另一场大型攻击活动正逐步收尾——此前它通过 Darcula 钓鱼平台针对富达投资（Fidelity Investments）发动攻击。该行动从第一季度到第二季度下降了七倍，在此之前，它曾占据冒充富达的钓鱼基础设施的一半以上。
与此同时，具有经济动机的朝鲜相关团体和有组织犯罪分子仍在持续攻击银行、加密货币服务以及已被入侵的账户。这种不断变化的组合说明，攻击者并不依赖单一平台、单一活动或单一手法来触达金融客户。
建议金融企业密切监控新注册域名、限制可疑链接，并强化员工身份核实流程，以防范冒充类攻击。
Q&A
Q1：2026年上半年针对美国金融服务发现了多少钓鱼攻击？
A：Netcraft 的研究发现，2026 年上半年共发现近 4 万个与美国金融服务相关的独立钓鱼 URL，这些 URL 背后涉及 645 家托管服务商和 576 家域名注册机构，免费开发者与应用程序托管占到其中的 12.6%。
Q2：Omegatech是什么？它在钓鱼攻击中扮演什么角色？
A：Omegatech 是一家总部位于塞舌尔的付费托管服务商，2026 年 1 月开始运营。到当年 6 月，Netcraft 把针对美国金融服务观测到的钓鱼攻击中约 3% 归因于通过 Omegatech 托管的基础设施，其中一批 16 个 .es 域名曾生成 585 个攻击 URL。
Q3：金融公司应该如何防范这类钓鱼攻击？
A：文章建议金融企业密切监控新注册域名，限制可疑链接，并加强员工的身份核实流程，以应对冒用金融品牌发起的钓鱼攻击。此外还需注意攻击者在多个托管平台间快速迁移、且越来越多借助 AI 工具搭建虚假站点的趋势。
