知名风投机构a16z安全工程师Matt Gleason近日发布研究报告，详细剖析了当前最危险的6种钓鱼诈骗手法。这份指南基于FBI年度网络犯罪报告中最高发的攻击类型，为数字资产持有者提供了实用防护策略。
攻击者利用用户对Google等平台的信任，通过伪造调查邮件诱导登录。邮件虽显示来自官方域名，但实际链接指向恶意子页面。a16z建议用户注意三个关键细节：发件人邮箱异常、sites.google.com非官方托管属性、登录页面URL不符。启用Passkey可有效阻断此类攻击，因其加密签名会验证域名真实性。
通过购买搜索引擎广告位，黑客将仿冒网站置于结果顶部。案例显示，攻击者伪造Google Ads登录页窃取凭证。a16z提出双重防御方案：使用广告拦截器消除风险源，同时配合Passkey实现二次验证。数据显示，硬件密钥YubiKey等设备可降低99%的凭证泄露风险。
黑客伪装成招聘方，通过LinkedIn发送带恶意代码的"测试项目"。a16z发现，攻击者会针对性修改脚本逃避检测。安全专家强调，运行未知代码必须使用隔离设备，企业需建立代码审计流程。英国NCSC建议采用虚拟机沙箱环境处理外部文件。
攻击者劫持邮件线程后，插入伪造的付款信息。a16z分析案例显示，黑客会精准复制对话语境诱骗转账。防护要点在于：验证发件人完整邮箱、跨渠道二次确认、启用邮件加密签名。美国CISA统计显示，此类攻击2023年造成超20亿美元损失。
研究显示，通过隐藏提示词可操纵LLM输出虚假警报。a16z演示案例中，攻击者利用白字隐藏指令，诱导AI生成钓鱼内容。应对策略包括：人工复核AI输出、建立输入过滤机制、限制模型权限。目前Google等公司正在开发抗干扰训练方案。
Matt Gleason总结称，结合Passkey应用、设备隔离、流程验证三重防护，可抵御90%以上钓鱼攻击。a16z将持续更新安全防御方案，应对快速演变的网络威胁。数字资产持有者应定期审查账户安全设置，企业则需建立多层级防护体系。