Cisco Talos警示：攻击者滥用AI工作流平台n8n实施钓鱼，含恶意webhook邮件量一年增686%

滥用模式：以可信域名托管恶意下载

n8n 是连接各类应用与服务的低代码自动化平台，本用于合法工作流。攻击者利用其 webhook 功能，发送内含 n8n 托管 webhook 链接的钓鱼邮件——伪装成 Microsoft OneDrive 共享文件夹。用户点击后打开带 CAPTCHA 验证的页面，完成验证后出现下载按钮，页面内 JavaScript 从外部主机下载恶意可执行文件。由于整个过程封装在 HTML 的 JavaScript 中，浏览器会认为下载来自 n8n 这样的可信域名，从而绕过用户对陌生来源的警觉。

追踪像素：开信确认 + 设备指纹

更隐蔽的一层是邮件内嵌利用 n8n webhook 的隐形追踪像素：当邮件客户端加载图片时，会向 webhook 发送带跟踪参数（如受害者邮箱地址）的 HTTP 请求。攻击者借此确认用户是否打开邮件，并收集设备信息——把"邮件打开行为"本身变成情报来源，用于筛选高价值目标与优化后续投递。

增长数据：一年近 7 倍

Talos 观测到，自 2025 年 10 月至 2026 年 3 月，威胁行为者持续滥用 n8n 发起钓鱼；2026 年 3 月含恶意 n8n webhook 链接的邮件量较 2025 年 1 月提升约 686%。这与 AI 工作流平台普及同步——攻击者把"生产力工具"改造成"持久远程访问的投递载体"。

本质：利用可信基础设施绕过检测

这类攻击的核心不是新漏洞，而是信任转移：载荷与 C2 逻辑都跑在合法 SaaS 域名之下，传统基于域名信誉与文件签名的检测会失效。这与 Cisco Talos 同期披露的 "Trojan horse in your inbox"（攻击者劫持 GitHub/Jira 等合法通知管道发钓鱼）是同一趋势——用"盖章的通行证"绕过邮件安全。

防护建议

对邮件安全运营者：对出站/入站中来自 SaaS 与自动化平台的 webhook 做域名信誉与 DLP 审查；邮件网关需识别"可信域名托管的可疑下载"（即下载动作发生在页面 JS 内、下载源为外部主机）；对含隐形像素的邮件做发件人关系基线校验；并对 n8n、Zapier 类自动化平台的租户做异常工作流监测。