勒索软件如何通过邮件投递链入侵企业（Europol IOCTA 视角）？

典型链条：钓鱼/入侵获取凭证 → 信息窃取木马（infostealer）导出日志 → 初始访问经纪人（IAB）将系统访问权挂牌出售 → 勒索软件团伙购入初始访问 → 部署勒索软件。Europol 举例：一家欧洲中型企业从未被直接入侵，却因供应链数据泄露在论坛出售而成为勒索受害者——「你无需做错任何事也可能被害」。

「ClickFix」仿冒 CAPTCHA/错误提示，诱骗用户自行运行命令安装恶意软件；被盗凭证、支付卡数据在论坛批量交易。邮件仍是勒索软件最主要的初始入侵载体之一，配合已知漏洞利用与人类行为操纵。

IOCTA 2025 强调 IAB 在专门犯罪平台持续投放访问权与关联商品以分散风险；端到端加密（E2EE）应用越来越多被用于协商销售与被害者（含儿童）个人信息交易，显著增加执法取证难度。

• 修补已知漏洞、收敛暴露面，降低 IAB 可售访问权。
• 强制 MFA 与终端 EDR，部署 SPF/DKIM/DMARC 阻断伪造发件。
• 面向全员培训识别 ClickFix 与「自行运行命令」话术。
• 常态化离线备份与事件响应演练，监控 IAB/暗网情报。