钓鱼工具包（Phishing Kit）与 PhaaS 平台是如何运作的？

Europol 在 LabHost 行动通报中把这一模式定义为「犯罪即服务」在钓鱼领域的落地：威胁行为体把工具、专长或服务出租、出售给其他犯罪者。LabHost 采用按月订阅模式，平均月费约 249 美元，订阅内容包含钓鱼工具包、承载钓鱼页面的基础设施、与受害者直接互动的交互能力，以及活动总览服务。不同订阅档位对应不同的目标范围，从金融机构到邮政投递、电信运营商逐级放开。平台提供一份包含 170 余套仿冒站点的「菜单」，用户点几下即可部署定制化钓鱼站。

LabHost 最具破坏性的组件是集成式活动管理工具 LabRat：它让部署攻击者能够实时监控与操控正在进行的钓鱼会话，并被专门设计用于捕获双因素验证码与凭据，从而绕过已启用的强化安全措施。这意味着典型钓鱼工具包已不再是「静态假页面 + 表单回传」，而是一套具备实时中继能力的对抗式基础设施——受害者在假页面输入的一次性验证码会被即时转发到真实站点完成登录。调查共发现至少 40,000 个与 LabHost 关联的钓鱼域名，平台在全球拥有约 10,000 名用户。

识别工具包化钓鱼可关注几类特征：其一，同一模板家族在大量新注册域名上批量复用，页面结构、资源路径与表单 action 高度同构；其二，页面向后端提交的终点集中在少数收集服务或消息机器人；其三，存在实时中继迹象——页面在提交凭据后追加索要一次性验证码，且真实站点几乎同时出现异地登录。取证时应在隔离沙箱用无头浏览器完整抓取请求响应链、证书指纹与重定向路径，提取域名、IP 与模板哈希下发网关与 DNS 拦截，切勿在生产网直接交互。

Europol IOCTA 2026（2026 年 4 月 28 日发布，副标题「加密、代理与 AI 如何扩张网络犯罪」）延续了这一判断：暗网市场与论坛在持续执法压力下仍表现出高度韧性，钓鱼工具包、勒索软件工具与欺诈基础设施以「服务化」形式流通，使不具备技术能力的行为体也能发起复杂攻击。企业侧最有效的结构性对策是抗钓鱼的多因素认证（FIDO2/Passkey，凭据与来源域名绑定，实时中继无法复用），辅以品牌域名监测、证书透明日志告警与网关 URL 沙箱。LabHost 行动由英国伦敦警察厅主导、Europol 欧洲网络犯罪中心（EC3）与 J-CAT 支持，2024 年 4 月 14—17 日在全球搜查 70 处地址、逮捕 37 名嫌疑人，19 个国家参与。