微软发现了一个接受泰达币（USDT）作为付款方式的网络钓鱼供应商网络，并将这些供应商提供的工具与针对多达7.5万家组织的攻击活动联系起来。这一发现凸显了犯罪服务提供商如何利用稳定币收取付款，以及这种付款模式如何助长工业规模的网络钓鱼攻击。

“钓鱼即服务”模式中的供应商

据微软称，被识别的相关方以“钓鱼即服务”（Phishing-as-a-Service）模式中的供应商身份运营。这意味着他们不一定亲自实施每一次攻击，而是向其他犯罪分子出售或出租现成的网络钓鱼工具，由后者执行实际攻击活动。这种分工模式——工具开发者服务于作为客户的犯罪分子而非直接发起攻击——是研究人员在其他犯罪服务市场中观察到的结构，它降低了发动高可信度攻击所需的技术门槛。

这些供应商的一个已报道特征是，他们接受USDT——由泰达公司（Tether）发行的锚定美元的稳定币——作为付款方式。稳定币是一种旨在保持固定价值的加密货币，在本例中为每枚代币对应1美元。这种价格稳定性在此背景下尤为重要，因为它消除了从收款到变现期间持有波动性较大加密货币的风险。接受USDT使供应商无需接触传统银行账户即可收款，而这类账户比传统的电汇更难被调查人员追踪。

微软的发现针对的是一个特定的犯罪市场，而非广义上的加密货币支付。接受USDT是这些特定供应商的一个已报道特征；这并不意味着普通的USDT交易就可疑，泰达币本身是一种被广泛使用、具有合法用途的金融工具。尽管如此，这一模式与微软此前的安全研究相一致，包括此前关于加密货币恶意软件活动从简单的窃密工具演变为更复杂后门的警告。

这些工具如何与7.5万家组织产生关联

微软报告称，被识别方提供的网络钓鱼工具被用于针对多达7.5万家组织的攻击活动。该数字描述的是潜在攻击范围，即被这些工具攻击或暴露于攻击之下的组织，而不一定是被完全入侵的组织。

这一区别很重要。被网络钓鱼活动攻击并不意味着组织的账户或数据就一定被访问过。不过，7.5万家组织的规模确实说明了供应商模式能够将攻击能力传播到多么广泛的范围：少数几个供应商就能让购买或租用工具的多个独立犯罪运营者发起数量远超的攻击活动。

根据现有信息，微软尚未公开披露这7.5万家组织属于哪些行业或地区。在微软所提供的信息之外推断地理位置、行业分布或已确认的受害者数量，将超出证据所能支持的范围。

这对组织和加密货币用户意味着什么

这一发现凸显了“钓鱼即服务”市场的运营方式与合法的“软件即服务”企业相似，同样拥有供应商、客户和支付通道。加密货币，尤其是稳定币，之所以会出现在这些非法市场中作为付款方式，是因为交易可以快速跨境进行，并绕开传统银行体系。

网络钓鱼仍然是攻击者在组织内获得初始立足点的最常见手段之一，因为一个被窃取的凭证就可能导致账户被接管及后续欺诈。对组织而言，无论供应商如何收款，实际的应对措施都是一样的：

• 在点击电子邮件或消息中的任何链接之前，先核实发件人。
• 检查登录页面是否使用正确的域名。
• 启用抗钓鱼多因素认证，该认证要求使用实体密钥或设备确认，而非通过短信发送的验证码。
• 将可疑消息报告给IT或安全团队，而不是置之不理。

对于USDT或其他稳定币的用户来说，微软发现提醒人们，加密货币支付通道是现代犯罪经济的一部分，尽管绝大多数稳定币活动是合法的。了解这些市场的运作方式，有助于解释为什么安全研究人员和执法部门密切关注与网络犯罪相关的链上支付模式。微软相关的安全研究此前已表明，加密货币窃密工具如何演变为针对个人和组织的持续性威胁。

任何收到意外登录请求、被要求验证凭证的消息，或被要求点击链接以保护账户的电子邮件的人，都应保持警惕。这些正是微软研究所描述的那类网络钓鱼攻击活动的常见传播机制。针对此类供应商网络的后续通告、已发布的威胁指标或执法行动，将有助于更清晰地了解这一生态系统的发展，这也是安全团队和研究人员在此类披露之后往往会密切关注威胁情报渠道的原因。

**免责声明：**本文仅供信息参考，不构成财务或投资建议。加密货币和数字资产市场具有重大风险。在做出决策之前，请务必自行研究。