金融行业网络安全监测月报(202610)

GMO Internet在10月27日官方通报中称，Onamae云桌面遭未授权访问后，疑似攻击者公布了声称与公司及客户有关的信息，其真实性和内容仍在核验。该服务已于10月21日暂停，企业随后开展客户设备分析、损失补偿及替代服务安排。截至该次通报，尚未确认发生勒索软件攻击，不能将威胁邮件等同于已发生文件加密。对依赖云桌面开展金融交易的企业而言，此类事件可能同时影响业务连续性、账户安全和客户信息保护；评估应以实际使用范围及核验结果为准。

攻击手法（MITRE ATT&CK映射）：

• 未授权访问： 官方确认云桌面服务遭第三方非法访问，但初始入口及所用漏洞尚未披露，不强行对应具体ATT&CK技术编号。

• 信息泄露与勒索施压： 疑似攻击者公布声称窃取的数据并发送威胁邮件；数据真实性仍待核验，不据此认定全部客户信息泄露。

• 服务中断影响： 公司出于事件处置暂停云桌面，属于防护性停服措施，不能直接等同于攻击者实施拒绝服务或数据加密。

───────────────────────────────────

事件名称： 威胁者滥用AI渗透测试框架| ThreatLabz

发布机构： Zscaler ThreatLabz

2026年9月下旬，一起针对韩国金融机构的AI辅助攻击活动被发现。Zscaler ThreatLabz分析显示，攻击者滥用ARTEX代理式渗透测试框架，自动探测客户查询门户及员工移动应用后端，利用SQL注入、认证绕过等漏洞获取未经授权的访问，并外传约6.7万人的个人信息，涉及姓名、电话号码、年收入和贷款额度等。攻击目标集中于面向互联网的外围Web应用，攻击者借助AI串联侦察、漏洞利用和数据窃取流程。泄露信息可能被进一步用于金融欺诈和社会工程攻击，对客户信息及账户安全构成风险。

攻击手法（MITRE ATT&CK映射）：

• 主动扫描(T1595)： 借助ARTEX自动识别和探测金融机构面向互联网的外围Web应用，包括查询门户及员工移动应用后端。

• 利用面向公众的应用程序(T1190)： 利用外围Web应用中的SQL注入、认证绕过等漏洞，获取未经授权的访问。

• 个人信息外传： 窃取并外传含姓名、电话、年收入和贷款额度的记录；素材未明确外传通道，不强行对应具体外传技术编号。

───────────────────────────────────

事件名称： CyberDakait七类安卓木马针对银行客户实施欺诈

Group-IB披露CyberDakait面向印度银行客户的安卓恶意软件活动，归纳出七类木马。攻击者冒充银行人员，以取消信用卡保护计划等借口发送钓鱼链接，诱导安装恶意APK，通过仿冒界面窃取网银凭证与信用卡资料，并截取短信和验证码；部分组件同时挖矿。研究统计涉及至少17,960台受感染设备、约761万条被截取短信，属于整个调查活动的累计发现，并非10月单月新增。这些风险集中于客户终端和认证环节，不能据此认定银行核心系统失陷。

攻击手法（MITRE ATT&CK Mobile映射）：

• 钓鱼与社会工程(T1660)： 冒充银行客服，借助短信、语音及WhatsApp链接引导用户访问钓鱼页面并安装恶意APK。

• 图形界面输入捕获(T1417.002)： 以伪装银行或身份核验界面收集网银登录信息、信用卡资料等敏感输入。

• 短信收集(T1636.004)： 读取受害设备短信，窃取一次性验证码、交易通知和其他账户相关信息。

• 通过C2通道外传(T1646)： 经Telegram、Firebase或远程服务器外传数据。

• Domain（节选）： cancelcardprotection.online, cancelcpservice.in, cardprotections.in, install-update.xyz

• IP（节选）： 64.89.163.3, 78.159.156.74, 144.31.244.184, 46.151.182.28

43b217184f7765c699fd887fe22c07c7656483dc088e0214587a4890b2b6aee6

34b75b78b6c575c8a9e71f712be9d90aa35a3a04b48839f86282678107f7876d

───────────────────────────────────

事件名称： Udesk相关客服脚本投毒窃取数据并篡改充值地址

慢雾分析发现，Udesk相关客服脚本样本被追加恶意加载逻辑，从仿冒域名udeskqlobal.com加载deeps.js。载荷可读取页面可访问的Cookie和浏览器存储，并截取表单及认证请求；在匹配站点的充值场景中，还会修改展示地址与剪贴板内容，可能使用户将资产转入攻击者地址。数据采集路径不限于地址替换规则匹配的站点，排查应覆盖实际加载污染脚本的页面。投毒入口、完整受影响范围和实际资金损失仍未确认。

攻击手法（MITRE ATT&CK映射）：

• JavaScript执行(T1059.007)： 污染脚本动态加载远程恶意JS，在其所在页面上下文中执行窃密和页面修改逻辑。

• 窃取Web会话Cookie(T1539)： 读取脚本可访问的Cookie及存储中的会话信息，可能为登录会话冒用创造条件。

• 充值地址与剪贴板篡改： 同步替换页面与复制的地址，诱导错误转账。

• Domain： udeskqlobal.com

• URL：

• SHA256： 45b4e8f160d8d5177819f6c1dc67acc7abbdc65eeaffc909e668799dc778bcf6, 57c1441c4f5bb3260981a2df64f9ff35f117abde0d8667c8c66a047880074c59

───────────────────────────────────

AI辅助攻击加速第三方应用信任与云权限滥用

微软10月21日披露，Storm-0940将ARTEX用于扫描、密码喷洒和OAuth应用滥用，并关联ConnectWise供应链事件。攻击者借用已有应用授权，尝试进入下游Microsoft 365租户，在部分环境中开展Graph侦察、应用凭证修改及权限操作。原文所述超过2,250个租户是尝试登录范围，不等于均已被攻陷；存在受影响应用或出现成功认证，也不能单独证明数据被访问或外传。对金融企业而言，第三方应用权限与服务主体活动需要纳入常态监测，避免仅依赖交互式用户登录告警。

攻击节奏加快： 自动化并发活动压缩人工研判和响应时间，企业需要为异常认证、凭证新增及权限变更设置相应处置流程。

既有授权扩大影响： 清理原始受影响应用后，仍需核查其他凭证、身份及角色变更，结合授权范围、操作记录和资源访问判断实际影响。

• IP（节选）： 144.172.64.128, 144.172.64.99, 144.172.64.60

───────────────────────────────────

终端应用与权限管控： 通过官方渠道安装应用，防范假冒银行客服及取消收费等诱导话术，监测短信读取、无障碍权限和后台安装。疑似感染时先隔离，再用可信设备保护账户。

金融账户与认证保护： 结合设备异常、验证码使用与交易行为识别账户接管，采用抗钓鱼认证及独立交易确认；疑似受害时核查账户、限制可疑交易并撤销会话。

第三方脚本与页面完整性监测： 盘点客服、统计和支付等外部脚本，记录来源、版本和变更；结合内容安全策略、完整性校验及页面监控发现异常加载、敏感请求外传和地址变化。部署策略前评估对正常业务的影响。

恶意基础设施与云端活动排查： 将本报告所列域名、URL、IP及样本哈希纳入检测，结合访问时间和业务上下文研判；同步关联服务主体登录、Graph操作、凭证新增及权限变更，避免只做静态封堵。

云应用授权与供应商治理： 清点第三方应用及其租户授权，按最小权限管理，定期复核不再使用的集成。遇到供应商事件时保留配置与日志，依正式指引控制连接，确认异常后撤销权限、轮换凭证并验证剩余访问路径。

资产转移核验与业务连续性保障： 充值地址须与可信后台和独立渠道核对，不能仅比较同一受污染页面的展示值与复制值；开展到账对账和异常资金核查。对金融交易依赖的云桌面与备份服务，准备替代方案并演练恢复。

───────────────────────────────────

经过对本月相关事件的综合分析，金融行业安全风险呈现以下特点：

第三方服务风险关联交易连续性： GMO云桌面事件提示金融企业关注外部服务中断后的业务切换、账户保护及客户沟通；将已确认的影响与待核实信息分别管理。

移动端凭证与短信仍是欺诈目标： CyberDakait活动反映银行品牌仿冒、恶意APK与验证码窃取风险，金融机构应联动客户教育、移动风险监测和交易风控。

网页组件风险可传导至数字资产： Udesk样本揭示会话窃取与充值地址篡改风险，应联动脚本治理、会话撤销和独立地址核验。

云端防御需要覆盖非交互式身份： ARTEX相关活动提醒企业重视应用权限与服务主体行为。判断失陷范围要结合后续操作证据，及时响应异常授权，避免将触达规模等同于实际受害规模。

───────────────────────────────────

本报告基于2026年10月提供的公开威胁情报素材，重点分析GMO云桌面未授权访问、CyberDakait安卓银行木马、Udesk相关脚本投毒及ARTEX辅助供应链攻击，为金融行业客户提供安全防护参考。

情报时效性： 2026年10月 威胁评估等级： 高风险（基于本月公开情报素材）