Staying Safe Online During the COVID-19 Pandemic

测试团队将中奖码藏入饼干房「幸运饼干」，以 50 美元亚马逊礼品卡为饵，诱导员工访问仿冒登录页并通过 Evilginx 窃取会话，证明二维码/纸质链接等非传统钓鱼媒介可绕过邮件安全培训。

渗透测试人员在混合 BAS 与社工钓鱼演练中发现 Mimecast Targeted Threat Protection 的 URL 防护与文件检查绕过手法，已负责任披露并登上 Mimecast 安全研究者荣誉墙；文章提醒组织需要纵深防御，前端邮件网关失守时应有分层控制兜底。

员工重返办公室之际社交工程风险上升：伪造返岗通知邮件、诱骗帮助台注册 MFA 令牌、冒充新员工获取物理访问等手段值得警惕。Verizon DBIR 显示 85% 的泄露涉及人为因素，文章给出五项防范建议。

全员远程办公的安全要点：先补人员培训防钓鱼，再加固终端——统一安全基线镜像、跟踪关键补丁、管控应用安装；文章提醒危机时期攻击活动反而增多，主机安全是随办公移动化而快速扩张的攻击面。

端到端加密不等于安全：WhatsApp 基于 Signal 协议的传输加密确实保护消息内容，但钓鱼链接、恶意文件依旧畅通无阻，终端与应用层风险并未消失；用户常因「加密」标签产生虚假安全感。

识别网络钓鱼的实用指南：邮件钓鱼、鱼叉钓鱼、短信与语音钓鱼及鲸钓，附示例话术、紧迫感与索要敏感信息等危险信号，以及防御策略。