摘要2026 年下半年美国多家医疗机构相继发布患者警示指出以 Epic 公司 MyChart 患者门户品牌名称与标识为伪装的网络钓鱼攻击活动呈现显著上升趋势。截至 2026 年 8 月 27 日已有 41 家医疗系统向患者发出相关警告美国医院协会亦于 8 月 24 日发布行业警示。该轮攻击并非源于 MyChart 平台自身存在安全漏洞而是攻击者利用患者对该品牌的高度信任通过电子邮件、短信、电话及仿冒网站等多渠道实施社会工程欺骗。攻击主要呈现两种典型模式其一为伪造检验结果通知诱导患者点击仿冒登录页面输入账号密码继而以 AI 驱动的血液检测异常 为由引导用户完成人机验证并植入恶意软件其二为虚构免费 Medicare 礼包 中奖通知通过限时问卷诱导患者提交支付信息与个人隐私数据。本文系统梳理该事件的发展脉络与攻击链路剖析医疗领域品牌仿冒钓鱼攻击的成因、技术特征与社会工程手法从医疗机构、患者个体及行业协同三个层面提出防御策略。反网络钓鱼技术专家芦笛指出医疗品牌仿冒钓鱼的核心危害不在于技术手段的先进性而在于攻击者将高信任度品牌资产转化为攻击载体使患者在医疗健康焦虑驱动下降低安全判断阈值。研究表明此类攻击具有低成本、高转化率、跨平台协同的特征单一技术防护手段难以有效遏制需要品牌方、医疗机构、行业组织与患者共同构建多层防御体系。关键词网络钓鱼患者门户品牌仿冒MyChart社会工程医疗数据安全1 引言患者门户作为医疗机构向患者提供在线服务的重要数字入口承载着检验报告查询、预约挂号、处方续开、医患沟通等核心功能已深度融入现代医疗服务流程。Epic 公司开发的 MyChart 患者门户在美国医疗体系中拥有广泛部署基础大量医疗机构依托该平台向患者提供数字化医疗服务品牌认知度与用户信任度均处于较高水平。正是这种广泛的品牌覆盖与用户信任使其成为网络钓鱼攻击者重点仿冒的目标。2026 年 7 月Epic 公司研发副总裁 Trevor Berceau 公开警示公司观测到利用 MyChart 名称或标识使电子邮件、短信、电话和网站看起来具有官方外观的诈骗活动呈现上升趋势。此后多家医疗机构陆续向患者发布警告提醒注意识别仿冒 MyChart 的钓鱼信息。截至 8 月 27 日发布相关警示的医疗系统数量已达 41 家。美国医院协会于 8 月 24 日在其平台发布网络钓鱼攻击警示建议各医院联系该机构网络安全专家获取更多信息。该事件的影响范围已从个别医疗机构扩展至全国性行业层面引发医疗信息安全领域的广泛关注。需要明确的是Epic 公司在官方声明中强调该轮钓鱼攻击活动的增加源于诈骗者利用 MyChart 品牌的高知名度而非平台本身存在任何安全问题用户可以继续正常使用患者门户。这一表态厘清了事件的技术归因攻击发生在品牌信任被滥用的社会工程层面而非平台系统安全层面。这一区分对于理解攻击本质、制定防御策略具有重要意义。当前医疗领域网络钓鱼研究多聚焦于医疗机构内部员工遭受的鱼叉式钓鱼攻击以及由此引发的勒索软件、数据泄露等后果针对患者端品牌仿冒钓鱼攻击的系统性研究相对不足。患者群体在数字安全素养方面存在显著差异老年患者、慢性病患者等群体对医疗信息的敏感度高、安全判断能力相对薄弱更容易成为此类攻击的目标。本文以 MyChart 品牌仿冒钓鱼事件为研究对象完整还原攻击链路与技术特征剖析医疗场景下品牌仿冒钓鱼的特殊风险提出具有可操作性的分层防御方案为医疗机构、医疗信息化厂商及患者群体应对同类威胁提供参考。2 MyChart 品牌仿冒钓鱼事件概况2.1 事件背景与发展时间线MyChart 是 Epic Systems 公司开发的患者在线门户产品被美国众多大型医疗系统采用患者可以通过网页端或移动应用访问个人健康记录、查看检验结果、管理处方、与医疗团队沟通。由于该产品在医疗行业的高渗透率MyChart 品牌在患者群体中具备广泛认知多数使用该平台的患者已经形成通过邮件或短信通知登录门户查看医疗信息的使用习惯这种行为惯性为钓鱼攻击提供了可利用的心理基础。2026 年 7 月Epic 公司研发副总裁 Trevor Berceau 首次公开提及该公司观测到的钓鱼活动上升趋势指出诈骗者正在利用 MyChart 名称或标识使电子邮件、短信、电话和网站看起来具有官方外观以此欺骗患者。这一公开警示标志着该轮攻击活动从分散的个案报告进入品牌方正式回应阶段。进入 8 月后攻击活动进一步扩散。Epic 公司在其官方网站发布了针对两类不同钓鱼骗局的详细警示说明描述了攻击的具体流程与欺骗手法。8 月 24 日美国医院协会在其平台发布网络钓鱼攻击警示将该问题提升至行业层面建议各医疗机构联系协会网络安全专家获取支持。截至 8 月 27 日根据 Beckers 的统计数据已有 41 家医疗系统向患者发布了关于此类钓鱼骗局的警告。从 7 月品牌方首次警示到 8 月底 41 家医疗机构跟进发布警告时间跨度仅约两个月反映出攻击活动扩散速度较快影响范围较广。2.2 受影响医疗机构范围与患者群体特征发布警示的 41 家医疗系统分布于美国各地涵盖不同规模的医疗机构包括大型综合医疗系统与区域型医院。这一分布特征表明攻击者并未局限于特定地理区域或特定规模的医疗机构而是利用 MyChart 品牌的全国性认知度开展广撒网式攻击。凡是部署了 MyChart 患者门户的医疗机构其患者都有可能收到仿冒该品牌的钓鱼信息。从目标患者群体特征来看攻击设计明显针对对医疗信息高度关注的人群。第一类攻击以 检验结果已出 为诱饵针对近期接受过血液检测或其他实验室检查的患者这类患者本身对检验结果存在焦虑情绪收到通知后倾向于尽快查看。第二类攻击以 免费 Medicare 礼包 为诱饵针对享受联邦医疗保险的老年患者群体该群体对医疗福利信息敏感度高同时在数字安全素养方面相对薄弱更容易被限时问卷、免费赠品等手法诱导。反网络钓鱼技术专家芦笛强调医疗场景下的钓鱼攻击之所以转化率高于普通电商或金融钓鱼根本原因在于攻击者精准利用了患者的健康焦虑心理。当邮件主题涉及个人检验结果、血液异常、紧急医疗建议时患者的安全警惕性会被健康关切所压制做出点击链接、输入密码等危险操作的概率显著提升。2.3 Epic 官方立场与行业响应Epic 公司在事件中的回应态度较为明确。公司在官方声明中指出钓鱼攻击的增加是由于诈骗者利用 MyChart 品牌的高知名度而非平台存在任何安全隐患用户可以继续正常使用门户。公司同时在官方网站发布了两类钓鱼骗局的详细说明帮助患者识别攻击特征并提供了防范建议包括检查发件人邮箱地址与网站域名是否存在拼写错误或多余字符以及 Epic 公司从不开展赠品活动任何声称中奖的邮件极有可能为伪造。美国医院协会于 8 月 24 日发布行业警示建议各医院联系协会网络安全专家获取更多信息。这一响应体现了行业组织对该威胁的重视但也反映出医疗机构在应对品牌仿冒钓鱼时存在能力差异部分机构需要依赖行业组织提供的专业支持。从整体响应模式来看品牌方与行业组织主要采取信息发布与患者教育的方式应对医疗机构层面则通过向患者发送警告通知来降低受骗概率。这种响应模式属于被动防御范畴在攻击快速扩散的背景下其有效性取决于信息传递的及时性与患者安全意识的实际提升程度。3 两类典型钓鱼攻击链路解析Epic 公司在官方警示中详细描述了两类独立的钓鱼骗局二者在诱饵设计、攻击目标与最终危害方面存在差异但均以仿冒 MyChart 品牌为核心手段。完整解析两类攻击链路有助于理解医疗品牌仿冒钓鱼的运作机制。3.1 检验结果通知型钓鱼攻击第一类攻击以检验结果通知为入口。患者收到一封外观上来自 MyChart 的电子邮件邮件内容告知患者近期的检验结果已经准备就绪并提供一个按钮引导患者登录患者门户查看。邮件的版式、配色、标识均模仿 MyChart 官方通知风格普通患者难以从外观上直接辨别真伪。当患者点击邮件中的登录按钮后浏览器被引导至一个仿冒的 MyChart 登录页面。该页面要求患者输入电子邮箱地址与密码。这一步是攻击的第一个核心收获点患者输入的 MyChart 账号凭据被攻击者直接获取。由于许多患者在多个网站使用相同或相似的密码攻击者获取的凭据不仅可以用于登录 MyChart还可能被用于尝试登录其他在线服务形成凭据填充攻击的次生风险。患者输入凭据后仿冒页面将其引导至一个伪造的 MyChart 网站界面。该界面显示一条紧急信息声称 AI 驱动的审查 在您的血液检测中发现了需要立即关注的关键模式。这一设计利用了患者对健康异常的焦虑心理同时借助 AI 这一当前具有技术权威感的词汇增强信息的可信度促使患者产生紧迫感急于查看所谓的异常结果。为了查看伪造的检验结果网站引导患者完成一项 人机验证 检查。这一步是攻击的第二个核心环节在患者完成验证的过程中恶意软件被安装到患者的设备上。攻击者利用人机验证这一用户普遍熟悉且信任的安全机制作为掩护将恶意载荷的投递过程包装成正常的安全验证流程患者在毫无察觉的情况下完成了恶意软件的安装。被植入的恶意软件可能具备窃取设备内其他敏感信息、记录键盘输入、远程控制设备等多种危害能力。在 8 月出现的该类攻击变体中仿冒网站向患者展示一张伪造的检验数值图表其中部分结果被涂黑处理。页面提供一个按钮提示患者点击以解锁完整报告查看被涂黑的结果及其诊断结论。涂黑处理制造了信息不完整带来的心理张力患者为了获取 完整 的健康信息更有可能按照页面指引执行后续操作从而落入攻击者设置的更深层陷阱。3.2 免费医疗礼包诱导型钓鱼攻击第二类攻击以免费医疗礼包为诱饵。患者收到电子邮件告知其赢得了一个免费的 Medicare 礼包内含价值 149 美元的医疗用品。Medicare 是美国联邦医疗保险计划覆盖 65 岁以上老年人及部分残障人士该群体对医疗福利相关信息具有天然的关注度与信任倾向。以 Medicare 礼包 为诱饵精准命中了目标群体对免费医疗资源的需求心理。患者点击邮件中的领取链接后被引导至一个带有 MyChart 标识的页面。页面声称已有超过 30 万美元的 MyChart 产品被赠送以此营造活动真实可信、参与人数众多的氛围。随后页面要求患者完成一份关于患者门户使用体验的简短问卷并特别强调必须在六分钟内完成。限时机制是社会工程攻击中常用的心理操纵手段通过制造时间压力迫使患者在未充分思考的情况下快速填写信息减少其识别骗局的机会。在问卷完成后的最后一步仿冒网站告知患者需要为礼包支付运费并要求患者输入支付信息同时收集电子邮箱地址、电话号码、邮寄地址等个人隐私数据。这一步是攻击的核心收获环节攻击者同时获取了患者的支付卡信息与完整个人身份信息。支付信息可被用于盗刷交易个人身份信息可被用于身份盗用、申请信用账户、提交虚假税务申报等多种后续犯罪活动。此外患者的邮寄地址等信息还可能被用于实施实体邮件诈骗或针对性的后续钓鱼攻击。3.3 攻击技术特征与社会工程手法分析综合两类攻击链路可以归纳出该轮 MyChart 品牌仿冒钓鱼攻击的若干核心特征。第一品牌仿冒是攻击的基础载体。攻击者在邮件、网站页面、甚至电话沟通中全面使用 MyChart 的名称与标识使攻击信息在外观上与官方通知高度一致。这种仿冒不依赖任何技术漏洞纯粹利用品牌视觉资产与用户信任关系属于典型的品牌滥用型社会工程攻击。第二多渠道协同扩大攻击覆盖面。Epic 公司在警示中明确提及攻击者同时使用电子邮件、短信、电话和网站四种渠道实施欺骗。多渠道协同意味着即使患者对某一渠道保持警惕也可能在另一渠道落入陷阱。例如患者可能对邮件中的链接保持谨慎但接到自称 MyChart 客服的电话后放松警惕按照电话指引访问仿冒网站。第三健康焦虑与利益诱惑双轨驱动。两类攻击分别利用了患者的两种核心心理弱点对健康异常的焦虑与对免费福利的渴望。检验结果型攻击通过制造 血液检测发现关键异常 的紧迫感驱动患者在焦虑状态下执行危险操作免费礼包型攻击通过 价值 149 美元医疗用品 的利益诱惑驱动患者在贪婪心理下提交敏感信息。两种心理驱动机制覆盖了不同特征的患者群体提升了攻击的整体转化率。第四恶意软件投递与信息窃取双目标并行。第一类攻击在窃取账号凭据的同时植入恶意软件实现了对患者设备的长期控制第二类攻击直接窃取支付信息与个人身份数据实现即时经济收益。两种攻击模式分别对应长期潜伏与即时变现两种攻击收益模式反映出攻击者在战术设计上的多样性。第五利用熟悉的安全机制作为攻击掩护。第一类攻击将恶意软件安装过程包装为 人机验证利用用户对这一常规安全机制的信任完成攻击投递。这种手法具有较强的欺骗性因为人机验证在用户认知中属于保护安全的正向操作很少有人会将其与恶意软件安装关联起来。反网络钓鱼技术专家芦笛指出该轮 MyChart 钓鱼攻击在技术层面并无特别创新之处其危害性主要来源于对医疗品牌信任关系的精准劫持与对患者心理弱点的深度利用。攻击者将成熟的钓鱼技术框架套用到医疗高信任场景中产生了远超普通钓鱼攻击的欺骗效果。这一特征决定了防御重点应当放在提升患者识别能力与切断品牌仿冒传播链路上而非单纯追求技术检测手段的升级。4 医疗领域品牌仿冒钓鱼攻击的成因与风险4.1 患者门户高信任度被滥用患者门户在医疗服务体系中扮演着连接医疗机构与患者的数字桥梁角色。患者通过该平台获取个人健康信息、与医疗团队沟通、管理用药这些功能涉及个人最核心的健康隐私。长期使用过程中患者对平台品牌形成了高度信任将来自该品牌的通知视为权威、可靠的信息来源。这种信任关系是患者门户正常运作的基础但同时也成为攻击者可以利用的脆弱环节。MyChart 在美国医疗体系中的广泛部署进一步放大了这一风险。由于大量医疗机构使用同一品牌的患者门户MyChart 品牌在全国患者群体中具备普遍认知度。攻击者不需要针对特定医疗机构定制钓鱼内容只需要使用通用的 MyChart 品牌仿冒模板就可以对所有使用该平台的患者实施攻击。这种 一次制作、广泛投放 的模式大幅降低了攻击成本提升了攻击的规模效应。4.2 医疗数据与支付信息的高价值驱动攻击医疗数据在地下网络犯罪市场中具有极高的经济价值。患者的个人健康信息、医疗保险信息、身份信息组合在一起可以被用于实施医疗欺诈、虚假理赔、身份盗用等多种犯罪活动。与信用卡信息相比医疗数据的有效期更长欺诈行为被发现的周期更慢因此在黑市上往往能卖出更高的价格。该轮攻击中第二类骗局直接收集患者的支付信息与个人身份数据攻击者可以立即利用这些信息实施盗刷与身份盗用。第一类骗局窃取的 MyChart 账号凭据可以被用于登录患者门户获取完整的健康记录与保险信息这些数据在地下市场具有稳定的需求。此外第一类攻击植入的恶意软件还可能从患者设备中窃取更多类型的敏感信息包括其他网站的登录凭据、财务文件、个人照片等形成多维度的数据窃取效果。4.3 多渠道协同攻击扩大影响面传统钓鱼攻击多以电子邮件为主要渠道而该轮 MyChart 仿冒攻击明确涵盖电子邮件、短信、电话和网站四种渠道。多渠道协同攻击带来了几方面的风险放大效应。首先多渠道投放增加了攻击信息触达患者的概率。即使患者的邮件服务商拦截了钓鱼邮件攻击者仍可能通过短信或电话触达同一患者。其次多渠道之间可以形成相互印证的欺骗效果。患者可能先收到一封仿冒邮件随后接到一个自称 MyChart 客服的电话电话中确认邮件内容的真实性这种跨渠道的相互印证大幅提升了攻击的可信度。最后不同渠道的安全防护能力存在差异。电子邮件领域已经发展出较为成熟的反钓鱼技术包括发件人认证、恶意链接扫描等但短信和电话渠道的反钓鱼技术相对薄弱攻击者可以通过这些防护较弱的渠道绕过技术检测。4.4 品牌方与医疗机构责任边界模糊该轮攻击事件暴露出一个值得关注的治理问题当患者门户品牌被第三方仿冒用于钓鱼攻击时品牌方、部署该品牌的医疗机构以及患者之间的责任边界存在模糊地带。Epic 公司作为品牌方与平台开发者在事件中发布了警示并提供了防范建议但公司明确声明攻击并非源于平台安全问题这一声明在法律层面厘清了平台安全责任但也意味着品牌方对仿冒攻击的处置能力有限。医疗机构作为平台的部署方与患者的直接服务提供者有义务向患者发出安全警示但医疗机构并不控制品牌的使用也无法直接阻止第三方注册仿冒域名或制作仿冒网站。患者作为最终受害者在缺乏充分安全意识的情况下难以独立识别精心设计的仿冒攻击。这种责任边界的模糊性导致在攻击发生后各方的响应往往以信息发布为主缺乏主动的技术干预手段。例如仿冒网站的域名注册与托管往往发生在品牌方与医疗机构的管辖范围之外需要依赖域名注册商、托管服务商、浏览器安全厂商等第三方的协作才能完成处置而这一协作链条通常较长响应速度难以匹配攻击的扩散速度。4.5 患者数字安全素养差异带来的脆弱性患者群体在数字安全素养方面存在显著的异质性。年轻患者普遍具备较强的数字操作能力与安全意识能够较为熟练地识别钓鱼邮件的常见特征。但老年患者、慢性病患者、农村地区患者等群体在数字安全素养方面相对薄弱对电子邮件域名、网站地址、SSL 证书等安全指标缺乏识别能力更容易被外观逼真的仿冒攻击所欺骗。该轮攻击的诱饵设计明显针对安全素养较弱的群体。免费 Medicare 礼包诱饵直接面向享受联邦医疗保险的老年患者限时六分钟完成问卷的设计进一步压缩了患者思考与核实的时间。检验结果通知型攻击则利用了慢性病患者对定期检验结果的关注习惯这类患者往往已经形成点击通知链接查看结果的行为惯性在收到仿冒通知时更容易按照习惯操作而非进行安全判断。反网络钓鱼技术专家芦笛强调医疗品牌仿冒钓鱼的防御难点在于最需要保护的患者群体往往也是安全素养最薄弱的群体单纯依靠技术手段无法完全弥补这一差距必须结合针对性的患者安全教育与简化的安全验证机制才能有效降低该群体的受骗风险。5 医疗机构与患者的防御策略5.1 医疗机构层面的应对措施医疗机构作为患者的直接服务提供者在防御品牌仿冒钓鱼攻击中承担着关键角色。以下措施具有较强的可操作性。第一建立及时的患者警示机制。医疗机构应当建立针对品牌仿冒钓鱼的监测与响应流程一旦发现针对本机构患者的仿冒攻击应在第一时间通过多种渠道向患者发布警示。警示信息应当具体描述攻击特征包括仿冒邮件的主题、仿冒网站的域名特征、攻击的欺骗流程等帮助患者建立具体的识别参照而非仅发布笼统的 注意防范钓鱼 提示。该轮事件中 41 家医疗系统发布警告的做法值得肯定但警示的及时性与内容的具体程度仍有提升空间。第二强化官方通知渠道的可识别性。医疗机构应当在官方通知邮件、短信中加入患者可验证的安全特征例如在邮件中包含患者姓名的特定部分、上次就诊日期等只有患者与医疗机构知晓的信息使患者能够通过内容细节判断通知的真实性。同时医疗机构应当明确告知患者官方通知的固定发件人地址与短信号码建议患者将这些号码加入通讯录对来自其他号码的类似通知保持警惕。第三加强与品牌方及行业组织的信息共享。医疗机构应当主动与 Epic 等患者门户厂商建立威胁信息共享渠道及时获取品牌方监测到的新型仿冒攻击特征。同时积极参与美国医院协会等行业组织的网络安全信息共享机制了解其他医疗机构遭遇的攻击模式提前做好防御准备。第四为患者提供便捷的可疑信息上报渠道。医疗机构应当在患者门户、官方网站等显著位置设置可疑钓鱼信息的上报入口鼓励患者将收到的疑似仿冒邮件、短信截图提交给医疗机构安全团队。患者上报的信息不仅可以帮助医疗机构及时发现新的攻击活动还可以为品牌方与行业组织的威胁情报库提供原始数据。第五对高风险患者群体开展针对性安全教育。医疗机构应当识别安全素养相对薄弱的患者群体如老年患者、首次使用患者门户的患者通过门诊宣教、电话随访、纸质指南等方式开展针对性的安全培训。安全教育内容应当具体、实用例如如何检查邮件发件人地址、如何识别网站域名异常、什么情况下绝不应该输入密码等避免使用过于技术化的术语。5.2 患者层面的识别与防护要点患者作为攻击的直接目标提升自身的识别能力是防御体系的基础环节。结合该轮 MyChart 仿冒攻击的特征患者应当掌握以下识别与防护要点。第一核实通知来源的真实性。收到声称来自 MyChart 或医疗机构的邮件、短信时应当首先检查发件人邮箱地址或短信号码。官方通知通常使用固定的机构域名而钓鱼邮件常使用存在拼写错误或多余字符的仿冒域名。例如官方域名可能为mychart.xxxhealth.org而仿冒域名可能为mychart-xxxhealth.com或mychart.xxxhealth.verify-login.net。患者应当特别注意域名中是否包含连字符、多余单词或不常见的顶级域。第二避免直接点击邮件或短信中的链接。对于声称检验结果已出或账户需要验证的通知患者不应当直接点击邮件或短信中的链接而应当通过手动输入官方网址或使用已安装的官方移动应用登录患者门户查看信息。如果确实存在待查看的检验结果官方门户中应当能够看到对应通知如果门户中没有相关通知则收到的邮件或短信极有可能为仿冒。第三警惕制造紧迫感与利益诱惑的内容。该轮攻击的两类诱饵分别利用了健康焦虑与免费利益两种心理驱动。患者应当意识到正规医疗机构不会通过邮件告知 AI 检测发现血液异常需要立即关注 这类紧急健康警告也不会开展免费 Medicare 礼包赠送活动。任何制造紧迫感、要求限时操作、承诺免费赠品的医疗相关通知都应当视为高风险信号。Epic 公司已明确声明从不开展赠品活动患者可以将这一信息作为判断依据。第四绝不在非官方页面输入账号密码或支付信息。患者门户的账号密码应当仅在官方网站或官方应用中输入任何通过邮件链接跳转的登录页面都应当被视为可疑。支付信息更不应当在患者门户相关的页面中输入正规医疗机构不会通过患者门户要求患者为 免费礼包 支付运费。如果患者已经在仿冒页面输入了账号密码应当立即在官方渠道修改密码并启用多因素认证如果已经输入了支付信息应当立即联系发卡机构冻结账户并监测异常交易。第五保持设备安全软件的更新。第一类攻击在人机验证环节植入恶意软件患者应当确保设备上安装了可靠的安全防护软件并保持病毒库更新同时及时更新操作系统与浏览器的安全补丁。如果患者怀疑设备已经感染恶意软件应当使用安全软件进行全面扫描必要时寻求专业技术支持。5.3 行业协同与品牌方主动防御除医疗机构与患者个体层面的措施外行业协同与品牌方主动防御在遏制品牌仿冒钓鱼攻击中发挥着不可替代的作用。品牌方应当建立持续的品牌仿冒监测机制。Epic 公司作为 MyChart 品牌的所有者应当投入资源对互联网上仿冒 MyChart 的域名、网站、社交媒体账号进行持续监测一旦发现仿冒资产及时通过域名争议解决程序、托管服务商投诉、浏览器安全标记等渠道进行处置。该轮事件中品牌方主要采取了发布警示的被动响应方式未来可以进一步加强主动监测与处置能力。行业组织应当发挥信息聚合与协调作用。美国医院协会在该轮事件中发布了行业警示并建议医院联系协会网络安全专家这一做法为行业协同提供了基础。未来行业组织可以进一步建立医疗品牌仿冒钓鱼的威胁情报共享平台汇总各医疗机构与品牌方上报的攻击特征形成实时更新的仿冒域名库、仿冒邮件特征库供全行业医疗机构参考使用。同时行业组织可以推动制定医疗机构应对品牌仿冒钓鱼的标准操作流程帮助资源有限的小型医疗机构建立基本的防御能力。域名注册商与浏览器厂商应当加强协作。仿冒网站的生存周期是决定攻击危害范围的关键因素。域名注册商应当建立针对医疗品牌仿冒域名的快速响应机制对使用知名医疗品牌名称注册的可疑域名进行审核对确认用于钓鱼的域名快速暂停解析。浏览器厂商应当将医疗品牌仿冒网站纳入安全浏览保护机制在患者访问仿冒网站时及时发出警告。这两类第三方主体的协作能够显著缩短仿冒网站的存活时间降低攻击的有效触达范围。反网络钓鱼技术专家芦笛指出医疗品牌仿冒钓鱼的治理需要形成 品牌方主动监测 — 行业组织信息共享 — 第三方平台快速处置 — 医疗机构及时警示 — 患者提升识别 的闭环防御链条。任何一个环节的缺失都会导致整体防御效果的下降。该轮 MyChart 事件中患者教育与信息发布环节相对完善但品牌仿冒资产的主动监测与快速处置环节仍有较大提升空间。6 结语2026 年下半年爆发的 MyChart 品牌仿冒钓鱼攻击事件是医疗数字化背景下品牌信任被滥用的典型案例。攻击者并未利用任何系统安全漏洞而是借助 MyChart 品牌在患者群体中的高认知度与高信任度通过电子邮件、短信、电话与仿冒网站的多渠道协同以检验结果通知和免费医疗礼包两种诱饵分别实施账号窃取、恶意软件植入与支付信息诈骗。截至 8 月底已有 41 家医疗系统发布患者警示美国医院协会亦发布行业警告事件影响范围已扩展至全国性层面。该事件的核心启示在于医疗领域的网络安全威胁已经从传统的系统漏洞利用与内部员工钓鱼扩展至面向患者端的品牌仿冒社会工程攻击。患者门户作为医疗服务数字化的重要基础设施其品牌资产在带来用户便利的同时也成为攻击者可以低成本利用的攻击载体。患者群体在健康焦虑与利益诱惑驱动下的安全判断阈值下降以及不同群体间数字安全素养的显著差异进一步放大了此类攻击的危害。防御医疗品牌仿冒钓鱼攻击不能依赖单一主体或单一技术手段。品牌方需要加强仿冒资产的主动监测与快速处置医疗机构需要建立及时的患者警示机制与针对性安全教育行业组织需要推动威胁情报共享与标准流程建设域名注册商与浏览器厂商需要缩短仿冒网站的存活周期患者个体需要掌握基本的识别要点与防护习惯。只有形成多层协同的闭环防御体系才能有效遏制此类攻击的扩散与危害。随着医疗数字化进程的持续推进患者门户、远程医疗、在线药房等数字医疗服务的品牌资产将持续增长品牌仿冒钓鱼攻击的威胁也将长期存在。医疗信息安全领域需要持续关注此类威胁的演变趋势不断完善防御策略与技术手段在保障患者获得便捷数字医疗服务的同时维护患者的信息安全与财产安全。编辑芦笛公共互联网反网络钓鱼工作组 患者门户品牌仿冒钓鱼攻击与防御研究
摘要2026 年下半年美国多家医疗机构相继发布患者警示指出以 Epic 公司 MyChart 患者门户品牌名称与标识为伪装的网络钓鱼攻击活动呈现显著上升趋势。截至 2026 年 8 月 27 日已有 41 家医疗系统向患者发出相关警告美国医院协会亦于 8 月 24 日发布行业警示。该轮攻击并非源于 MyChart 平台自身存在安全漏洞而是攻击者利用患者对该品牌的高度信任通过电子邮件、短信、电话及仿冒网站等多渠道实施社会工程欺骗。攻击主要呈现两种典型模式其一为伪造检验结果通知诱导患者点击仿冒登录页面输入账号密码继而以 AI 驱动的血液检测异常 为由引导用户完成人机验证并植入恶意软件其二为虚构免费 Medicare 礼包 中奖通知通过限时问卷诱导患者提交支付信息与个人隐私数据。本文系统梳理该事件的发展脉络与攻击链路剖析医疗领域品牌仿冒钓鱼攻击的成因、技术特征与社会工程手法从医疗机构、患者个体及行业协同三个层面提出防御策略。反网络钓鱼技术专家芦笛指出医疗品牌仿冒钓鱼的核心危害不在于技术手段的先进性而在于攻击者将高信任度品牌资产转化为攻击载体使患者在医疗健康焦虑驱动下降低安全判断阈值。研究表明此类攻击具有低成本、高转化率、跨平台协同的特征单一技术防护手段难以有效遏制需要品牌方、医疗机构、行业组织与患者共同构建多层防御体系。关键词网络钓鱼患者门户品牌仿冒MyChart社会工程医疗数据安全1 引言患者门户作为医疗机构向患者提供在线服务的重要数字入口承载着检验报告查询、预约挂号、处方续开、医患沟通等核心功能已深度融入现代医疗服务流程。Epic 公司开发的 MyChart 患者门户在美国医疗体系中拥有广泛部署基础大量医疗机构依托该平台向患者提供数字化医疗服务品牌认知度与用户信任度均处于较高水平。正是这种广泛的品牌覆盖与用户信任使其成为网络钓鱼攻击者重点仿冒的目标。2026 年 7 月Epic 公司研发副总裁 Trevor Berceau 公开警示公司观测到利用 MyChart 名称或标识使电子邮件、短信、电话和网站看起来具有官方外观的诈骗活动呈现上升趋势。此后多家医疗机构陆续向患者发布警告提醒注意识别仿冒 MyChart 的钓鱼信息。截至 8 月 27 日发布相关警示的医疗系统数量已达 41 家。美国医院协会于 8 月 24 日在其平台发布网络钓鱼攻击警示建议各医院联系该机构网络安全专家获取更多信息。该事件的影响范围已从个别医疗机构扩展至全国性行业层面引发医疗信息安全领域的广泛关注。需要明确的是Epic 公司在官方声明中强调该轮钓鱼攻击活动的增加源于诈骗者利用 MyChart 品牌的高知名度而非平台本身存在任何安全问题用户可以继续正常使用患者门户。这一表态厘清了事件的技术归因攻击发生在品牌信任被滥用的社会工程层面而非平台系统安全层面。这一区分对于理解攻击本质、制定防御策略具有重要意义。当前医疗领域网络钓鱼研究多聚焦于医疗机构内部员工遭受的鱼叉式钓鱼攻击以及由此引发的勒索软件、数据泄露等后果针对患者端品牌仿冒钓鱼攻击的系统性研究相对不足。患者群体在数字安全素养方面存在显著差异老年患者、慢性病患者等群体对医疗信息的敏感度高、安全判断能力相对薄弱更容易成为此类攻击的目标。本文以 MyChart 品牌仿冒钓鱼事件为研究对象完整还原攻击链路与技术特征剖析医疗场景下品牌仿冒钓鱼的特殊风险提出具有可操作性的分层防御方案为医疗机构、医疗信息化厂商及患者群体应对同类威胁提供参考。2 MyChart 品牌仿冒钓鱼事件概况2.1 事件背景与发展时间线MyChart 是 Epic Systems 公司开发的患者在线门户产品被美国众多大型医疗系统采用患者可以通过网页端或移动应用访问个人健康记录、查看检验结果、管理处方、与医疗团队沟通。由于该产品在医疗行业的高渗透率MyChart 品牌在患者群体中具备广泛认知多数使用该平台的患者已经形成通过邮件或短信通知登录门户查看医疗信息的使用习惯这种行为惯性为钓鱼攻击提供了可利用的心理基础。2026 年 7 月Epic 公司研发副总裁 Trevor Berceau 首次公开提及该公司观测到的钓鱼活动上升趋势指出诈骗者正在利用 MyChart 名称或标识使电子邮件、短信、电话和网站看起来具有官方外观以此欺骗患者。这一公开警示标志着该轮攻击活动从分散的个案报告进入品牌方正式回应阶段。进入 8 月后攻击活动进一步扩散。Epic 公司在其官方网站发布了针对两类不同钓鱼骗局的详细警示说明描述了攻击的具体流程与欺骗手法。8 月 24 日美国医院协会在其平台发布网络钓鱼攻击警示将该问题提升至行业层面建议各医疗机构联系协会网络安全专家获取支持。截至 8 月 27 日根据 Beckers 的统计数据已有 41 家医疗系统向患者发布了关于此类钓鱼骗局的警告。从 7 月品牌方首次警示到 8 月底 41 家医疗机构跟进发布警告时间跨度仅约两个月反映出攻击活动扩散速度较快影响范围较广。2.2 受影响医疗机构范围与患者群体特征发布警示的 41 家医疗系统分布于美国各地涵盖不同规模的医疗机构包括大型综合医疗系统与区域型医院。这一分布特征表明攻击者并未局限于特定地理区域或特定规模的医疗机构而是利用 MyChart 品牌的全国性认知度开展广撒网式攻击。凡是部署了 MyChart 患者门户的医疗机构其患者都有可能收到仿冒该品牌的钓鱼信息。从目标患者群体特征来看攻击设计明显针对对医疗信息高度关注的人群。第一类攻击以 检验结果已出 为诱饵针对近期接受过血液检测或其他实验室检查的患者这类患者本身对检验结果存在焦虑情绪收到通知后倾向于尽快查看。第二类攻击以 免费 Medicare 礼包 为诱饵针对享受联邦医疗保险的老年患者群体该群体对医疗福利信息敏感度高同时在数字安全素养方面相对薄弱更容易被限时问卷、免费赠品等手法诱导。反网络钓鱼技术专家芦笛强调医疗场景下的钓鱼攻击之所以转化率高于普通电商或金融钓鱼根本原因在于攻击者精准利用了患者的健康焦虑心理。当邮件主题涉及个人检验结果、血液异常、紧急医疗建议时患者的安全警惕性会被健康关切所压制做出点击链接、输入密码等危险操作的概率显著提升。2.3 Epic 官方立场与行业响应Epic 公司在事件中的回应态度较为明确。公司在官方声明中指出钓鱼攻击的增加是由于诈骗者利用 MyChart 品牌的高知名度而非平台存在任何安全隐患用户可以继续正常使用门户。公司同时在官方网站发布了两类钓鱼骗局的详细说明帮助患者识别攻击特征并提供了防范建议包括检查发件人邮箱地址与网站域名是否存在拼写错误或多余字符以及 Epic 公司从不开展赠品活动任何声称中奖的邮件极有可能为伪造。美国医院协会于 8 月 24 日发布行业警示建议各医院联系协会网络安全专家获取更多信息。这一响应体现了行业组织对该威胁的重视但也反映出医疗机构在应对品牌仿冒钓鱼时存在能力差异部分机构需要依赖行业组织提供的专业支持。从整体响应模式来看品牌方与行业组织主要采取信息发布与患者教育的方式应对医疗机构层面则通过向患者发送警告通知来降低受骗概率。这种响应模式属于被动防御范畴在攻击快速扩散的背景下其有效性取决于信息传递的及时性与患者安全意识的实际提升程度。3 两类典型钓鱼攻击链路解析Epic 公司在官方警示中详细描述了两类独立的钓鱼骗局二者在诱饵设计、攻击目标与最终危害方面存在差异但均以仿冒 MyChart 品牌为核心手段。完整解析两类攻击链路有助于理解医疗品牌仿冒钓鱼的运作机制。3.1 检验结果通知型钓鱼攻击第一类攻击以检验结果通知为入口。患者收到一封外观上来自 MyChart 的电子邮件邮件内容告知患者近期的检验结果已经准备就绪并提供一个按钮引导患者登录患者门户查看。邮件的版式、配色、标识均模仿 MyChart 官方通知风格普通患者难以从外观上直接辨别真伪。当患者点击邮件中的登录按钮后浏览器被引导至一个仿冒的 MyChart 登录页面。该页面要求患者输入电子邮箱地址与密码。这一步是攻击的第一个核心收获点患者输入的 MyChart 账号凭据被攻击者直接获取。由于许多患者在多个网站使用相同或相似的密码攻击者获取的凭据不仅可以用于登录 MyChart还可能被用于尝试登录其他在线服务形成凭据填充攻击的次生风险。患者输入凭据后仿冒页面将其引导至一个伪造的 MyChart 网站界面。该界面显示一条紧急信息声称 AI 驱动的审查 在您的血液检测中发现了需要立即关注的关键模式。这一设计利用了患者对健康异常的焦虑心理同时借助 AI 这一当前具有技术权威感的词汇增强信息的可信度促使患者产生紧迫感急于查看所谓的异常结果。为了查看伪造的检验结果网站引导患者完成一项 人机验证 检查。这一步是攻击的第二个核心环节在患者完成验证的过程中恶意软件被安装到患者的设备上。攻击者利用人机验证这一用户普遍熟悉且信任的安全机制作为掩护将恶意载荷的投递过程包装成正常的安全验证流程患者在毫无察觉的情况下完成了恶意软件的安装。被植入的恶意软件可能具备窃取设备内其他敏感信息、记录键盘输入、远程控制设备等多种危害能力。在 8 月出现的该类攻击变体中仿冒网站向患者展示一张伪造的检验数值图表其中部分结果被涂黑处理。页面提供一个按钮提示患者点击以解锁完整报告查看被涂黑的结果及其诊断结论。涂黑处理制造了信息不完整带来的心理张力患者为了获取 完整 的健康信息更有可能按照页面指引执行后续操作从而落入攻击者设置的更深层陷阱。3.2 免费医疗礼包诱导型钓鱼攻击第二类攻击以免费医疗礼包为诱饵。患者收到电子邮件告知其赢得了一个免费的 Medicare 礼包内含价值 149 美元的医疗用品。Medicare 是美国联邦医疗保险计划覆盖 65 岁以上老年人及部分残障人士该群体对医疗福利相关信息具有天然的关注度与信任倾向。以 Medicare 礼包 为诱饵精准命中了目标群体对免费医疗资源的需求心理。患者点击邮件中的领取链接后被引导至一个带有 MyChart 标识的页面。页面声称已有超过 30 万美元的 MyChart 产品被赠送以此营造活动真实可信、参与人数众多的氛围。随后页面要求患者完成一份关于患者门户使用体验的简短问卷并特别强调必须在六分钟内完成。限时机制是社会工程攻击中常用的心理操纵手段通过制造时间压力迫使患者在未充分思考的情况下快速填写信息减少其识别骗局的机会。在问卷完成后的最后一步仿冒网站告知患者需要为礼包支付运费并要求患者输入支付信息同时收集电子邮箱地址、电话号码、邮寄地址等个人隐私数据。这一步是攻击的核心收获环节攻击者同时获取了患者的支付卡信息与完整个人身份信息。支付信息可被用于盗刷交易个人身份信息可被用于身份盗用、申请信用账户、提交虚假税务申报等多种后续犯罪活动。此外患者的邮寄地址等信息还可能被用于实施实体邮件诈骗或针对性的后续钓鱼攻击。3.3 攻击技术特征与社会工程手法分析综合两类攻击链路可以归纳出该轮 MyChart 品牌仿冒钓鱼攻击的若干核心特征。第一品牌仿冒是攻击的基础载体。攻击者在邮件、网站页面、甚至电话沟通中全面使用 MyChart 的名称与标识使攻击信息在外观上与官方通知高度一致。这种仿冒不依赖任何技术漏洞纯粹利用品牌视觉资产与用户信任关系属于典型的品牌滥用型社会工程攻击。第二多渠道协同扩大攻击覆盖面。Epic 公司在警示中明确提及攻击者同时使用电子邮件、短信、电话和网站四种渠道实施欺骗。多渠道协同意味着即使患者对某一渠道保持警惕也可能在另一渠道落入陷阱。例如患者可能对邮件中的链接保持谨慎但接到自称 MyChart 客服的电话后放松警惕按照电话指引访问仿冒网站。第三健康焦虑与利益诱惑双轨驱动。两类攻击分别利用了患者的两种核心心理弱点对健康异常的焦虑与对免费福利的渴望。检验结果型攻击通过制造 血液检测发现关键异常 的紧迫感驱动患者在焦虑状态下执行危险操作免费礼包型攻击通过 价值 149 美元医疗用品 的利益诱惑驱动患者在贪婪心理下提交敏感信息。两种心理驱动机制覆盖了不同特征的患者群体提升了攻击的整体转化率。第四恶意软件投递与信息窃取双目标并行。第一类攻击在窃取账号凭据的同时植入恶意软件实现了对患者设备的长期控制第二类攻击直接窃取支付信息与个人身份数据实现即时经济收益。两种攻击模式分别对应长期潜伏与即时变现两种攻击收益模式反映出攻击者在战术设计上的多样性。第五利用熟悉的安全机制作为攻击掩护。第一类攻击将恶意软件安装过程包装为 人机验证利用用户对这一常规安全机制的信任完成攻击投递。这种手法具有较强的欺骗性因为人机验证在用户认知中属于保护安全的正向操作很少有人会将其与恶意软件安装关联起来。反网络钓鱼技术专家芦笛指出该轮 MyChart 钓鱼攻击在技术层面并无特别创新之处其危害性主要来源于对医疗品牌信任关系的精准劫持与对患者心理弱点的深度利用。攻击者将成熟的钓鱼技术框架套用到医疗高信任场景中产生了远超普通钓鱼攻击的欺骗效果。这一特征决定了防御重点应当放在提升患者识别能力与切断品牌仿冒传播链路上而非单纯追求技术检测手段的升级。4 医疗领域品牌仿冒钓鱼攻击的成因与风险4.1 患者门户高信任度被滥用患者门户在医疗服务体系中扮演着连接医疗机构与患者的数字桥梁角色。患者通过该平台获取个人健康信息、与医疗团队沟通、管理用药这些功能涉及个人最核心的健康隐私。长期使用过程中患者对平台品牌形成了高度信任将来自该品牌的通知视为权威、可靠的信息来源。这种信任关系是患者门户正常运作的基础但同时也成为攻击者可以利用的脆弱环节。MyChart 在美国医疗体系中的广泛部署进一步放大了这一风险。由于大量医疗机构使用同一品牌的患者门户MyChart 品牌在全国患者群体中具备普遍认知度。攻击者不需要针对特定医疗机构定制钓鱼内容只需要使用通用的 MyChart 品牌仿冒模板就可以对所有使用该平台的患者实施攻击。这种 一次制作、广泛投放 的模式大幅降低了攻击成本提升了攻击的规模效应。4.2 医疗数据与支付信息的高价值驱动攻击医疗数据在地下网络犯罪市场中具有极高的经济价值。患者的个人健康信息、医疗保险信息、身份信息组合在一起可以被用于实施医疗欺诈、虚假理赔、身份盗用等多种犯罪活动。与信用卡信息相比医疗数据的有效期更长欺诈行为被发现的周期更慢因此在黑市上往往能卖出更高的价格。该轮攻击中第二类骗局直接收集患者的支付信息与个人身份数据攻击者可以立即利用这些信息实施盗刷与身份盗用。第一类骗局窃取的 MyChart 账号凭据可以被用于登录患者门户获取完整的健康记录与保险信息这些数据在地下市场具有稳定的需求。此外第一类攻击植入的恶意软件还可能从患者设备中窃取更多类型的敏感信息包括其他网站的登录凭据、财务文件、个人照片等形成多维度的数据窃取效果。4.3 多渠道协同攻击扩大影响面传统钓鱼攻击多以电子邮件为主要渠道而该轮 MyChart 仿冒攻击明确涵盖电子邮件、短信、电话和网站四种渠道。多渠道协同攻击带来了几方面的风险放大效应。首先多渠道投放增加了攻击信息触达患者的概率。即使患者的邮件服务商拦截了钓鱼邮件攻击者仍可能通过短信或电话触达同一患者。其次多渠道之间可以形成相互印证的欺骗效果。患者可能先收到一封仿冒邮件随后接到一个自称 MyChart 客服的电话电话中确认邮件内容的真实性这种跨渠道的相互印证大幅提升了攻击的可信度。最后不同渠道的安全防护能力存在差异。电子邮件领域已经发展出较为成熟的反钓鱼技术包括发件人认证、恶意链接扫描等但短信和电话渠道的反钓鱼技术相对薄弱攻击者可以通过这些防护较弱的渠道绕过技术检测。4.4 品牌方与医疗机构责任边界模糊该轮攻击事件暴露出一个值得关注的治理问题当患者门户品牌被第三方仿冒用于钓鱼攻击时品牌方、部署该品牌的医疗机构以及患者之间的责任边界存在模糊地带。Epic 公司作为品牌方与平台开发者在事件中发布了警示并提供了防范建议但公司明确声明攻击并非源于平台安全问题这一声明在法律层面厘清了平台安全责任但也意味着品牌方对仿冒攻击的处置能力有限。医疗机构作为平台的部署方与患者的直接服务提供者有义务向患者发出安全警示但医疗机构并不控制品牌的使用也无法直接阻止第三方注册仿冒域名或制作仿冒网站。患者作为最终受害者在缺乏充分安全意识的情况下难以独立识别精心设计的仿冒攻击。这种责任边界的模糊性导致在攻击发生后各方的响应往往以信息发布为主缺乏主动的技术干预手段。例如仿冒网站的域名注册与托管往往发生在品牌方与医疗机构的管辖范围之外需要依赖域名注册商、托管服务商、浏览器安全厂商等第三方的协作才能完成处置而这一协作链条通常较长响应速度难以匹配攻击的扩散速度。4.5 患者数字安全素养差异带来的脆弱性患者群体在数字安全素养方面存在显著的异质性。年轻患者普遍具备较强的数字操作能力与安全意识能够较为熟练地识别钓鱼邮件的常见特征。但老年患者、慢性病患者、农村地区患者等群体在数字安全素养方面相对薄弱对电子邮件域名、网站地址、SSL 证书等安全指标缺乏识别能力更容易被外观逼真的仿冒攻击所欺骗。该轮攻击的诱饵设计明显针对安全素养较弱的群体。免费 Medicare 礼包诱饵直接面向享受联邦医疗保险的老年患者限时六分钟完成问卷的设计进一步压缩了患者思考与核实的时间。检验结果通知型攻击则利用了慢性病患者对定期检验结果的关注习惯这类患者往往已经形成点击通知链接查看结果的行为惯性在收到仿冒通知时更容易按照习惯操作而非进行安全判断。反网络钓鱼技术专家芦笛强调医疗品牌仿冒钓鱼的防御难点在于最需要保护的患者群体往往也是安全素养最薄弱的群体单纯依靠技术手段无法完全弥补这一差距必须结合针对性的患者安全教育与简化的安全验证机制才能有效降低该群体的受骗风险。5 医疗机构与患者的防御策略5.1 医疗机构层面的应对措施医疗机构作为患者的直接服务提供者在防御品牌仿冒钓鱼攻击中承担着关键角色。以下措施具有较强的可操作性。第一建立及时的患者警示机制。医疗机构应当建立针对品牌仿冒钓鱼的监测与响应流程一旦发现针对本机构患者的仿冒攻击应在第一时间通过多种渠道向患者发布警示。警示信息应当具体描述攻击特征包括仿冒邮件的主题、仿冒网站的域名特征、攻击的欺骗流程等帮助患者建立具体的识别参照而非仅发布笼统的 注意防范钓鱼 提示。该轮事件中 41 家医疗系统发布警告的做法值得肯定但警示的及时性与内容的具体程度仍有提升空间。第二强化官方通知渠道的可识别性。医疗机构应当在官方通知邮件、短信中加入患者可验证的安全特征例如在邮件中包含患者姓名的特定部分、上次就诊日期等只有患者与医疗机构知晓的信息使患者能够通过内容细节判断通知的真实性。同时医疗机构应当明确告知患者官方通知的固定发件人地址与短信号码建议患者将这些号码加入通讯录对来自其他号码的类似通知保持警惕。第三加强与品牌方及行业组织的信息共享。医疗机构应当主动与 Epic 等患者门户厂商建立威胁信息共享渠道及时获取品牌方监测到的新型仿冒攻击特征。同时积极参与美国医院协会等行业组织的网络安全信息共享机制了解其他医疗机构遭遇的攻击模式提前做好防御准备。第四为患者提供便捷的可疑信息上报渠道。医疗机构应当在患者门户、官方网站等显著位置设置可疑钓鱼信息的上报入口鼓励患者将收到的疑似仿冒邮件、短信截图提交给医疗机构安全团队。患者上报的信息不仅可以帮助医疗机构及时发现新的攻击活动还可以为品牌方与行业组织的威胁情报库提供原始数据。第五对高风险患者群体开展针对性安全教育。医疗机构应当识别安全素养相对薄弱的患者群体如老年患者、首次使用患者门户的患者通过门诊宣教、电话随访、纸质指南等方式开展针对性的安全培训。安全教育内容应当具体、实用例如如何检查邮件发件人地址、如何识别网站域名异常、什么情况下绝不应该输入密码等避免使用过于技术化的术语。5.2 患者层面的识别与防护要点患者作为攻击的直接目标提升自身的识别能力是防御体系的基础环节。结合该轮 MyChart 仿冒攻击的特征患者应当掌握以下识别与防护要点。第一核实通知来源的真实性。收到声称来自 MyChart 或医疗机构的邮件、短信时应当首先检查发件人邮箱地址或短信号码。官方通知通常使用固定的机构域名而钓鱼邮件常使用存在拼写错误或多余字符的仿冒域名。例如官方域名可能为mychart.xxxhealth.org而仿冒域名可能为mychart-xxxhealth.com或mychart.xxxhealth.verify-login.net。患者应当特别注意域名中是否包含连字符、多余单词或不常见的顶级域。第二避免直接点击邮件或短信中的链接。对于声称检验结果已出或账户需要验证的通知患者不应当直接点击邮件或短信中的链接而应当通过手动输入官方网址或使用已安装的官方移动应用登录患者门户查看信息。如果确实存在待查看的检验结果官方门户中应当能够看到对应通知如果门户中没有相关通知则收到的邮件或短信极有可能为仿冒。第三警惕制造紧迫感与利益诱惑的内容。该轮攻击的两类诱饵分别利用了健康焦虑与免费利益两种心理驱动。患者应当意识到正规医疗机构不会通过邮件告知 AI 检测发现血液异常需要立即关注 这类紧急健康警告也不会开展免费 Medicare 礼包赠送活动。任何制造紧迫感、要求限时操作、承诺免费赠品的医疗相关通知都应当视为高风险信号。Epic 公司已明确声明从不开展赠品活动患者可以将这一信息作为判断依据。第四绝不在非官方页面输入账号密码或支付信息。患者门户的账号密码应当仅在官方网站或官方应用中输入任何通过邮件链接跳转的登录页面都应当被视为可疑。支付信息更不应当在患者门户相关的页面中输入正规医疗机构不会通过患者门户要求患者为 免费礼包 支付运费。如果患者已经在仿冒页面输入了账号密码应当立即在官方渠道修改密码并启用多因素认证如果已经输入了支付信息应当立即联系发卡机构冻结账户并监测异常交易。第五保持设备安全软件的更新。第一类攻击在人机验证环节植入恶意软件患者应当确保设备上安装了可靠的安全防护软件并保持病毒库更新同时及时更新操作系统与浏览器的安全补丁。如果患者怀疑设备已经感染恶意软件应当使用安全软件进行全面扫描必要时寻求专业技术支持。5.3 行业协同与品牌方主动防御除医疗机构与患者个体层面的措施外行业协同与品牌方主动防御在遏制品牌仿冒钓鱼攻击中发挥着不可替代的作用。品牌方应当建立持续的品牌仿冒监测机制。Epic 公司作为 MyChart 品牌的所有者应当投入资源对互联网上仿冒 MyChart 的域名、网站、社交媒体账号进行持续监测一旦发现仿冒资产及时通过域名争议解决程序、托管服务商投诉、浏览器安全标记等渠道进行处置。该轮事件中品牌方主要采取了发布警示的被动响应方式未来可以进一步加强主动监测与处置能力。行业组织应当发挥信息聚合与协调作用。美国医院协会在该轮事件中发布了行业警示并建议医院联系协会网络安全专家这一做法为行业协同提供了基础。未来行业组织可以进一步建立医疗品牌仿冒钓鱼的威胁情报共享平台汇总各医疗机构与品牌方上报的攻击特征形成实时更新的仿冒域名库、仿冒邮件特征库供全行业医疗机构参考使用。同时行业组织可以推动制定医疗机构应对品牌仿冒钓鱼的标准操作流程帮助资源有限的小型医疗机构建立基本的防御能力。域名注册商与浏览器厂商应当加强协作。仿冒网站的生存周期是决定攻击危害范围的关键因素。域名注册商应当建立针对医疗品牌仿冒域名的快速响应机制对使用知名医疗品牌名称注册的可疑域名进行审核对确认用于钓鱼的域名快速暂停解析。浏览器厂商应当将医疗品牌仿冒网站纳入安全浏览保护机制在患者访问仿冒网站时及时发出警告。这两类第三方主体的协作能够显著缩短仿冒网站的存活时间降低攻击的有效触达范围。反网络钓鱼技术专家芦笛指出医疗品牌仿冒钓鱼的治理需要形成 品牌方主动监测 — 行业组织信息共享 — 第三方平台快速处置 — 医疗机构及时警示 — 患者提升识别 的闭环防御链条。任何一个环节的缺失都会导致整体防御效果的下降。该轮 MyChart 事件中患者教育与信息发布环节相对完善但品牌仿冒资产的主动监测与快速处置环节仍有较大提升空间。6 结语2026 年下半年爆发的 MyChart 品牌仿冒钓鱼攻击事件是医疗数字化背景下品牌信任被滥用的典型案例。攻击者并未利用任何系统安全漏洞而是借助 MyChart 品牌在患者群体中的高认知度与高信任度通过电子邮件、短信、电话与仿冒网站的多渠道协同以检验结果通知和免费医疗礼包两种诱饵分别实施账号窃取、恶意软件植入与支付信息诈骗。截至 8 月底已有 41 家医疗系统发布患者警示美国医院协会亦发布行业警告事件影响范围已扩展至全国性层面。该事件的核心启示在于医疗领域的网络安全威胁已经从传统的系统漏洞利用与内部员工钓鱼扩展至面向患者端的品牌仿冒社会工程攻击。患者门户作为医疗服务数字化的重要基础设施其品牌资产在带来用户便利的同时也成为攻击者可以低成本利用的攻击载体。患者群体在健康焦虑与利益诱惑驱动下的安全判断阈值下降以及不同群体间数字安全素养的显著差异进一步放大了此类攻击的危害。防御医疗品牌仿冒钓鱼攻击不能依赖单一主体或单一技术手段。品牌方需要加强仿冒资产的主动监测与快速处置医疗机构需要建立及时的患者警示机制与针对性安全教育行业组织需要推动威胁情报共享与标准流程建设域名注册商与浏览器厂商需要缩短仿冒网站的存活周期患者个体需要掌握基本的识别要点与防护习惯。只有形成多层协同的闭环防御体系才能有效遏制此类攻击的扩散与危害。随着医疗数字化进程的持续推进患者门户、远程医疗、在线药房等数字医疗服务的品牌资产将持续增长品牌仿冒钓鱼攻击的威胁也将长期存在。医疗信息安全领域需要持续关注此类威胁的演变趋势不断完善防御策略与技术手段在保障患者获得便捷数字医疗服务的同时维护患者的信息安全与财产安全。编辑芦笛公共互联网反网络钓鱼工作组