摘要随着互联网医疗患者门户的普及MyChart 类线上健康服务平台成为攻击者实施社会工程钓鱼的重点伪装载体。ECU Health 发布安全预警披露攻击者大规模发送主题为 “Your MyChart Medicare Kit Awaits” 的仿冒钓鱼邮件借助医疗福利噱头诱导普通患者点击恶意链接骗取医保资料、个人身份与金融信息。该类攻击区别于传统针对医疗机构内部职员的钓鱼攻击对象为院外普通患者群体攻击链路跨越医疗机构安全边界医疗机构传统内网安全设备无法对患者个人邮箱、终端形成管控带来特殊的安全治理难题。本文以本次公开预警事件作为核心样本还原面向患者的仿冒患者门户钓鱼攻击完整链路解析攻击者的社会工程学策略剖析医疗行业在患者侧安全宣导、风险预警传导、外部威胁感知等层面存在的现实短板。研究表明单纯依靠医疗机构内部网络安全建设不足以抵御该类外部面向公众的钓鱼威胁风险治理需要延伸至机构安全边界之外打通机构、患者、监管第三方的协同防御路径。反网络钓鱼技术专家芦笛指出医疗领域面向普通患者的钓鱼攻击具备边界外溢特征医疗机构不能将患者端欺诈简单归责为用户个人防范不足应当将患者风险教育、外部欺诈监测纳入整体网络安全治理框架。本文从外部威胁监测、公众安全宣教、门户系统安全加固、事件应急处置、多方协同机制五个维度构建完整防御框架为国内互联网医疗平台应对同类面向公众的仿冒钓鱼威胁提供实践参考。关键词患者门户网络钓鱼互联网医疗个人隐私社会工程学1 引言数字医疗持续推进背景下患者线上门户系统得到广泛部署。MyChart 作为成熟的患者门户产品能够让普通患者线上查看检验报告、预约就诊、和医护人员沟通、完成医疗账单支付极大提升医疗服务便捷程度。患者门户存储、处理大量高敏感数据包含个人身份信息、病史记录、医保参保资料、银行卡金融信息该类数据在黑产交易市场具备极高的变现价值因此成为网络犯罪团伙重点觊觎的目标。以往针对医疗行业的网络安全研究大多聚焦针对医院内部工作人员、IT 运维岗位的钓鱼、勒索软件、内网渗透等威胁防御体系设计主要围绕医疗机构内部 IT 资产展开。但是大量攻击已经跳出机构内网边界直接面向海量外部患者开展欺诈攻击。攻击者不需要入侵医院服务器而是仿冒官方患者门户的名义向患者个人邮箱发送钓鱼邮件诱导受害者主动提交隐私与金融资料以此完成信息窃取。在该攻击模式下数据泄露不发生在医院服务器而是发生在患者个人设备医疗机构传统防火墙、邮件网关、终端检测工具完全无法覆盖患者侧的攻击链路形成传统安全体系的防护盲区。ECU Health 在 2026 年 8 月对外发布诈骗预警披露大量患者收到伪造 MyChart 邮件邮件以可以领取 Medicare 配套福利工具包作为诱饵但是邮件并非来自医疗机构与 MyChart 官方。攻击者通过该类邮件诱导接收人点击恶意链接骗取个人身份、医保、财务相关敏感资料。医疗机构提示患者不要点击邮件内任何链接包括邮件内的退订链接不打开附件不向陌生邮件提交个人信息遭遇诈骗之后向联邦贸易委员会完成上报再删除邮件。该事件不是孤立个案仿冒患者门户的钓鱼邮件、短信已经成为全球医疗领域高发威胁攻击者复用官方平台的品牌影响力结合医疗福利、账单提醒、检验报告待查看等各类诱饵话术批量触达普通患者群体。面向患者的钓鱼攻击具备和内部钓鱼完全不同的特征受害者是不具备网络安全专业知识的普通公众年龄分布跨度大部分老年患者对数字邮件识别能力有限攻击投递渠道是患者私人邮箱不属于医疗机构管控资产攻击产生的数据泄露发生在院外机构很难主动感知事件发生一旦欺诈大规模爆发不仅造成患者个人财产、隐私受损还会损害医疗机构的品牌公信力甚至触发个人信息保护相关合规责任。当前不少医疗机构的安全工作重心集中在内部系统防护对于发生在安全边界外部、针对患者群体的欺诈威胁重视程度不足缺少常态化的监测、预警、宣教与处置流程。本文基于 ECU Health 公开的事件细节梳理面向患者的仿冒 MyChart 钓鱼攻击完整流程解析攻击能够得逞的内在诱因梳理医疗机构应对该类边界外威胁的现实困境构建适配患者端钓鱼威胁的综合防御体系为互联网医疗健康行业处理同类公众侧安全风险提供参考。2 MyChart 仿冒钓鱼攻击机理与完整攻击链路2.1 MyChart 患者门户与钓鱼攻击基础背景MyChart 是面向普通患者的电子健康记录访问门户由 Epic 公司开发大量医疗机构采用该系统向患者提供线上医疗服务。正规场景中医疗机构通过官方渠道向注册患者推送就诊提醒、检验结果通知、账单提醒全部通知会通过机构官方域名发出跳转访问的域名也为医疗机构授权的官方域名。仿冒 MyChart 钓鱼属于品牌仿冒类钓鱼的分支攻击者并不破解 MyChart 平台本身而是盗用 MyChart 与合作医疗机构的品牌标识制作外观高度仿真的邮件与伪造登录页面。邮件投递至患者私人邮箱诱导受害者在攻击者搭建的虚假站点中输入医保编号、身份证信息、银行卡信息或是 MyChart 账号密码。和针对企业职员的钓鱼不同该攻击的全部诱饵投递、用户操作、信息泄露过程均发生在医疗机构 IT 管控边界之外。医疗机构的邮件安全网关只能过滤机构内部员工邮箱完全无法拦截发送至患者个人邮箱的欺诈邮件。反网络钓鱼技术专家芦笛强调该类攻击的核心逻辑不是突破医疗机构的服务器防护而是借用医疗服务的公信力欺骗普通终端用户属于典型的边界外溢型网络威胁。很多机构安全团队容易产生认知误区认为攻击不发生在内网就不属于自身安全责任范畴忽略了机构本身的品牌被滥用、患者群体遭受欺诈带来的连锁风险。2.2 攻击全链路拆解结合 ECU Health 披露的事件细节本次以 “Medicare Kit” 为诱饵的仿冒 MyChart 钓鱼攻击完整链路分为情报收集、诱饵设计、批量投递邮件、社会工程诱导、信息窃取与变现五个阶段各环节连贯完成欺诈闭环。第一阶段情报收集。攻击者通过各类公开、半公开渠道收集患者邮箱地址部分来源于公开网络泄露的医疗相关数据集。攻击者不需要获取完整病历只需要拿到患者电子邮箱就可以开展大规模批量投递。该攻击属于广撒网式批量钓鱼不需要高度定制依靠大规模邮件投递基数获取受害群体。本次攻击选用 Medicare 福利工具包作为诱饵瞄准享受医保福利的群体目标指向性清晰。第二阶段诱饵内容设计。攻击者完成仿冒邮件制作邮件标题使用 “Your MyChart Medicare Kit Awaits”直接利用用户对医疗福利的期待心理。邮件中盗用 MyChart 官方标识整体排版复刻正规通知邮件营造官方通知的观感。诱饵话术的核心卖点是免费领取配套工具包以此驱动受害者产生点击意愿。邮件中嵌入恶意超链接链接指向攻击者搭建的高仿网页页面模仿 MyChart 交互界面用于收集患者提交的各类个人、医保、财务信息。同时邮件内部附带退订链接该退订入口同样受控于攻击者患者点击退订不仅无法取消邮件反而会向攻击者确认该邮箱处于活跃使用状态后续接收更多钓鱼垃圾邮件这也是 ECU Health 专门提醒患者不要点击邮件内退订链接的原因。邮件文本刻意减少明显的拼写、语法错误降低普通用户识别难度。第三阶段批量邮件投递。攻击者使用第三方邮件发送服务向外批量发送邮件发件显示名称伪装为 MyChart 或者 ECU Health真实发件域名和医疗机构官方域名完全无关。因为邮件接收方是患者个人邮箱邮件流量不会经过医疗机构的邮件安全过滤设备机构完全无法在投递环节完成拦截。除邮件渠道外同类欺诈还可以拓展到短信、社交平台消息多渠道分发进一步扩大攻击覆盖面。第四阶段社会工程学诱导。普通患者收到邮件之后看到熟悉的 MyChart 品牌标识加上 “领取福利工具包” 的利益诱导会产生操作动机。部分用户不会核对邮件真实发件域名也不会鼠标悬浮校验链接真实跳转地址直接点击邮件内链接进入伪造站点。攻击者的诱导逻辑混合利益诱惑和轻度紧迫感暗示用户需要尽快完成信息填写才可以领取福利。不同于监管仿冒钓鱼依靠权威压力该攻击更多依靠福利、免费礼品作为驱动力。普通公众缺少安全培训对钓鱼邮件识别能力远低于企业内部经过训练的员工进一步放大攻击成功率。第五阶段信息窃取与黑产变现。当受害者在伪造页面填写身份信息、医保编号、银行卡资料之后数据直接被攻击者获取。窃取到的医疗、医保相关数据存在多条变现路径可以在地下黑产市场打包出售可以被用于身份冒用进行虚假医保报销也可以结合拿到的金融信息实施后续电信诈骗。攻击者完成数据收集之后甚至可以继续向该受害者推送更多医疗主题的诈骗消息形成持续性欺诈。2.3 攻击得以生效的多层诱因从技术层面看SMTP 邮件协议允许攻击者伪造显示名称普通消费者邮箱的安全过滤能力参差不齐部分欺诈邮件能够绕过个人邮箱垃圾邮件过滤器抵达收件箱。普通用户使用网页邮箱或者手机邮箱客户端很多移动端界面默认隐藏完整原始发件地址普通患者缺少主动查看完整发件域名的操作习惯仅依靠展示的显示名称判断邮件真伪。从心理层面医疗服务自带信任背书MyChart 是大量患者日常使用的服务用户对该品牌具备固有信任感免费福利、礼品类话术对部分群体具备较强吸引力多数普通公众没有系统学习过网络钓鱼识别知识不清楚退订链接本身也可以是恶意载体缺少基础风险判断框架。从安全治理边界层面医疗机构没有权限管控患者私人邮箱、个人手机电脑无法在技术层面阻断诱饵送达受害者手中。攻击发生在机构安全边界之外传统安全技术手段的作用被大幅压缩风险处置更多依赖用户自身判断力与外部多方协同。3 仿冒 MyChart 钓鱼攻击的识别特征结合 ECU Health 给出的防护提示以及同类攻击样本可以归纳该类面向患者的仿冒门户钓鱼的典型风险特征分为发件身份异常、邮件内容诱饵特征、链接与交互行为异常三个维度。应当客观看待攻击者会持续迭代邮件样式不存在单一判定条件可以百分百识别全部欺诈邮件需要多重特征交叉研判。3.1 发件身份层面异常特征正规 MyChart 官方通知必然来自医疗机构官方域名邮箱。仿冒邮件的显示名称可以写为 MyChart、医疗机构名称但是底层真实发件域名不属于官方机构。普通用户应当鼠标悬浮于发件人地址查看完整原始邮件地址而不是只看前端展示的名称。大量普通用户使用手机邮箱软件界面默认只展示发件人姓名不会完整展示底层邮箱域名这是普通用户最主要的识别盲区。仿冒邮件大多来自通用免费邮箱域名或是和官方域名仅有微小拼写差异的仿冒域名。3.2 邮件内容诱饵层面特征第一以免费福利、礼品、工具包、优惠券作为主要吸引点例如 Medicare 工具包、免费医疗物资、体检福利、礼品卡等。正规医疗机构几乎不会通过邮件向普通用户推送此类免费礼品该类话术属于高风险信号。第二制造轻度紧迫感提示用户尽快完成操作否则福利失效。第三邮件主题围绕工具包领取、账单异常、账号锁定、检验报告待查看、预约变更全部都是和患者日常就医高度相关的场景降低用户戒备心理。第四邮件没有包含该患者真实的就诊业务编号缺少和该患者本人就诊记录对应的专属信息内容为通用模板批量发送给所有接收人。3.3 链接与交互行为异常特征第一邮件内嵌入外部链接声称跳转 MyChart 平台但是鼠标悬浮查看链接地址域名并非医疗机构官方 MyChart 域名。即便链接文字显示 “MyChart 登录”实际跳转地址依然需要核验。ECU Health 特别警示包括邮件中的退订链接都不应当点击。攻击者设置的虚假退订链接核心目的不是退订而是确认该邮箱处于活跃状态标记为高价值目标后续投递更多诈骗邮件。第二诱导用户在网页内提交医保编号、身份证、银行卡、家庭住址等高敏感个人与金融信息。正规 MyChart 门户不会通过一封陌生邮件的外部网页要求用户重新录入全套个人身份、银行卡资料。第三附带不明附件要求用户下载打开附件查看医疗资料。4 医疗机构应对患者侧钓鱼威胁的现实困境国内国外大量医疗机构在面对该类发生于机构安全边界之外、直接面向普通患者的钓鱼攻击时普遍遭遇多重现实困境这些困境共同造成威胁难以被彻底消除。4.2 安全防护边界存在天然局限医疗机构的安全技术体系设计对象是院内服务器、业务系统、员工办公终端、机构自有邮箱。患者使用的是个人邮箱、私人手机电脑全部属于外部第三方资产医疗机构没有权限对这些终端实施安全管控无法在技术层面拦截发送到患者私人邮箱的钓鱼邮件。机构既不能过滤患者收件箱邮件也不能监控患者在个人设备上面点击链接、填写信息的行为。当攻击发生在院外传统防火墙、邮件网关、终端检测系统全部失效这是该类威胁和内部钓鱼攻击最本质的区别。很多安全建设评估、合规检查更多关注机构内部系统安全面向外部公众的欺诈风险没有被纳入常态化安全建设范围。4.2 面向普通患者的安全宣教落地难度高企业内部员工可以通过强制培训、内部仿真演练完成安全能力提升但是患者群体是流动的、规模庞大的公众群体年龄跨度大数字素养参差不齐老年患者对数字邮件、网页的辨别能力偏弱。医疗机构对患者没有强制教育的权限无法强制患者完成安全课程学习。常规的风险提示传播渠道十分有限大多放在医院官网、公众号页面深处普通患者很少主动查阅。当大规模钓鱼事件爆发机构发布安全预警如何高效触达全部受影响患者是很大难题。很多接收钓鱼邮件的患者并不会主动浏览医院官网公告导致官方预警信息无法有效抵达受害者。反网络钓鱼技术专家芦笛指出医疗行业面向公众的安全科普最大难点在于触达即便医疗机构撰写了完善的风险提示如果无法传递到正在接收诈骗邮件的患者那么宣教工作就很难产生实际防护效果。同时患者对风险认知存在偏差很多受害者会默认带有医疗机构品牌的邮件就一定是机构官方发送不能理解攻击者可以盗用品牌、伪造邮件的技术现实。4.3 威胁感知滞后事件发现存在被动性面向患者的钓鱼攻击医疗机构很难主动发现。攻击发生在患者私人邮箱机构服务器不会产生任何告警。大部分场景下只有部分受害患者向医院客服、投诉渠道反馈收到可疑邮件机构才知晓攻击正在发生。如果没有患者主动上报机构完全无法感知有仿冒自身品牌的钓鱼邮件正在互联网上大规模传播。当事件被发现之后溯源工作同样存在障碍。机构无法拿到钓鱼邮件完整投递列表不清楚到底哪些患者已经收到欺诈邮件难以开展定向通知只能发布公开通用预警预警的精准度不足。当有患者已经遭受信息泄露、财产损失医疗机构也没有技术手段获知哪些患者已经受骗。4.4 品牌被滥用带来的合规与声誉风险攻击者盗用医疗机构以及 MyChart 的品牌开展欺诈即便医疗机构本身服务器没有被入侵也会产生连锁负面影响。普通患者很难分清是医院官方发送的通知还是伪造邮件大量受害者会把受骗经历归责于医疗机构造成机构声誉受损。同时如果大量患者个人信息因为仿冒钓鱼发生泄露还会引发监管层面的合规问询。部分场景中患者遭受财产损失之后会向医疗机构发起投诉产生医患纠纷与民事争议。但是当前缺少标准化的处置指引很多医疗机构对于品牌被外部钓鱼滥用之后自身应当承担哪些处置工作、应当落实哪些预案没有形成明确制度事件发生之后的处置流程较为随意。4.5 跨机构、跨第三方协同机制不足仿冒 MyChart 钓鱼邮件的治理涉及多方主体医疗机构、患者门户软件厂商、邮件服务商、监管机构、反诈机构。单靠医疗机构一方无法完成全部治理工作。例如仿冒钓鱼域名需要域名服务商、网络安全机构完成处置欺诈邮件需要各大邮箱服务商识别拦截面向公众的反诈宣传需要和反诈部门联动。现实环境中各方主体之间缺少常态化情报共享通道。医疗机构发现仿冒自身品牌的钓鱼邮件之后缺少标准化路径快速把钓鱼域名、邮件样本同步给各大邮箱厂商、反诈机构导致仿冒站点、欺诈邮件的存续时间被拉长持续对患者形成威胁。5 医疗机构面向患者端钓鱼威胁的综合防御体系构建针对面向患者的仿冒门户钓鱼威胁不存在单一技术手段实现完全阻断。因为攻击载体处于机构安全边界之外防御思路不能沿用传统内网防护思路需要把安全治理向外延伸从外部威胁情报监测、患者安全宣教、门户系统安全加固、事件应急处置、多方协同机制五个层面搭建多层防御体系压缩攻击各个环节的成功率。5.1 建立外部品牌仿冒威胁常态化监测机制医疗机构应当把外部网络上仿冒本院、仿冒患者门户的钓鱼内容纳入常态化威胁监测工作不再将安全监测范围局限在内网资产。第一开展品牌仿冒监测持续互联网测绘监测跟踪是否出现仿冒患者门户的钓鱼网站、仿冒机构名义的邮件样本。当收到患者客服渠道上报的可疑钓鱼邮件第一时间完成样本留存提取钓鱼域名、邮件特征完成归档分析。第二和域名服务商、威胁情报厂商建立对接一旦发现仿冒钓鱼站点按照流程提交仿冒站点下架申请缩短钓鱼网站存活周期。第三建立钓鱼样本内部流转机制客服、投诉、门诊接待岗位如果收到患者反馈诈骗邮件要有标准化的上报路径将样本同步至信息安全部门避免威胁线索散落在业务部门无法汇总。安全团队基于收集到的样本总结攻击者最新诱饵话术及时更新对外风险提示内容。5.2 构建多渠道患者安全宣教体系解决预警触达难题面向患者的安全科普不能只停留在官网静态公告要打通患者日常接触的全部业务触点提升预警触达率。首先区分常态化科普和突发事件预警。常态化科普嵌入业务流程在 MyChart 门户登录首页、挂号页面、线下就诊回执、公众号推送、就诊短信通知当中适度植入钓鱼识别提示向患者传递核心操作准则收到声称来自患者门户的邮件不要直接相信显示名称核对完整发件域名不要点击陌生邮件内全部链接包括退订链接不要在外部网页提交医保、银行卡信息福利礼品类邮件保持高度警惕如果需要访问 MyChart不通过邮件链接跳转手动在浏览器输入官方域名或者打开官方 App 访问。反网络钓鱼技术专家芦笛指出面向普通患者的科普应当尽量少使用晦涩技术名词提供简单可执行的操作步骤告诉患者正确的访问路径比单纯告知 “谨防诈骗” 更有实际效果。其次当发生大规模仿冒钓鱼事件启动突发预警。多渠道同步推送风险提示MyChart 门户弹窗提醒、公众号推送、短信批量告知注册患者、医院官网首页醒目公告、院内线下大屏提示。尽可能覆盖可能接触到钓鱼邮件的患者群体。同时制作通俗易懂的识别指引降低普通公众理解门槛。针对老年患者占比高的业务板块优化提示内容减少专业术语。同时明确告知患者遭遇可疑邮件、遭受诈骗之后的上报渠道指引患者向对应反诈监管机构完成举报例如 ECU Health 指引受害者向联邦贸易委员会上报的处置流程医疗机构应当把该类举报指引整合进对外公告。5.3 患者门户系统本身的安全策略优化从门户产品侧减少攻击者仿冒邮件的发挥空间从源头降低社会工程攻击的成功率。第一规范官方通知的发送规则。机构通过 MyChart 向患者发送邮件通知时全部使用受管控的官方域名落实 SPF、DKIM、DMARC 邮件身份认证保障官方邮件的可校验性。官方推送邮件中尽量不放置高风险外部跳转链接如果必须附带链接明确标注官方域名。对于福利、礼品、物资领取类业务尽量不在邮件中通过外部链接引导用户提交敏感信息相关业务操作全部限定在官方 MyChart App 或者网页门户内部完成。第二在官方通知邮件中加入可以供患者核验的专属标识例如业务流水编号正规通知会带上该患者对应的就诊相关编号仿冒批量钓鱼邮件无法拿到每位患者专属业务信息患者可以通过该特征辅助判断邮件真伪。第三强化门户账号安全管控强制高风险操作二次身份校验。即便少数患者不慎泄露账号密码攻击者也很难完成高权限操作。同时引导患者优先使用官方 App 访问服务减少点击邮件链接访问网页的操作习惯。5.4 完善针对患者侧钓鱼的专项应急处置预案医疗机构传统应急预案大多针对内网被入侵、勒索软件、服务器故障应当补充面向外部仿冒钓鱼攻击的处置流程。预案需要明确事件分级、线索收集、预警发布、对外沟通、协同处置、事后复盘全流程。当收到多份患者上报同一类仿冒 MyChart 钓鱼邮件触发事件响应。第一时间收集邮件样本、钓鱼域名评估事件影响范围多渠道发布面向患者的风险预警同步向域名服务商、反诈机构提交仿冒站点处置申请设置客服统一应答口径应对大量患者的咨询投诉。事件处置完成之后开展复盘梳理攻击者使用的诱饵主题、分发渠道查找机构在宣教、监测层面的短板更新监测规则和科普材料。同时做好舆情应对准备妥善处理患者咨询与投诉区分机构系统本身漏洞和外部第三方仿冒攻击向公众清晰说明事件性质同时不推诿患者保护相关的责任。5.5 搭建多方协同治理机制单家医疗机构的能力存在边界该类面向公众的钓鱼威胁需要多方协同治理。医疗机构主动和门户软件厂商、本地反诈、网络安全监管机构建立沟通渠道。当出现大规模仿冒攻击将钓鱼邮件样本、恶意域名同步至邮箱服务商帮助邮箱服务商更新垃圾邮件过滤规则在邮件投递环节对更多用户实现拦截。医疗机构也可以和同地区多家医疗机构开展威胁情报共享仿冒 MyChart 的钓鱼邮件经常会同时针对多家使用该门户的医疗机构机构之间互通攻击样本、诱饵特征能够更快识别新爆发的攻击浪潮提前发布预警提升整体行业防御能力。6 结语MyChart 仿冒钓鱼攻击代表一类新型医疗安全风险攻击者不需要入侵医疗机构内网服务器而是盗用医疗平台品牌直接面向院外海量普通患者开展社会工程学欺诈。ECU Health 披露的 Medicare Kit 钓鱼邮件事件直观展示了该类边界外威胁的现实危害。该攻击场景下传统面向机构内网的安全防护体系难以发挥作用攻击的受害者是数字素养参差不齐的普通患者威胁的感知、预警、处置都面临和内部安全事件完全不同的挑战。很多医疗机构过去的安全建设把重心放在保护院内系统与员工账号容易将面向患者的外部仿冒钓鱼简单归为用户个人防范问题。反网络钓鱼技术专家芦笛指出医疗机构虽然无法管控患者私人邮箱设备但是依然具备不可推卸的责任机构需要将品牌仿冒监测、患者安全宣教、跨方协同处置纳入整体网络安全治理工作不能将安全工作局限于防火墙以内。对抗面向患者的钓鱼威胁没有办法实现完全杜绝欺诈邮件的产生。防御的核心思路是多层消减风险通过外部监测尽早发现仿冒攻击通过多渠道宣教把识别方法传递给患者群体优化门户官方通知机制缩小攻击者仿冒发挥的空间完善应急预案实现事件快速处置联动外部多方主体推动钓鱼站点、欺诈邮件被处置。互联网医疗给患者带来便利的同时也将安全风险延伸到机构的 IT 边界之外。医疗行业安全建设需要打破内网边界的固有思维兼顾内部系统防护和外部公众侧风险在推进数字化医疗服务的同时同步补齐面向普通用户的安全防护短板平衡服务便捷性和患者个人隐私信息保护的现实需求。编辑芦笛公共互联网反网络钓鱼工作组