本文将从 CISO（首席信息安全官）的视角剖析钓鱼威胁。请为这群人留出一点体谅——他们一直处在高层领导的火力之下，被追问："明明网络安全预算在涨，为什么网络攻击还是大问题？"而在另一端，他们又疲于应对日益精密的攻击。我们写这篇文章，正是为了让他们的日子稍微好过一点。

驱动下一波钓鱼攻击的新兴手法

MFA 疲劳攻击

就在几年前，多因素认证（MFA）还被安全专家高度推崇。时过境迁，攻击者如今用 endless 的推送通知"轰炸"用户，诱使其因沮丧或疏忽而点击。试想一名饱受 MFA 疲劳折磨的员工：他收到一封诱骗其在伪造门户尝试登录的邮件，这一动作触发海量推送通知。受害者在一次次忽略中，终于不慎给予了所需授权。

二维码钓鱼（Quishing）

这不是一座中国城市，而是"QR Code Phishing"三个词的组合缩写。二维码已成为全球生活方式的一部分，但犯罪分子的本性就是要把这种生活方式变成你的噩梦。他们正把恶意链接塞进二维码里——这很有效，因为二维码看起来人畜无害，且被大多数人信任；二维码还能绕过专为拦截可疑 URL 设计的邮件过滤器。如果你在邮件里收到二维码，很可能在毫无防备时采取行动。

回拨钓鱼（Callback Phishing）

当你在邮件里看到链接，可以慢慢判断它是否恶意。但如果接到一通电话呢？电话那头是一个以制造心理压力为唯一目的的骗子，且步步为营。第一步是一封钓鱼邮件，指示受害者拨打某个号码——可能是 IT 服务台、账单支持，甚至安全核验。通话中，攻击者说服目标交出凭据、安装恶意软件，或发起欺诈付款。

混合攻击

多渠道攻击已是常态，想想邮件、钓鱼、语音钓鱼等的组合，重点是强化钓鱼或骗局。设想用户先收到一封催促紧急行动的邮件钓鱼，随后一通电话强化这一信息；为加码攻击，甚至可能加入一段深度伪造视频。这种多渠道手法提升了可信度，也提高了成功概率。

协作平台钓鱼

Slack、Microsoft Teams 等协作平台使用增多，已使其成为攻击者的靶心。员工会收到模仿内部通知的恶意消息，借助 AI，这些消息看起来合法、容易取得信任。随着邮件安全提升，对手正越来越多地利用这些相邻渠道，使协作应用成为跨渠道钓鱼的新延伸战场。这是 CISO 必须重视的关键领域——攻击者不仅转向新渠道，还通过邮件为这些攻击"加料"。

商业邮件诈骗（BEC）背后的战术

若让 CISO 选出最具破坏性的钓鱼形式，大多数人会选 BEC。顾名思义，BEC 的目标是诱使员工发起欺诈付款或泄露现有数据，手法是冒充高层领导、高管与受信任的合作伙伴。犯罪分子入侵其账户，发出你本就倾向于信任的邮件。BEC 比其它钓鱼更危险，在于它并非大规模撒网，而是定向、隐蔽且持久的威胁。随着 AI 工具崛起，BEC 攻击持续升级。

以下数据让你感受问题的规模：

• 截至 2025 年 3 月，BEC 事件激增 30%，凸显其快速增长。
• 仅 2025 年第一季度就跳涨 13%，由礼品卡诈骗上升驱动。
• 超过 50% 的社会工程案例如今源自 BEC。
• 小企业也难以幸免——即便员工不足 1000 人的公司，每周遭遇 BEC 尝试的概率也高达 70%。
• 2025 年初，平均一笔虚假电汇请求高达 24,586 美元。

以下是最常见的几种战术：

pretexting（ pretext 铺垫）

这是一种依赖编造极具可信度故事线的 BEC 战术。目标不会怀疑故事是假的。罪犯会冒充审计员、HR 人员或 IT 团队成员联系你，并验证自己的身份。目的是降低员工防备、制造紧迫感，最重要的是让对方觉得这个请求再寻常不过。

身份伪造与高管冒充

我们听过无数次：员工收到来自同事、供应商、老板、合作伙伴或客户的邮件。遗憾的是，这是一封假邮件；但头信息与域名被改得天衣无缝，初看极为真实。这类邮件通常来自高层利益相关者，给员工制造恰当压力，使其不愿花太多时间回复。这种邮件更有可能绕过检查。

深度伪造音频与视频

如果你关注钓鱼攻击，会知道某工程公司一名员工被骗向罪犯汇出 2 亿港元的案例，主导骗局的正是一段 AI 生成的视频。这并非孤例，深度伪造音频与视频屡屡得手。攻击者如今已能克隆你 CEO 的声音，或制作深度伪造视频，指示某员工采取特定行动。随着时间推移，这些假音视频将越来越难以与真品区分。试想此类攻击成为包含邮件与钓鱼消息的更大计划的一部分，区分难度会更高。

发票与付款转向

一种能为罪犯带来巨额回报的 BEC 战术是模仿合法商业交易。其形式可以是发票、付款信息篡改，或冒充"合法"供应商声称银行信息已变更。资金被转入罪犯控制的账户；由于这些付款请求与业务活动一致，往往不为人察觉。

欺骗性签名

犯罪分子能篡改邮件签名，改动之逼真足以绕过审查。你的公司标识、联系方式、邮件地址等被复制，使欺诈邮件看起来例行且可信。人脑习惯于寻找视觉线索与信号——设想员工收到一封带欺骗性签名的邮件，却拥有你眼睛已认定为"例行"的全部视觉元素，这种邮件便能绕过检查。

鉴于 BEC 导致的数据泄露平均成本达 489 万美元（仅次于勒索软件），这是 CISO 必须列为最高优先级的钓鱼攻击。

从组织内外部利用信任

BEC 攻击说明了攻击者如何侵害为某组织工作的员工。然而，钓鱼的武器化也可由外而内发生——想想供应链。犯罪分子能利用同样的心理杠杆（权威、恐惧、不确定、怀疑与熟悉感）入侵第三方厂商系统，从而通过受信任合作伙伴的被攻陷账户渗透进你的组织。CISO 已经开始正视超出自身组织边界、不断扩张的攻击面。

CISO 如何比攻击者快一步

CISO 必须从被动转向主动，提升对抗钓鱼的筹码。鉴于一旦出事他们就站在火线，必须牵头建立贴合组织具体需求的反钓鱼框架。善用邮件安全最佳实践，有助于设计出同时强化预防层与检测层的邮件防御框架。

通信中的零信任

不要依赖邮件头。深度伪造声音与伪造高管消息正涌入员工的收件箱。策略：实施身份核验协议，包括语音回拨、安全的多渠道确认，以及符合你组织的其它特性。对于外部通信，采用验证标记证书（VMC）与通用标记证书（CMC），可在受支持的收件箱中展示已验证的品牌身份，建立可见信任，使攻击者更难冒充高管或企业域名。

事件响应规划

事件（钓鱼攻击）发生后该怎么办？能帮你遏制攻击的下一步战略动作是什么？永远要为最坏情况做打算。策略：你需要制定一份事件响应剧本，确定内外部合适的沟通渠道以传递正确响应信息；并开展包含厂商协作的演练以测试就绪度。

结语

钓鱼短期内不会消失。这并非因为你的防御框架薄弱，而是因为人的因素。关键在于 CISO 与员工的警觉。作为 CISO，你必须营造一种既有最佳防御支撑、又由具备威胁态势认知的安全意识人员组成的氛围。只有人、流程与技术的结合，才能将你从钓鱼中解救出来。