全球调查揭示了关于邮件钓鱼的惊人数据

钓鱼攻击的惊人增长

网络攻击（包括钓鱼邮件）正在快速演变。过去人们可以轻易区分恶意邮件与真实邮件。而今天，成为复杂邮件钓鱼攻击目标的个人，面对的是高度先进的战术，需要结合周密调查与分层防护才能防止泄露和数据泄漏。

与 2023 年相比，2025 年每周钓鱼攻击增加了 180% [1]。无论你相信哪份报告，信息都是一样的——邮件钓鱼诈骗的上升势头没有放缓迹象，所有行业都脆弱不堪。这一令人担忧的增长可归因于诸多因素，包括：

远程优先的工作场所正让位于混合办公，这使得各种协作工具成为必需。因此，尽管过去邮件是常见的钓鱼渠道，如今此类攻击已蔓延到 Slack、MS Teams 等其他通信平台。近期的 Slack 数据泄露 [2] 说明了网络犯罪分子正如何利用多样化渠道发起攻击。
自 ChatGPT 发布以来，钓鱼攻击增加了 4,151% [3]，而这仅仅是开始。随着 AI 持续发展，发起钓鱼攻击将变得更容易，这可能会提高此类攻击的频率与复杂度。

所以，关键问题是：组织能做些什么来防范钓鱼攻击？尽管对这些威胁的认识在提高，潜在目标群体也在扩大，而被盯上的人越来越难以跟上节奏。那句老生常谈一如既往地正确：潜在受害者必须每一次都做对，而网络犯罪分子只需成功一次。组织最本质的行动是认识到这一问题的严重性，这有助于它们理解钓鱼的规模与范围。而这种理解反过来又让它们有理由采用更先进、更全面的安防措施，构建可信且分层的反钓鱼方案。本文旨在引导你了解强调钓鱼攻击日益频发的关键统计数据。

用数字看邮件钓鱼

如果你在质疑邮件钓鱼的紧迫性，数据自己会说话。这不是为了制造恐慌，而是为了提高知情意识。先从理解威胁的规模开始，并评估邮件安全工具以加强你组织的防护。

作为初始攻击向量的钓鱼邮件示例

凭据滥用位居首位，22% 被分析的数据泄露显示存在某种形式的凭据被盗。
漏洞利用在所有被分析的数据泄露中占 20%。
钓鱼作为数据泄露中的首个攻击向量占 15%。

不过必须注意，钓鱼的后果之一是凭据被盗，因此应从整体而非互斥的角度看待钓鱼与凭据滥用的数据。

受钓鱼攻击最多的国家

如果你认为更发达或更先进的国家会是网络犯罪分子的热门目标，那你就错了。

尽管钓鱼活动下降了 31.8%，美国仍是最受 targeting 的国家，部分原因是广泛采用了更强的邮件身份验证措施，如 DMARC 和 Google 的发件人验证，这些措施在 2024 年共同屏蔽了超过 2650 亿封未经验证的邮件。
攻击者已将重心转向巴西、香港和荷兰等新兴市场，这些地方数字化的快速普及往往超过了网络安全投入。
印度、德国和英国等既定目标继续承受持续的钓鱼压力，威胁行为者根据本地行为和季节性模式调整战术。

受钓鱼影响最大的行业

一个关键的行业相关统计虽然数字惊人，却并不令人意外：教育行业经历了钓鱼攻击的显著激增，增幅达 224%。让我们更好地理解这些数字，以免做出错误假设：

制造业在钓鱼攻击中高居榜首，想想供应链、脆弱的生产线和海量库存，这使其成为理想目标。不过，制造商现已开始遵守更严格的合规要求，并采取切实措施改善网络安全态势，使得钓鱼尝试较上年减少 16.8%。
科技与通信行业位居前五，但较 2023 年钓鱼攻击下降了 32.8%，这主要得益于企业采用反钓鱼邮件软件、AI 驱动威胁检测、全面的邮件身份验证等先进安全特性。该行业仍受网络犯罪分子青睐的一个关键原因是这些企业掌握的大量数据，包括云凭据、源代码仓库、订阅者 PII 和支付数据。
教育已成为网络犯罪分子的偏爱目标，因为它是一个脆弱领域。放眼全球，每年都有新生加入教育生态系统，令本就必须在紧迫期限内工作的行政人员不堪重负，导致他们丧失对网络安全的关注。这种被打断的警觉机制为攻击者利用钓鱼制造了可乘之机。

常见钓鱼技术

当今最盛行的邮件钓鱼技术，即网络犯罪分子常用哪些钓鱼战术？

2024 年，64% 的企业遭遇过 BEC（商业邮件泄露）攻击。
80% 的钓鱼活动针对人员凭据。
HTTPS 钓鱼网站上升，80% 的钓鱼网站拥有 HTTPS。
深度伪造冒充在 AI 驱动下成为钓鱼的下一个前沿，此类攻击预计到 2024 年增长 15%。

钓鱼的成本与业务影响

为什么要投资反钓鱼方案，并确保你的组织不易受钓鱼攻击？一切都关乎成本。

根据 IBM 研究，钓鱼攻击是第二常用的攻击向量，但也最昂贵，每次泄露成本达 488 万美元。
遏制一起由钓鱼攻击引发的数据泄露平均需要 261 天（遏制所需时间越长，组织损失的钱越多）。

一次钓鱼攻击可能非常昂贵，因为仅仅一次成功尝试就可能导致凭据泄露，带来巨大的经济利益。例如，如果钓鱼攻击针对各家金融公司的 CFO，即便只有一名 CFO 中招，攻击者也会大获全胜。获取高价值凭据的即时访问权，还能让攻击的下一阶段更加复杂、定制化和高度针对性。此外，成本还存在多米诺效应。数据泄露可能导致公司因未能遵守数据保护法规而被处以巨额罚款。再加上客户信任的丧失，就不难理解为何钓鱼攻击会造成如此高昂的成本。组织必须培训员工快速报告钓鱼邮件，并投资反钓鱼邮件方案以最小化损失。

相关阅读：不同行业如何对抗邮件钓鱼：趋势与策略

员工意识水平

71% 的跨组织用户采取了有安全风险的操作。
44% 是图方便。
39% 是为了节省时间。
24% 是为了赶紧急期限。
其中 96% 的用户知道自己在做有风险的事。
85% 的安全专业人士表示员工很清楚自己对安全负有责任。
99% 的受访者表示其组织已实施了安全意识计划。
不到三分之一的安全意识计划包含网络安全、密码卫生和远程办公——显示出反钓鱼邮件培训的差距。

员工总是落入钓鱼邮件的陷阱，但确保加强网络安全态势并对此类威胁保持警觉，是组织的责任。作为组织，你必须通过以下方式提升员工的安全意识：

情境丰富的意识研讨

开展与当前攻击趋势挂钩的简短、基于场景的会话，帮助员工识别说服触发点，在点击发生前予以制止。

持续模拟

从那些能将逼真、可定制的诱饵投入用户收件箱、对响应评分并自动分配微培训的平台中选择。每四到六周循环一次模拟的组织能在团队层面绘制风险图，并快速发现改进空间。定期开展反钓鱼邮件模拟演练。

关键指标

跟踪易钓百分比（phish-prone percentage）、报告钓鱼邮件率（多少用户点击了"报告钓鱼"按钮）以及平均点击时间（mean time to click）。报告率上升配合点击率下降，是文化正在转变的最清晰指标。

将培训与业务影响挂钩

向高管展示平均 488 万美元的泄露成本，与那些在 200 天内发现并遏制泄露的企业所花成本的显著差异。然后，将这些节省与持续安全意识计划可达成的风险降低联系起来。把员工当作防御的有机一层，而非永远的"最薄弱一环"，将你最大的攻击面（你的员工）转化为可靠的防线。

给决策者的要点

作为攻击向量的钓鱼不会消失

尽管安全技术不断进步、组织内意识水平不断提高，攻击仍在上升。原因在于它们针对人性的弱点——恐惧、不确定和怀疑。钓鱼中的人为因素使其成为如此流行且常青的攻击向量。即便是训练有素的员工也可能犯下瞬间的错误，这就是为什么遵循经过验证的组织邮件安全最佳实践仍然关键。此外，这是一个恶性循环；钓鱼攻击的成功率及其在网络犯罪分子中的流行，意味着现成的钓鱼工具包随手可得，攻击者可用其发起针对特定行业或地域的钓鱼活动。

AI 正在抬高风险

AI 将让负责提供反钓鱼方案的网络安全专业人员，以及作为关键防线的员工，处境更加艰难。攻击者现在可以：

借助自然语言处理（NLP）大规模炮制完美、定制化的邮件。
深度伪造语音和视频的演变意味着钓鱼攻击将变得更具说服力。

面向 C 级高管与关键决策者的行动剧本

用身份验证标准加固边界：实施 DMARC（基于域的消息身份验证、报告和一致性）以屏蔽伪造域和未授权发件人。强制与 SPF 和 DKIM 对齐，确保每封外发邮件在投递前通过身份验证。
通过 BIMI 和 VMC 建立视觉信任：采用 BIMI（消息识别品牌指标）在收件人收件箱中展示经过验证的品牌标识。配合验证标记证书（VMC）对品牌的视觉身份进行认证——在首次点击前强化信任，防止视觉冒充。
用通用标记证书（CMC）强化品牌完整性：对于尚未注册商标的品牌，通用标记证书（CMC）提供了 VMC 的已验证身份替代方案，确保合法组织仍能展示已验证标识并获得品牌认知，同时满足 BIMI 要求。
以人为中心：每月开展基于场景的钓鱼模拟；将点击率、报告率和平均点击时间作为董事会级别的 KPI 跟踪。
采取"持续调优"心态：每季度审查钓鱼遥测数据，优化规则，并作为更广泛钓鱼响应战略的一部分快速修补缺口。把计划当作一个活产品，而非一次性项目。
为供应链溢出做好准备：将零信任和 DMARC 要求扩展到合作伙伴、MSP 和 SaaS 供应商；在每份合同中要求泄露通知 SLA。

相关阅读：保护业务的 7 项邮件安全最佳实践

结语

钓鱼就像变形者。随着钓鱼工具的演变，反钓鱼战略必须跟上节奏。成功的组织将是那些把自适应防御——结合前沿技术与控制——与敏捷、数据驱动的培训相结合，从而智胜攻击者，而非仅仅被动反应的组织。建立钓鱼无法模仿的识别度：邮件钓鱼依赖模糊身份的仿冒消息生存。验证标记证书恢复了那种清晰度，在发出的邮件旁展示你的已验证标识，并在用户打开邮件之前就强化品牌信任。

购买 VMC 证书