3-5 利用电子邮件发起的攻击和欺诈 · 波仔的网络与信息安全课

📄 一句话概括

邮件这条渠道上有三种不同的东西：垃圾邮件（占流量、占注意力，本身未必有害）、钓鱼（骗你的凭据）、商务邮件欺诈（骗你转钱或改收款账号）；而真正危险的邮件，往往是认证全过、话术很客气、只有一个要求不对。

📝 本节和前面几节的关系

上一节（利用假冒网站发起的攻击）讲的是假网站。这一节讲假网站最常用的投递渠道——邮件。两者是一件事的两半：邮件负责把链接送到你面前，假站负责接住你的输入。

它也把第二章冒充特定的人物的结论再确认一次：那一节讲了认证挡得住假域名、挡不住真账号被盗；本节用八封真实形态的邮件把这个区别摆成一张表。

一、先把三种东西分开

教材标题把【攻击】和【欺诈】并列，是准确的——因为这三类东西的伤害方式完全不同：

类型	它要什么	主要成本
垃圾邮件	你的注意力（顺带把广告送达）	注意力被消耗；它本身多数不直接造成损失
钓鱼邮件	你的账号（口令、验证码、会话）	一次成功 = 一个可用的入口
商务邮件欺诈（BEC）	你的钱或你的数据（改收款账号、发工资表）	单次损失金额最高；而且认证往往是过的

把三者分开的实际意义：它们的对策不同。垃圾邮件靠过滤（机器能干完）；钓鱼靠过滤 + 登录方式来兜底（因为人会看走眼）；商务邮件欺诈只能靠流程（因为技术上它没有破绽——发信人就是真的）。

二、垃圾邮件：它的问题是【占地方】

全球邮件流量里，垃圾邮件大约占 45%，每天大约 1,690 亿封。另一个口径更直观：每 3 封邮件里就有 1 封是恶意或不需要的（上一年这个数字还是 1/4）。

它本身多数无害，但它带来两个真实成本：

消耗人的注意力——真正要命的那一封，就藏在其余的量里。
它经常是攻击的第一段——很多钓鱼与 BEC 的起点就是一封【看起来像垃圾邮件】的信。

企业侧的过滤能力其实很强：企业级过滤能拦住 99% 以上的批量垃圾。也就是说，防垃圾邮件这个环节，主要已经不是人力问题了。

三、点击欺诈：广告账本上的另一个问题

【点击欺诈】（click fraud）严格说不是邮件攻击，但教材把它放在本节，因为它和【批量制造虚假流量】是同一个产业：

有人用脚本、流量农场或竞品消耗的方式，反复点击付费广告，把广告费烧掉。

这件事的直接后果是：广告后台里那个【点击量】数字，本身不可全信。 你付的钱按点击算，但其中一部分点击后面并没有人。

它的意义不在金额多大，而在于它提醒你：凡是【可以被机器刷出来】的指标，用来做决策时都要打折。这个思路在本课后面还会出现（比如日志量、告警量）。

四、动手 Demo：八封邮件逐封分拣

mails = [
    ("M2", "供应商发来的对账单 PDF，域名与该供应商一致", "认证对齐", "无", "无", "正常"),
    ("M3", "【限时】本周课程五折，退订链接", "认证对齐", "促销话术", "无", "垃圾邮件"),
    ("M5", "IT 部：账号 30 分钟内将被停用，请登录验证", "认证未对齐", "紧迫+权威", "无", "钓鱼"),
    ("M6", "财务总监：我在外地，请先付这笔款，稍后补流程", "认证对齐（真账号）", "权威", "偏离流程的付款", "商务邮件欺诈"),
    ("M8", "CEO：这个月薪资表发我看一下，急", "认证未对齐", "权威+紧迫", "索要敏感数据", "钓鱼"),
]

实跑输出：

二、八封邮件逐封分拣
编号  认证是否对齐          话术压力      流程异常          判定
--------------------------------------------------------------------------------------------------
M1    认证对齐              无            无                正常
M2    认证对齐              无            无                正常
M3    认证对齐              促销话术      无                垃圾邮件
M4    认证未对齐            紧迫          无                钓鱼
M5    认证未对齐            紧迫+权威     无                钓鱼
M6    认证对齐（真账号）    权威          偏离流程的付款    商务邮件欺诈
M7    认证对齐（真账号）    无            偏离流程的付款    商务邮件欺诈
M8    认证未对齐            权威+紧迫     索要敏感数据      钓鱼

分拣结果：正常 2 封 ｜ 垃圾邮件 1 封 ｜ 钓鱼 3 封 ｜ 商务邮件欺诈 2 封

被判定为商务邮件欺诈的两封（M6/M7）【认证是对齐的】——
  因为发信人就是真的，账号是被盗的。
  → 邮件认证（SPF/DKIM/DMARC）挡得住【假域名】，
    挡不住【真账号被盗】。这一条第二章 2-3 讲过，这里再确认一次。

三、点击欺诈（click fraud）——与垃圾邮件同源的另一笔账
  投放广告获得点击 10,000 次，单价 3.5 元
  判定为欺诈点击（脚本刷量 / 竞品消耗 / 流量农场）占比 15%
  → 无效点击 1,500 次，白花钱 5,250 元
  → 反过来说：广告平台的【点击】这个数字，本身是不可全信的。

① 分拣邮件最有用的一条判据是【流程异常】，不是【话术压力】——
   话术会随 AI 变好，但【换收款账号却没走流程】这件事改不了。
② 一封真正危险的邮件常常是【认证全过、话术很客气、只有一个
   要求不对】。这类只能靠【回拨原号码二次确认】拦住。
③ 垃圾邮件本身不危险，但它占掉的是【人的注意力】——
   45% 的流量里藏着那 1 封要命的，这才是它真正的成本。

读这个输出：注意最后两行判定 —— M6 和 M7 的【认证】那一列是【对齐】的。这说明光看认证过不过，有两封会被直接放过去。所以判据必须落到第三列：流程异常。话术会随着 AI 变好而越来越像真的，但【换收款账号却不走变更流程】这件事，是制度层面的异常——它不会因为攻击者更聪明而变得合理。

五、⚠️ 2026 现状

邮件量的结构：坏邮件占了三分之一，而且还在涨。 一份 2026 年的邮件威胁报告给出的结论是：每 3 封邮件里 1 封是恶意或不需要的（去年是 1/4）；其中恶意邮件活动里钓鱼占 48%。
【认证过关】已经成了常态而不是例外。 一份 2026 年的报告统计到：约 84% 的【成功钓鱼】是通过了 DMARC 检查的。原因在于攻击者的策略变了——借可信平台和可信账号发信（拿下一个供应商邮箱、用正常的云服务投递）。这条数据的实践含义只有一个：别把【邮件认证通过】当成放行理由。
钓鱼的技术形态在换代：从【给你一个文件】改成【给你一个链接】。 同一份报告指出的趋势是：攻击者正在从基于文件的载荷转向基于 URL 的投递，并且开始用二维码（把链接藏进图片里，绕开文本层的链接检查）；一个具体的数字是 70% 的恶意 PDF 里二维码指向钓鱼站，并且 10% 的 HTML 附件本身是恶意的。
钓鱼套件已经产业化（PhaaS）。 有统计显示约 90% 的高量钓鱼活动使用了成套的钓鱼服务；这些套件很多是中间人式的——能在实时转发中把多因子验证一起走完。所以【我们上了多因子】不等于是终点，要看是哪一种多因子（见使用一次性密码安全性更高与本节误区 2）。
被钓鱼之后，最贵的不是改密码，是不知道丢了什么。 2026 年的一项调查里，58% 的组织在钓鱼事件后说不清具体哪些凭据或会话令牌被泄露，只有 38% 的组织很有信心能在 24 小时内发现并处置凭据被窃——而攻击者正是靠这段【你不知道】的时间窗口做后续动作（横向、提权、加密）。正确的处置动作要把【作废会话令牌】一起做掉，不然开发者换了密码，攻击者手里那个已经登录的会话照样有效。
BEC 仍然是损失最大的那一类。 累计损失量级在数百亿美元（各国报案口径都在这个数量级）；约 95% 的 BEC 仍以钓鱼邮件为起点；单次平均损失在十几万美元量级。它的关键特征始终没变：不靠技术破绽，靠流程破绽。
点击欺诈依旧是广告预算里的固定损耗。 它没有被根治，只是被识别得更快（平台侧用行为特征剔除一部分）。对投放方的实际建议还是那一条：看转化，不看点击。

30 秒实验

打开你的邮箱，用三列给最近 10 封邮件快速打一遍分（不用细看，每封 3 秒）：

发信域名对不对（把鼠标悬停、或点开显示原始地址）；
有没有制造紧迫（限时、立即、将被停用、最后机会）；
有没有要求你偏离常规流程（换账号、加急付款、要一份平时不由你要的数据）。

任何一封只要第 3 列有内容，就按【先别做、先确认】处理——哪怕它来自你认识的同事的邮箱。

这一节要带走的一句是：话术会变，流程不会变——所以判断一封邮件最稳的着力点，是看它有没有要求你做一件【流程上不该这么做】的事。

常见误区

错误：垃圾邮件不用管，反正有害的会被过滤掉。——纠正：过滤拦得住【批量发送】，拦不住【为您定制】。 企业过滤能处理 99% 以上的批量垃圾，但攻击者要送进你收件箱的那一封，本来就只有几百封甚至几封——这类没有量、没有重复特征的信，恰恰是过滤器最不擅长判断的。所以垃圾邮件这一节真正要记的不是【怎么过滤批量】，而是【那 1 封例外长什么样】。
错误：我们上了多因子认证，钓鱼就偷不走账号了。——纠正：要看是哪种多因子。 中间人式钓鱼套件的工作方式是实时转发：你输的口令和验证码都被它同步送给真站，验证是真的通过了，被偷的是验证之后那个【已登录】的状态（会话令牌）。能有效对抗这类的是抗钓鱼的认证方式——它的签名把域名算进去了，所以在假域上签出来的凭据，到真站点会被拒绝。结论：多因子是必要的，但【上了多因子】这句话必须能回答【是哪一种】。
错误：这封邮件是我同事发的，那肯定没问题。——纠正：【发件人是同事】这件事，在 2026 年只能证明【他的账号被用上了】，不能证明【是他本人在操作】。 本节 Demo 里那两封商务邮件欺诈（M6/M7）认证完全是通过的——因为信真的是从他的邮箱发出的。这类邮件唯一的拆解办法是流程：任何偏离常规的付款或数据请求，都回到【另一个渠道】去确认（打电话回原号码，不是在邮件里回复问一句）。
错误：只要不点附件就没事。——纠正：投递方式已经不靠附件了。 2026 年的趋势是从文件转向链接，再加上把链接做成二维码塞进图片（文本层看不到链接，只有扫码才到）。所以【不点附件】这条经验已经不够用：还要不扫来源不明的码，以及最根本的那条——不从邮件里进登录页。

自测三问（点开对答案）

1. 为什么说【流程异常】比【话术压力】更可靠？ —— 因为**话术是攻击者能持续改进的东西，流程是组织自己定的东西**。攻击者可以用 AI 把语气、用词、上下文都做到毫无破绽（2026 年 AI 生成钓鱼涨了 14 倍，人识别的比例反而下降了 18%）；但【**更换收款账号必须先走书面变更流程**】这条规则，**不在攻击者的控制范围里**。也就是说：**话术异常是【可能可疑】，流程异常是【确定违反了规则】**——后者的误报率低得多，也几乎不随攻击者水平而失效。 2. 为什么钓鱼事件处置里，【改密码】不够？ —— 因为**攻击者拿到的往往不只是一串口令，还有一个【已经登录】的会话**。现代的钓鱼套件是**中间人**式的：它在你输验证码的时候**已经同步完成了和真站的登录**，于是它手里有一张**在有效期内不需要再验证**的通行证。你改了密码，**那张通行证在很多系统里依然有效**。所以完整的动作是三件：**改口令 + 作废所有会话/令牌（登出所有设备）+ 检查这段窗口里做了什么操作**（因为攻击者已经用那个身份干过事）。 3. 为什么【垃圾邮件】在本节里值得单列一节，而不并入钓鱼？ —— 因为**它代表的是另一类成本：注意力被占用**。钓鱼与 BEC 的账是**一次成功 = 一次损失**，可以直接计价；垃圾邮件的账是**持续的、平摊的**——它让收件箱变成噪声源，**让【认真看每一封】这件事在经济上不可行**。而**攻击者要的正是这个效果**：当人习惯了快速划过去，那 1 封要命的信就获得了掩护。**所以防垃圾邮件的价值不只在【少收垃圾】，而在于保护那条【人还会认真看】的通道。**

☐ 下一节（3-6 窃取信息的软件）