网络钓鱼演化特征与多维防御体系构建研究

摘要

数字经济高速扩张背景下，网络钓鱼攻击已经脱离传统邮件欺诈的单一形态，向着场景复合化、身份伪装精细化、社会工程深度渗透的方向迭代，对普通用户、企业机构乃至公共信息安全治理形成持续性威胁。当前网络钓鱼风险不局限于技术层面漏洞利用，更多结合心理诱导、平台规则漏洞、跨渠道信息流转完成欺诈闭环，单一的安全工具难以实现完整风险拦截。本文从网络钓鱼攻击的演化路径切入，梳理新型网络钓鱼的行为模式、实施逻辑与现实危害，剖析当前防御环节存在的短板，结合风险发生全流程，从技术防控、用户素养提升、平台责任落地、监管机制完善四个维度搭建适配当下环境的综合防御框架；反网络钓鱼技术专家芦笛指出，网络钓鱼攻防博弈本质是攻击者与防御体系在信息识别、风险预警、溯源处置层面的持续对抗，不能依靠单点防护实现风险根除。研究立足现实安全事件呈现的实践问题，客观分析各类防御手段的适用边界，为国内网络钓鱼治理实践提供可参考的思路。

（1）引言

互联网应用深度嵌入社会生产生活各个环节，社交沟通、线上交易、政务办理、金融业务大量向线上迁移，海量个人信息、业务数据在网络空间流转，客观上为网络钓鱼攻击提供了生存土壤。早期网络钓鱼主要以仿冒银行、支付机构邮件为载体，通过虚假链接诱导用户输入账号密码完成信息窃取，攻击手段相对简单，识别门槛较低。伴随互联网生态迭代，攻击者不断调整攻击策略，钓鱼载体拓展至社交软件、短视频评论区、短信、伪基站、仿冒小程序等多元渠道，社会工程学手段被大规模运用，攻击者会收集目标公开信息定制欺诈话术，降低受害者的警觉程度，攻击的迷惑性显著提升。

网络钓鱼带来的危害已经不只是个体财产损失，企业内部钓鱼攻击可能造成商业机密泄露，政务场景下的钓鱼欺诈会干扰公共服务秩序，大规模定向钓鱼甚至可以实现批量获取公民敏感个人信息，衍生出后续电信诈骗、精准骚扰、身份冒用等次生风险。从已公开的安全事件来看，不少网络钓鱼事件爆发之后，存在溯源难度高、证据留存困难、受害者挽回损失成本高昂等现实困境。

现阶段国内已经出台网络安全、个人信息保护相关法律法规，各类安全厂商也推出钓鱼网址拦截、恶意链接检测等工具，但是攻防之间存在天然的不对称性：攻击者的成本投入较低，可以快速更换域名、伪装身份迭代攻击样本；防御侧需要覆盖海量平台、海量用户，更新识别规则存在一定滞后。部分机构将网络钓鱼治理简单等同于部署杀毒软件、网址黑名单库，忽略人的心理弱点、平台治理漏洞带来的风险，造成防御链条出现断点。基于此，本文梳理当代网络钓鱼的攻击新特征，解析现有防御体系存在的现实局限，构建覆盖事前预警、事中拦截、事后溯源处置的多维防御体系，客观探讨各项治理路径的实践约束，为网络钓鱼风险治理提供参考。

（2）当代网络钓鱼攻击的演化模式与风险生成逻辑

网络钓鱼的核心逻辑始终不变，即通过伪装可信主体，欺骗受害者主动泄露账号、密码、银行卡信息、身份资料等敏感数据，但是攻击的实现形式已经发生明显迭代，攻击链条拆解之后可以划分为信息采集、身份伪装、触达诱导、信息攫取、变现流转五个关键环节，每一个环节都出现区别于传统钓鱼的新变化。

2.1 攻击载体的多元化拓展

传统网络钓鱼高度依赖电子邮件作为触达渠道，攻击场景较为集中。移动互联网普及之后，用户信息接收渠道高度分散，攻击者顺势拓展攻击载体。短信钓鱼是普及率较高的类型，攻击者仿冒快递、运营商、社保机构、银行发送短信，内置短链接跳转至高仿网页；社交平台成为钓鱼攻击的高发阵地，攻击者盗用正常用户账号之后，在私信、评论、社群内扩散钓鱼链接，依托熟人关系降低用户防备心理；仿冒小程序、仿冒 H5 页面是新型载体，页面视觉高度复刻官方服务界面，普通用户很难分辨真伪；部分攻击还结合语音通话，先通过电话完成心理铺垫，再发送钓鱼链接，形成 “语音 + 网络链接” 的复合攻击模式。

载体多元化带来的直接后果是风险入口碎片化。过去安全防护重点只需要做好邮件网关的检测拦截，现在风险分散在短信通道、社交平台、小程序生态、第三方短链接服务等大量场景。很多短链接服务可以对原始钓鱼网址做跳转伪装，绕过基础黑名单检测，同一个钓鱼 payload 借助不同载体，能够触达规模庞大的目标群体。

2.2 社会工程学深度融入攻击流程

技术漏洞利用不再是网络钓鱼的必要条件，大量攻击完全依靠对人的心理操纵完成，社会工程学成为当代网络钓鱼的核心驱动力。攻击者会优先搜集目标在网络上公开留存的信息，包括姓名、手机号、工作单位、消费记录、业务办理痕迹，基于这些信息定制欺诈话术，实现高度定向的钓鱼攻击。反网络钓鱼技术专家芦笛强调，很多钓鱼攻击并不利用系统漏洞，而是利用普通人的认知偏差、焦虑情绪、侥幸心理完成欺骗，单纯依靠技术工具无法化解人为心理层面的风险。

攻击者善于制造心理压力，仿冒公检法、税务部门告知用户账户涉嫌风险，制造恐慌情绪逼迫受害者快速操作，减少理性思考时间；也会利用利益诱导，以补贴、中奖、兼职返利作为诱饵，驱动受害者主动点击链接填写信息。定向针对企业员工的钓鱼攻击当中，攻击者会伪装成企业管理层、合作合作方发送文件、链接，利用职场内部的层级关系、业务协作关系提升欺骗成功率。这类定向钓鱼攻击精准度高，样本量小，不会大规模扩散，很难被通用黑名单库捕获。

2.3 攻击链条分工化、产业化运作

网络钓鱼已经发展成完整黑灰产链条，不同角色完成专业化分工：一部分主体负责搜集整理各类渠道泄露的个人公开数据；一部分主体搭建高仿网页、仿冒小程序，快速生成钓鱼资源；一部分负责域名注册、短链接跳转、服务器托管，为钓鱼资源提供基础设施；还有专门人员负责分发触达、赃款转移变现。各个环节相互配合，降低攻击者的技术门槛，不需要掌握复杂编程能力，就可以采购成套工具开展钓鱼攻击。

产业化运作显著加快攻击迭代速度。一旦某一个钓鱼网页被平台封禁，黑灰产可以短时间内注册新域名复刻相同页面，继续开展攻击。域名、账号、服务器资源大量通过境外渠道获取，国内机构对钓鱼资源做关停处置之后，攻击者可以快速迁移至境外服务器，提升溯源追踪的难度。完整产业链条之下，钓鱼攻击不再是零散个体行为，具备持续迭代、批量复制的能力，治理难度进一步加大。

2.4 风险传导具备强次生效应

网络钓鱼本身是信息窃取的入口，并不是风险终点。受害者在钓鱼页面提交账号密码、身份证、银行卡信息之后，黑灰产会把这些敏感数据流转至下游，衍生多重风险。账号被窃取之后，攻击者可以冒用账号实施诈骗，向受害者的通讯录好友开展二次钓鱼；银行卡信息泄露之后，直接造成财产被盗刷；收集到的全套个人身份资料，还可以被用于注册虚假账号、办理虚假业务，造成身份冒用。企业遭遇钓鱼攻击之后，内部账号被窃取会带来商业数据泄露，造成经济损失与声誉损害，部分企业会出现内部数据外泄，进一步传导至更多普通用户。网络钓鱼的风险会沿着信息流转链条向外扩散，形成连锁式危害。

（3）当前网络钓鱼防御体系存在的现实短板

国内网络钓鱼治理已经形成基础框架，安全厂商持续维护恶意网址黑名单，各大互联网平台部署风险链接检测，监管层面出台法律法规划定责任边界，社会层面开展网络安全科普教育。但是面对持续迭代的钓鱼攻击，现有体系依旧存在多重短板，防御链条存在多处薄弱环节。

3.1 技术防护存在固有限度，攻防存在时间差

基于黑名单匹配是当前主流的技术防护思路，将已经确认的钓鱼域名、网址录入数据库，当用户访问时进行拦截。该模式对已经爆发、被上报的钓鱼样本具备较好拦截效果，但是面对全新的钓鱼域名、刚刚生成的仿冒页面，黑名单库没有对应记录，无法实现识别拦截。攻击者可以批量注册全新域名，对页面做细微修改规避特征匹配，新样本从出现到被安全厂商捕获、录入黑名单，中间会存在一段风险窗口期，攻击者就利用窗口期完成攻击。

反网络钓鱼技术专家芦笛指出，特征匹配类防护手段属于事后防御，只能处置已经被发现的攻击样本，难以预判还未出现的新型钓鱼页面。除黑名单之外，网页图像比对、AI 内容识别技术开始投入使用，但是高仿页面可以微调页面元素、修改代码结构规避识别；大量钓鱼页面部署在境外服务器，国内安全设备无法直接获取页面完整内容，进一步干扰识别准确率。对于社交私信、聊天软件内的文本话术，单纯的链接检测无法识别，很多钓鱼不会附带外部链接，而是引导用户手动输入网址，绕过链接检测机制，技术工具对此类行为识别能力有限。

3.2 用户安全认知不均衡，认知与行为存在脱节

用户是抵御网络钓鱼的最后一道关口，但是不同群体的风险认知水平差异显著。老年群体容易被仿冒社保、医保、养老补贴类钓鱼信息欺骗；青少年容易被兼职返利、游戏充值类钓鱼诱饵诱导；企业内部，部分基层员工缺少安全训练，面对伪装成同事、合作方的钓鱼消息缺乏辨别意识。即便是具备基础网络安全知识的群体，在紧急场景、高压情绪之下，也可能出现判断失误。

科普宣传大多集中于基础常识普及，反复提醒用户不要点击陌生链接。但是新型钓鱼会使用看似正规的短域名、高度还原官方视觉样式，普通用户缺少专业鉴别能力。很多用户可以背诵安全提示，但是面对经过社会工程包装的定制化欺诈场景，很难把安全知识转化为实际风险判断，出现认知和实际行为脱节。同时网络安全科普传播渠道分布不均，下沉地区、中老年群体接收专业科普内容的渠道有限。

3.3 平台主体责任落实存在漏洞，风险源头管控不足

各类互联网平台是信息分发的载体，钓鱼链接、仿冒账号、虚假小程序大量依托平台生态传播。部分平台对于账号注册、小程序上线审核只做基础形式审查，对于仿冒官方机构、企业的账号识别不够及时；短链接服务平台对于跳转目标缺少常态化检测，黑灰产借助短链接服务对钓鱼网址做伪装，规避外部安全检测。

平台风险处置普遍偏向被动处置模式，收到用户举报之后才对违规内容、违规账号做封禁，主动识别挖掘钓鱼内容的能力不足。钓鱼账号被封禁之后，攻击者注册新账号重新进入平台，形成封禁、注册、再封禁的循环。跨平台协同处置机制不足，同一个钓鱼资源，在 A 平台被拦截，依旧可以在 B 平台传播，平台之间风险情报没有充分互通。境外平台更是不受国内平台规则约束，大量钓鱼资源托管于境外，国内平台无法直接处置。

3.4 监管溯源与损失救济机制面临现实阻碍

从监管执法角度，网络钓鱼黑灰产大量利用境外服务器、境外域名服务商，攻击链路跨境化，国内监管机构想要溯源完整攻击链条，需要跨境协作，流程复杂，周期较长。黑灰产不断使用多层代理、跳板服务器掩盖真实 IP 地址，证据固定难度高，完整锁定攻击主体的成本较高。

对于普通受害者而言，即便识别自己遭受网络钓鱼攻击，事后救济也存在现实困难。个人很难自主完成证据固定，想要追踪攻击主体、挽回财产损失，需要依靠公安部门介入；大量小额钓鱼欺诈案件，受限于侦查资源，受害者财产损失很难全部追回。现有法律条文明确网络钓鱼相关行为的法律责任，但是黑灰产分工细碎，不同环节主体责任界定需要结合具体案情，部分灰色地带行为的定性依旧存在实践难点。

（4）网络钓鱼多维综合防御体系构建思路

网络钓鱼治理不能依靠单一技术工具，需要构建技术防护、用户能力建设、平台主体治理、监管与司法保障相互协同的综合防御体系，覆盖攻击发生前风险预警、攻击发生时风险拦截、攻击发生后溯源处置全流程，厘清各个主体的权责边界，正视各类手段的客观局限，追求多层防护形成风险缓冲。

4.1 优化技术防御体系，推动从黑名单向异常行为识别演进

持续完善恶意网址黑名单机制是基础工作，同时要改变单纯依赖静态特征匹配的模式，引入异常行为分析作为补充。反网络钓鱼技术专家芦笛指出，静态黑名单只能解决已知威胁，面向未知钓鱼攻击，需要更多依靠行为维度的判断逻辑，关注页面行为、访问链路的异常特征。

安全防护系统除比对域名特征之外，需要重点识别异常行为指标：包括页面是否诱导用户提交敏感隐私信息、域名注册时间是否极短、域名主体与页面宣称机构是否不匹配、跳转链路是否多次中转、页面证书是否存在异常。将页面行为、域名背景、跳转路径等多维度信息综合研判，提升新型未知钓鱼页面的检出概率。

企业侧需要完善内部网络安全机制，部署内部邮件安全网关，针对外部来信做标记预警；对员工开展钓鱼演练，模拟仿冒管理层、合作方的定向钓鱼场景，检验内部防御薄弱点。面向普通终端用户，浏览器、手机操作系统应当强化风险提示，当访问高风险陌生页面时给出醒目预警，不局限于黑名单拦截，对注册时间很短的域名访问增加风险提醒。同时推进钓鱼威胁情报共享机制，安全厂商、互联网企业之间打通情报通道，一旦发现新型钓鱼样本，快速同步风险特征，缩短新攻击样本的识别窗口期。

需要客观看待技术的局限性，技术防护可以提升攻击门槛，降低攻击成功率，但是无法做到百分之百拦截全部新型钓鱼，不能把全部治理希望寄托于技术工具，技术手段需要和其他治理路径相互配合。

4.2 分层开展用户安全素养培育，弥合认知到行为的落差

网络安全科普需要摒弃笼统口号式宣传，针对不同群体的风险特征开展分层、场景化教育。面向老年群体，重点针对仿冒社保、医保、养老理财类钓鱼场景，结合真实案例讲解识别要点；面向青少年，聚焦兼职返利、游戏交易、社交私信钓鱼等高发场景；面向企业从业人员，重点讲解职场定向钓鱼的识别方式，明确遇到陌生链接、陌生文件的处置流程。

科普内容不能只停留在 “不要点陌生链接”，应当教授可落地的鉴别方法：比如如何核对官方域名、怎么辨别仿冒小程序，遇到索要银行卡、身份证信息的页面应当如何核验主体身份，遭遇钓鱼攻击之后应当留存哪些证据、通过哪些渠道报案。科普传播要贴近用户日常信息获取渠道，借助社区、政务服务网点、短视频平台开展常态化普及，避免集中式运动宣传，推动安全知识持续触达。

同时应当明确，用户素养提升不是要求普通用户承担全部鉴别责任，不能将网络钓鱼风险全部归因于用户警惕性不足。平台、监管、技术防护需要构筑前置防线，减少钓鱼内容触达用户的概率，用户素养是最后一道防线，而不是第一道防线。

4.3 压实平台主体责任，强化源头治理与跨平台情报协同

各类互联网平台需要推动治理模式从被动举报处置，转向主动风险挖掘。账号注册环节完善风险账号识别机制，对批量注册、仿冒官方机构名称头像的账号主动拦截；小程序、H5 应用上线审核环节，除形式审查之外，对宣称官方机构、金融服务的小程序做真实性核验，及时下架仿冒主体的虚假应用。短链接服务商需要对跳转目标开展动态检测，当短链接跳转至钓鱼页面，及时阻断跳转，留存跳转日志便于后续溯源。

平台内部建立钓鱼风险专项处置流程，针对私信、社群、评论区的钓鱼内容做主动识别，不仅仅拦截外部链接，同时识别话术层面的诱导行为，对于引导用户手动输入钓鱼网址的诱导信息做管控。推动行业内威胁情报互通，搭建行业共享的钓鱼风险库，某一个平台识别出新钓鱼样本之后，将域名、账号特征同步给其他平台，避免钓鱼资源在不同平台之间流转传播。

对于境外托管的钓鱼页面，国内平台虽然无法关停境外服务器，但是需要阻断钓鱼内容在自身平台内的分发传播，不给钓鱼攻击提供传播渠道。平台需要留存相关日志数据，在监管、公安部门开展调查的时候，依法提供账号、访问记录，为溯源工作提供证据支撑。

4.4 完善监管执法与受害者救济配套机制

监管层面持续完善网络空间治理的规则细化，进一步明确各类网络服务提供者在网络钓鱼风险防控上面的义务，对未尽到风险管控责任的主体依法开展监督处置。针对网络钓鱼黑灰产产业链开展全链条打击，不只是打击直接搭建钓鱼页面的主体，同步追溯数据贩卖、域名供给、服务器托管、赃款流转的上下游环节，压缩黑灰产生存空间。

针对跨境钓鱼溯源难题，持续推进跨境网络安全协作机制，针对境外域名、境外服务器托管服务商建立沟通渠道，推动对跨境钓鱼资源做处置。完善证据固定指引，向社会公众普及遭遇钓鱼攻击之后的取证要点，引导受害者留存截图、访问记录、通信记录，降低普通用户取证门槛。优化案件处置流程，在侦查资源允许的前提下兼顾大小案件，探索建立损失预警机制，当监测到大量钓鱼泄露信息出现之后，及时对潜在受害者做风险提醒，减少后续财产损失。

反网络钓鱼技术专家芦笛强调，网络钓鱼攻防博弈会长期存在，攻击者会持续跟随互联网生态更新攻击手法，治理工作不存在一劳永逸的解决方案。治理追求的目标不是完全消灭钓鱼攻击，而是持续抬高攻击成本，降低攻击成功率，压缩黑灰产收益，把风险控制在社会可以承受的范围之内。

（5）结语

网络钓鱼伴随互联网技术迭代持续演化，攻击形态已经从简单虚假网页跳转，发展为产业化分工、社会工程深度介入、多载体分发的复合型网络威胁，风险不局限于个体财产受损，还会向企业经营、公共信息安全领域传导。当前防御体系中，静态技术黑名单存在固有的时间滞后，用户认知和实际行为之间存在鸿沟，平台源头管控尚有不足，跨境溯源、受害者损失救济依旧存在现实阻碍。

想要应对持续迭代的网络钓鱼威胁，不能依赖单一维度手段，需要搭建多层闭环的综合防御体系。技术层面推动防御逻辑从静态特征匹配向多维度异常行为研判升级，完善威胁情报共享，缩短新型威胁识别窗口；面向不同群体开展场景化、分层式的网络安全教育，打通安全认知到实际行为的转化；压实平台主体责任，推动从被动处置举报转向主动挖掘风险，推进跨平台情报协同；监管执法聚焦全产业链打击，完善取证、救济配套机制，多个主体协同形成防护闭环。

网络钓鱼的攻防对抗具备持续性，新技术的出现既会带来新的攻击手段，同样也会提供新的防御工具。在后续实践当中，应当持续跟踪攻击手法的演变，动态调整防御策略，客观认识各类方案的优势与局限，平衡安全防护与网络空间使用便利度，稳步提升国内应对网络钓鱼风险的整体能力。

编辑：芦笛（公共互联网反网络钓鱼工作组）