内容摘要：攻击者根本不需要攻破你的防火墙。他们只需要让你自己把门打开。 2023年冬天，我帮一个做外贸的朋友排查事故。他公司一名财务收到"客户"发来的对账单，Excel附件打开后弹出提示要求启用宏，她点了。三天

攻击者根本不需要攻破你的网络防火墙。他们只需要让你自己把门打开。钓鱼段包

2023年冬天，攻击我帮一个做外贸的和手朋友排查事故。他公司一名财务收到"客户"发来的网络对账单，Excel附件打开后弹出提示要求启用宏，钓鱼段包她点了。攻击三天后，和手公司账户少了47万。网络整个过程没有漏洞利用，钓鱼段包没有零日攻击，攻击只有一封邮件和一个点击。和手

这就是网络网络钓鱼的本质——绕过技术防御，直接攻击人。钓鱼段包

邮件钓鱼：最老的攻击套路，最高的成功率

邮件钓鱼至今仍是主流。原因简单：成本低，覆盖面广，而且伪装手段越来越精细。

常见做法是冒充公司IT部门发通知，说邮箱容量已满需要点击链接扩容。链接指向一个和真实登录页几乎一模一样的假页面，连SSL证书都有。你输入账号密码，对方实时收到，然后——你自己的邮箱开始向同事发钓鱼邮件。信任链就这样一级级传下去。

还有一种叫"鱼叉式钓鱼"，不撒网，只针对特定目标。攻击者会先翻你的社交媒体、领英档案、公司官网团队页，摸清你的职位、上级姓名、正在跟进的项目。然后伪造一封来自"直属领导"的邮件，内容具体到让你无法怀疑："张总让我问你，上周那个报价单客户确认了吗？确认前把附件里的数据核对一下。"附件是恶意文档。你打开，因为一切看起来都对。

短信和电话：换个渠道，同样有效

短信钓鱼（也叫Smishing）这两年涨得很快。手机屏幕小，看不到完整URL，很多人不会去核对发件号码。一条"您的快递因地址异常被退回，请点击链接修改"的短信，点进去可能就是一个仿冒的快递公司页面，要求你输入姓名、电话、地址——顺便把银行卡信息也填了。

电话钓鱼（Vishing）更直接。冒充银行客服说你的卡有异常交易，需要验证身份。对方能报出你的姓名、身份证后四位，甚至最近一笔消费金额。这些数据从哪来的？很多是从之前的数据泄露库里拼出来的。你信了，报了验证码，钱就没了。

二维码和Wi-Fi：物理世界的入口

二维码钓鱼（Quishing）是近两年的新花样。攻击者把恶意二维码贴在餐厅桌角、停车场缴费机旁边，甚至替换掉正规的二维码贴纸。你扫一下，跳转到一个需要输入Wi-Fi密码或支付信息的页面。二维码本身看不出任何问题，扫之前你根本不知道它指向哪里。

公共Wi-Fi也是老问题。攻击者架设一个名字和商家Wi-Fi几乎一样的热点，你连上去，所有未加密的流量都从他那里过。登录凭证、聊天记录、邮件内容，一览无余。

为什么钓鱼防不住

技术手段能拦掉一部分，比如邮件网关过滤、URL检测、多因素认证。但钓鱼攻击的核心是心理操纵，不是技术漏洞。攻击者利用的是紧迫感（"账号即将被停用"）、权威感（"这是CEO的要求"）、好奇心（"这是你的照片吗？"）和恐惧（"你的账户有异常登录"）。

我见过最离谱的案例：一家公司的安全培训刚做完，第二天就有员工点了钓鱼测试邮件。培训讲师自己都笑了，说"这封测试邮件写得还没真钓鱼邮件像"。

人不是机器。累了、忙了、看到一封语气紧急的邮件，手比脑子快。这不是智商问题，是注意力问题。

防御钓鱼，技术层面能做的是加验证、加隔离、加监控。但真正管用的，是让每个人在点击之前停半秒——看看发件人地址是不是真的，把鼠标悬停在链接上看真实URL，对任何索要密码或验证码的请求保持怀疑。这半秒，比任何安全设备都值钱。