什么是网络钓鱼？如何识别虚假邮件、短信和二维码

什么是网络钓鱼？

英国国家网络安全中心（NCSC）对网络钓鱼的定义是：犯罪分子利用诈骗邮件、短信或电话来欺骗受害者；其目的通常是让您访问一个可能会向您的电脑下载病毒的网站，或窃取银行账户信息及其他个人信息 ^[3]。美国联邦贸易委员会（FTC）的说法更为简洁：骗子利用电子邮件或短信诱骗您交出个人和财务信息 ^[1]。

FBI 将这类犯罪归为“网络钓鱼/仿冒”：自称来自正规公司、未经请求而发来的电子邮件、短信和电话，要求您提供个人信息、财务信息或登录凭据 ^[8]。仿冒是指伪造发件人，例如让一条消息看起来像是您的银行发来的。

网络钓鱼是社会工程学的一种形式，FBI 将社会工程学描述为通过欺骗他人、使其主动泄露信息来获取受保护数据的手段 ^[12]。它利用的是人与人之间的信任，而不是技术漏洞，因此只要能说服某人交出密码或验证码，再坚固的系统也可能被绕过。

网络钓鱼有哪些形式？

• 邮件钓鱼：冒充银行、商店、快递公司或雇主群发的消息 ^[1]。
• 鱼叉式网络钓鱼：针对特定个人或群体、利用相关信息来提高成功率的定向欺诈 ^[12]。
• 短信钓鱼：通过短信实施的同类骗术；FTC 的定义明确涵盖短信 ^[1]。
• 电话钓鱼：假冒可信机构打来的电话；英国国家网络安全中心将诈骗电话视为网络钓鱼的一部分 ^[3]。
• 二维码钓鱼：邮件中的二维码，会把人引向恶意网站 ^[6]。

AI 如何改变网络钓鱼？

2024 年 12 月，FBI 发出警告：犯罪分子利用生成式 AI 为社会工程和鱼叉式网络钓鱼撰写可信的文字，以更快的速度向更多人发送消息，并翻译消息，使其中的语法或拼写错误更少 ^[12]。英国国家网络安全中心同样指出，过去诈骗很容易通过拼写错误或怪异的设计识别出来，但如今骗局越来越高明，有些甚至能骗过专家 ^[4]。

谁会成为个人化攻击的目标？

犯罪分子会利用网上（包括社交媒体上）关于您的公开信息，让消息显得更可信 ^[3]。知名群体还会面临与国家有关的攻击活动。自由之家报告称，一个与伊朗伊斯兰革命卫队有关联的黑客组织曾在网上冒充记者和人权活动人士，引诱批评政府的人落入网络钓鱼圈套 ^[13]。对于讲波斯语的记者和活动人士来说，一份意外的采访邀请或文件链接，应当像银行来信一样接受同样的核查。

如何识别钓鱼消息？

据 FTC 介绍，钓鱼消息常常声称发现了可疑活动或登录尝试，声称您的账户或付款信息有问题，要求您确认个人或财务信息，附上一张您不认识的发票，要求您点击链接付款，称您有资格获得政府退款，或者提供免费赠品的优惠券 ^[1]。

英国国家网络安全中心建议，检查可疑消息时留意以下典型迹象 ^[4]：

1. 权威：它是否自称来自官方人士，例如您的银行、医生、律师或政府部门 ^[4]？
2. 紧迫：是否要求您在 24 小时内或立即回复，并常常以罚款相威胁 ^[4]？
3. 情绪：它是否让您惊慌，或让您感到害怕、充满希望或好奇 ^[4]？
4. 稀缺：它是否提供某种供不应求的东西，例如演唱会门票、钱财或灵丹妙药 ^[4]？
5. 时事：它是否借助新闻事件、重大活动或报税季等特定时节 ^[4]？

英国国家网络安全中心补充说，您的银行或任何其他官方机构绝不会通过电子邮件要求您提供个人信息，也不会打电话要求您确认银行账户信息 ^[4]。如有疑问，请使用该机构官方网站上的联系方式直接与其联系，而不要使用消息中的电话号码或地址 ^[4]。

网络钓鱼有多普遍？

2025 年，FBI 互联网犯罪投诉中心（IC3）共收到 1,008,597 起投诉，报告的损失达208.77亿美元 ^[8]。按投诉数量计，网络钓鱼/仿冒是最大的类别，共 191,561 起 ^[8]。其报告的损失从 2024 年的 70,013,036 美元增至 2025 年的 215,843,126 美元 ^[8]。投诉数量只反映人们选择向 IC3 举报的案件，并不代表实际发生的全部网络钓鱼。

行业联盟反网络钓鱼工作组（APWG）在 2025 年第一季度观察到 1,003,924 次网络钓鱼攻击，为 2023 年底以来的最高数量；该组织还表示，犯罪分子每天发送数百万封含有二维码的电子邮件 ^[9]。针对在线支付和网上银行的攻击合计占该季度全部攻击的 30.9% ^[9]。

在英国，截至 2026 年 9 月，英国国家网络安全中心的举报服务已收到超过5960万起诈骗举报，并据此删除了涉及 466,300 个网址的26.37万起诈骗 ^[3]。

扫描二维码安全吗？

在日常场所通常是安全的。英国国家网络安全中心表示，酒吧或餐馆里的二维码大概可以放心扫描；与其他网络诈骗相比，借助二维码实施的诈骗相对较少，而且大多发生在车站、停车场等开放空间，常常与社会工程手段相结合 ^[6]。

电子邮件才是更大的隐患。英国国家网络安全中心发现，钓鱼邮件中的二维码越来越多，这种手法有时被称为“二维码钓鱼”（quishing）。原因在于二维码能伪装恶意链接，并非所有邮件安全工具都会扫描图片，而且人们往往用个人手机扫码，而手机的防护可能不如工作电脑 ^[6]。

FBI 和 FTC 有哪些建议？

• 扫码后检查网址；恶意域名可能看起来与真实域名很像，只是有一个拼写错误或字母位置不对 ^[7]。
• 对于实体二维码，检查它是否被贴纸覆盖 ^[7]。FTC 指出，有报告称骗子会用自己的二维码覆盖停车计费器上的二维码 ^[2]。
• 不要通过二维码下载应用，也不要另外安装二维码扫描应用；大多数手机的相机应用都自带扫码功能 ^[7]。
• 不要扫描您没有预料到的邮件或短信中的二维码；请通过您确知真实的电话号码或网站联系该公司 ^[2]。
• 避免在通过二维码打开的网站上付款；请手动输入一个您熟悉且可信的网址 ^[7]。

如果点击了钓鱼链接，该怎么办？

请迅速行动，并按以下顺序进行：

1. 停下来，切断联系。英国国家网络安全中心的建议是：停下来，切断联系，并仔细揣摩对方所用的措辞 ^[4]。
2. 如果您交出了密码，英国国家网络安全中心建议更改所有使用同一密码的账户的密码；如果可以，请改用通行密钥 ^[14]。FTC 也建议使用多因素认证来保护账户 ^[1]。
3. 如果您打开了附件或安装了某些东西，请更新安全软件，运行扫描，并删除被标记的所有内容 ^[1][14]。如果这发生在工作用的笔记本电脑或手机上，请告知您的 IT 部门 ^[14]。
4. 如果您损失了钱财或提供了银行信息，请通过银行卡或对账单上印有的电话号码联系银行——这些地方通常印有官方联系方式 ^[4]，并作为犯罪案件报案：在英格兰、威尔士和北爱尔兰，应向“举报欺诈”（Report Fraud）报案，在苏格兰则向苏格兰警察局报案 ^[14]。如果您在美国，且社会安全号码、银行卡号或银行账号可能已经泄露，可以按照 IdentityTheft.gov 上的步骤处理 ^[1]。
5. 如果您通过被篡改的二维码付了款，FBI 建议进行举报，但提醒执法部门无法保证追回损失的资金 ^[7]。

如何举报网络钓鱼？

在英国，请把可疑邮件转发到英国国家网络安全中心的可疑邮件举报服务：report@phishing.gov.uk ^[5]。在美国，FTC 建议把钓鱼邮件转发给反网络钓鱼工作组（reportphishing@apwg.org），把钓鱼短信转发到 SPAM（7726），并在 ReportFraud.ftc.gov 上举报 ^[1]。在美国遭受的欺诈损失也可以向 FBI 的 IC3 举报 ^[7]。本文为一般性信息，并非财务或法律建议；具体案件应以您的银行和本国举报中心的意见为准。

哪些防御措施真正能阻止网络钓鱼？

FTC 列出了四项防护措施：在电脑上安装安全软件，在手机上开启自动更新，为账户启用多因素认证，以及备份数据 ^[1]。

多因素认证能阻止网络钓鱼吗？

它很有帮助，但并非万无一失。多因素认证（MFA）要求提供两种或更多种证明，例如密码加验证码 ^[10]。美国网络安全和基础设施安全局（CISA）解释说，一种常见的钓鱼手法是把用户引到一个假冒的登录页面，让用户输入用户名、密码以及身份验证器应用中的 6 位数验证码，然后由攻击者加以利用 ^[10]。CISA 还指出，通过短信或语音发送的验证码也可能因 SS7 网络漏洞或 SIM 卡劫持而被窃取，攻击者还会不断向用户发送推送通知，直到对方点击“接受”^[10]。

CISA 表示，目前唯一广泛可用的抗钓鱼身份验证方式是 FIDO/WebAuthn，主流浏览器、操作系统和智能手机都支持它 ^[10]。但它仍然认为，任何形式的 MFA 都比没有好 ^[10]。通行密钥是一种 FIDO 凭据，用加密密钥对取代密码；FIDO 联盟表示，与密码不同，通行密钥始终是强凭据且能抵御网络钓鱼 ^[11]。它还指出，从被入侵的数据库中也没有密码可偷 ^[11]。

还有哪些措施能降低风险？

检查您自己和他人在网上发布的关于您的信息，并收紧社交媒体的隐私设置，因为犯罪分子会利用这些信息让消息更具针对性 ^[3]。举报可疑消息：英国国家网络安全中心表示，举报能减少您收到的诈骗信息，也有助于保护他人 ^[3]。