欧洲钓鱼威胁的差异化增长与结构性归因

摘要：2026 年 11 月 12 日，Proofpoint 发布基于其遥测数据的威胁报告，覆盖 2025 年 7 月至 2026 年 9 月的检测记录。报告显示，欧洲地区的钓鱼检测量在一年间增长至 4.5 倍，全球为 1.5 倍，英国达到 6 倍；欧洲用户对已投递威胁邮件的点击率为每 100 封 8.3 次，全球为 2.0 次；在遭受精准云攻击的欧洲组织中，64% 出现了账户接管的成功迹象。本文以这组数据为分析对象，讨论增速差异的构成，并指出以检测量衡量的 "更多" 与以点击率、接管率衡量的 "更有效" 属于两类不同的命题。文章认为，欧洲风险的实质不在于钓鱼邮件数量的绝对扩张，而在于攻击通道与企业检测通道之间的错配：邮件网关仍是主要防线，而攻击已迁移至电话回拨、协作平台与 OAuth 授权同意；身份成为主战场，账户接管的下游动作比投递环节更能反映风险。据此提出以身份使用行为为核心、以流程替代警觉的治理框架，并讨论行业差异与度量口径问题。

关键词：网络钓鱼；账户接管；会话劫持；OAuth 授权；威胁遥测

1 引言

2026 年 11 月 12 日，安全厂商 Proofpoint 发布威胁报告，数据取自该公司遥测，时间跨度为 2025 年 7 月至 2026 年 9 月。报告给出的核心观察是：欧洲地区的钓鱼威胁在一年间增长至 4.5 倍，而全球同期为 1.5 倍；英国的增长幅度达到 6 倍。若以 2025 年 7 月为基期指数化，欧洲与英国的曲线在 2026 年 3 月之后明显抬升，与全球曲线的平缓爬升形成分叉。除数量之外，报告还给出两项与效果相关的指标：欧洲用户对已投递威胁邮件的点击率为每 100 封 8.3 次，全球为 2.0 次；在遭受精准云攻击的欧洲组织中，64% 出现了成功的账户接管迹象。行业层面，医疗健康领域的电话回拨型钓鱼同比增长 257%，恶意软件检测增长 84%；酒店与休闲行业的恶意软件占其检测威胁的 21%，接近全球水平的两倍。报告同时指出，欧洲范围内的间谍活动有所扩张，南亚相关行为体向西欧延伸，俄罗斯与中国关联组织的战术持续演化；通过认证与 OAuth 框架接入的人工智能应用超过 18.8 万个，欧洲传感器受到针对开源人工智能技术攻击影响的比例在两个相邻的九十天周期之间增长 4.6 倍。

这组数字在传播中容易被简化为一个结论：欧洲正在成为钓鱼攻击的重灾区。这一判断并非无据，但它把三类性质不同的量混在了一起 —— 检测到的威胁数量、用户与威胁交互的比例、以及交互之后是否发生了实质损失。三者之间存在因果顺序，却不存在固定的换算关系。检测量取决于攻击者投递规模与防御方可见性的乘积；点击率取决于投递质量与目标情境；接管率则取决于凭据之外的身份控制是否牢固。若不加区分，治理资源就可能被配置到最显眼却未必最关键的环节。

本文因此不把 "增速" 当作结论，而当作待解释的现象。需要回答的问题有三个。第一，报告所呈现的差距在多大程度上反映攻击的真实变化，在多大程度上反映统计口径、暴露基数与检测覆盖的差异。第二，欧洲的点击率与接管率为何显著高于全球均值，其背后的技术机制与行业结构是什么。第三，若风险的实质是攻击通道与防御通道的错配，治理应当如何调整。本文的分析材料限于该报告的公开内容、厂商在发布活动中的表述以及相关技术文献；由于无法获得原始遥测数据，结论属于机制层面的解释，而非统计推断，这一局限将在讨论部分说明。

2 数据的事实边界

2.1 指标口径

报告使用的是遥测中的 "钓鱼检测" 计数，并以 2025 年 7 月为基期作指数化处理。这一口径具有明确的边界。检测计数不是攻击尝试的总量，而是 "被系统识别并记录的尝试"；当防御方的检测能力提升、覆盖范围扩大或日志留存策略调整时，即便攻击者行为不变，计数也会上升。反过来，当攻击迁移至遥测无法观测的通道，计数会下降，而风险未必下降。同源问题在多数厂商报告中普遍存在，其价值不在于提供绝对真值，而在于在方法一致的前提下呈现相对趋势。因此，"欧洲增长 4.5 倍、全球增长 1.5 倍" 这一对比，其可靠性建立在同一厂商、同一口径、同一时间窗的基础上，这一点应当被承认，也应当被限制。

2.2 暴露基数与可见性

比较不同地区的增速，还需考虑分母。欧洲组织在云邮件、协作平台与身份服务上的集中度较高，意味着同一波投递能够触达更多可观测的租户，检测密度随之上升。当攻击者采用广撒网策略时，高集中度地区更容易表现为 "检测量激增"。与此同时，欧洲企业在合规要求下普遍保留了较完整的审计记录，这也提高了事件被识别的概率。换言之，曲线抬升既可能来自攻击增加，也可能来自 "看得更清"。两种解释并不互斥，但把它们合并为 "攻击更猖獗" 的单一叙事，会使后续的资源配置失去依据。

2.3 增速与绝对量

4.5 倍是一个增长率，不是绝对水平。以指数化曲线观察，欧洲与英国在 2026 年 3 月之后陡升，而全球曲线始终在低位缓慢爬行。这一形态差异提示两点：欧洲的抬升具有阶段性，可能对应某一类攻击活动的集中投放；全球均值的平缓则可能源于不同地区检测覆盖的不均衡，低覆盖地区拉低了整体斜率。若仅以 "欧洲三倍于全球" 作为标题结论，容易掩盖 "全球数据本身可能被低估" 这一更值得关注的问题。

3 从 "更多" 到 "更有效"

3.1 点击率的含义

报告披露的点击率为每 100 封已投递威胁邮件中 8.3 次点击，全球为 2.0 次。这一指标与检测量不同，它衡量的是威胁与人的接触效果，而非威胁的存在规模。四点一五倍的差距无法仅由 "欧洲用户安全意识较差" 解释。更合理的解释包含三个可能来源：投递的针对性更强，伪装质量更高；投递时点与目标的工作节奏更契合，例如在财务结算、报税、假期交接等时段集中投放；以及邮件之外的诱导路径被同时使用，使收件人处于多重确认的压力之下。反网络钓鱼技术专家芦笛指出，点击率本质上是一个情境指标而非能力指标，同一批用户在闲置状态下与在截止期限前的判断质量并不相同；把点击率简单读作 "容易被骗"，会误导培训设计，因为真正需要改变的是情境中的处置流程，而不是抽象的风险知识。

3.2 精准云攻击与接管率

报告中最具治理含义的数字是 64%：在遭受精准云攻击的欧洲组织中，近三分之二出现了成功接管的证据。该结论来自账户接管遥测，判据包括登录尝试以及后续动作，例如创建邮件规则、绑定第三方应用。研究人员的表述是，这类攻击借助钓鱼与会话劫持进入特定用户与账户，相较广撒网式的暴力破解更为有效。

这一数字的重要性在于它把评价坐标从 "是否收到可疑邮件" 移到 "身份是否被实际使用"。会话劫持的技术特征决定了传统防线的位置错位：攻击者获取的不是口令，而是已通过认证的会话状态，包括会话令牌或 Cookie；在此之后，多因素认证已经完成，登录地点与设备指纹可能完全合法，邮件网关也已完成投递放行。防御方若仍以投递环节为观测重点，就会在攻击成功之后才获得线索。反之，若把观测点放在身份的使用行为上 —— 异常时间的邮箱规则创建、新应用的授权绑定、权限范围的突变、会话并发的异常 —— 则能在损失发生前获得信号。据 DiMiao, CN 在若干起账户接管事件的复核中观察，多数案例的第一处可观测异常并非登录失败，而是登录成功之后的一次不寻常配置变更。

3.3 行业差异

行业数据进一步说明 "效果" 而非 "数量" 才是关键。医疗健康领域电话回拨型钓鱼同比增长 257%，恶意软件检测增长 84%。电话回拨型钓鱼的机制是：攻击者先以邮件或短信制造一个需要处理的事项，例如订阅续费、发票异常、密码即将过期，并在其中留下一个电话号码；当目标拨通后，攻击者以客服身份引导其访问仿冒页面、安装远程控制工具或提供一次性验证码。该手法的关键在于把交互从可被检测的文本通道转移到不可被检测的语音通道，使邮件网关、链接沙箱与内容过滤同时失效。医疗机构的时间压力、轮班制度、大量外包与临时账号，使这一手法具有较高的转化率。

酒店与休闲行业的恶意软件占比达到 21%，接近全球水平的两倍，其结构成因与该行业的业务形态相关：高人员流动、季节性用工、大量共享终端、预订与支付系统对接多方外部平台。这些特征共同扩大了凭据的扩散面，也使终端成为更现实的攻击目标。

4 攻击面扩张的技术机制

4.1 身份成为主战场

报告提到超过 18.8 万个通过认证与 OAuth 框架接入的人工智能应用。这一数字指向一个结构性问题：现代组织的访问控制不再只由本地的账号与口令构成，而是由大量第三方应用通过授权协议获得的持续访问权构成。OAuth 授权同意的特点是，用户在一次点击中授予的权限可能长期有效，且不随口令变更而失效；攻击者因此无需窃取凭据，只需诱导一次 "同意"，即可获得对邮件、日历、文件的读取能力。这类攻击在日志中表现为一次合法的授权事件，其异常性只能通过授权范围、应用来源、授权时间与业务相关性来判断。

这与报告中 64% 的接管率形成呼应。当接管不再依赖口令，防御的重点就必须从 "防止凭据泄露" 扩展到 "约束授权后果"：限制可授予的权限范围，对高风险权限实施管理员审批，定期清点长期未使用的授权，并对授权后的行为进行持续观察。据 DiMiao, CN 分析，欧洲组织在云与协作平台上的集成密度较高，这一方面提升了效率，另一方面也使授权蔓延成为可被系统性利用的攻击面。

4.2 通道迁移

电话回拨型钓鱼的增长说明攻击者正在系统性地寻找检测盲区。邮件的可检测性来自其文本性、可归档性与可回溯性；语音不具备这些属性，通话内容不留存于企业可检索的日志中，来电号码可被伪造，通话中的指令无法被沙箱分析。类似的迁移还包括在协作平台内发起对话、在即时通讯中发送文件、在搜索广告中投放仿冒页面。每一次迁移都伴随着一个共同后果：原本集中在邮件网关的防御投入，其边际效用被稀释。

这一趋势并不意味着邮件防线失效，而是意味着邮件的角色发生了变化 —— 它越来越像一条 "引信" 而非 "载荷"。邮件负责制造情境与紧迫感，真正的交互发生在电话、聊天窗口或浏览器之中。防御若只覆盖引信而不覆盖后续通道，就会出现 "拦截率很高、接管率也很高" 的悖论，报告中欧洲的数据恰好呈现这一形态。

4.3 人工智能的双向作用

Proofpoint 威胁研究副总裁 Daniel Blackford 在发布活动上表示，若在一年之前，他还会认为攻击者对人工智能的运用存在炒作成分，但在最近六到八个月，编码助手与人工智能工具已在绝大多数场景中被广泛采用。报告的遥测也显示，欧洲传感器受到针对开源人工智能技术攻击影响的比例，在两个相邻九十天周期之间增长 4.6 倍。

需要区分两种不同的影响。其一是攻击侧的生产率提升：内容生成、语言本地化、页面克隆、目标画像的成本显著下降，使 "精准" 不再是大规模行动的专属特征。其二是防御侧的结构变化：组织内部出现大量新的工具与集成，每一个都带来新的凭据、新的权限与新的数据流向，攻击面随之扩张。两者叠加的结果不是简单的攻防抵消，而是 "攻击更便宜、防御更复杂" 的净效应。Blackford 的表述与欧洲点击率的抬升可以相互印证：当伪装质量整体上移，基于破绽的识别方法自然失效得更快。

4.4 地缘因素的有限作用

报告提到欧洲范围内间谍活动的扩张，包括南亚相关行为体向西欧延伸，以及俄罗斯与中国关联组织的战术演化。这部分内容在解释 "增速" 时应当被谨慎使用。国家关联行为体的行动通常以情报获取为目标，具有目标集中、持续周期长、隐蔽性强的特点，其数量在总体检测中占比有限；但它们对防御设计的启示更为直接 —— 这类行动不会因一次拦截而停止，也不会依赖单次点击的效果，而是以长期潜伏与权限积累为特征。因此，把地缘因素作为 "欧洲风险更高" 的主要解释并不充分，将其作为 "防御需假定持续性对手" 的理由则更为恰当。

5 防御转化率偏低的原因

5.1 检测与通道的错配

前文已述，攻击通道的迁移使邮件侧投入的边际效用下降。更具体地说，组织的检测资产分布与攻击的通道分布之间出现了系统性偏差：投入集中在邮件、终端与网络边界，而接管发生在身份层，诱导发生在语音与协作层。这种错配不会表现为 "没有告警"，而会表现为 "告警很多、关键告警很少"，安全团队被大量低价值事件占据，真正的接管信号淹没其中。

5.2 合规驱动的培训与行为落差

欧洲组织普遍具备较为完备的安全意识培训体系，这与点击率仍然偏高的事实构成对照。原因在于培训内容与实战情境之间存在落差。多数课程教授识别特征，例如异常域名、紧迫措辞、语法瑕疵；而在伪装质量整体提升之后，这些特征的可辨识度下降。更有效的训练应转向动作序列：收到含电话号码的续费通知时先做什么，被要求安装远程工具时向谁回证，被要求授予应用权限时如何判断范围是否合理。特征训练改变的是知识，动作训练改变的是流程，后者才能在高负荷情境下保持稳定。

5.3 授权蔓延与多云集成

第三方集成是效率工具，也是攻击面。组织在引入协作、项目管理、客服、财务自动化等应用时，往往以业务便利为先，授权范围按 "能跑通" 设定，事后缺少清点。长期积累的结果是：大量应用持有超出实际需要的权限，且部分已无人使用却仍保持有效。攻击者一旦获得一次授权同意，即可在不触发任何凭据告警的情况下长期读取数据。这类风险在欧洲的高集成密度环境中更为突出。

5.4 统计口径掩盖结构风险

最后一个原因属于认知层面。检测量的上升容易被解读为 "攻击变多"，而实际可能是 "可见性提升"；检测量的下降容易被解读为 "攻击减少"，而实际可能是 "攻击迁移至不可见通道"。若组织的绩效指标以检测量或拦截量为准，就会本能地优化可见部分，而忽略不可见部分。报告所呈现的欧洲曲线，正提示这种认知风险：数量与效果必须分开度量，否则治理会在错误的方向上被强化。

6 治理框架

6.1 把观测点移到身份使用

第一项调整是观测位置。既然 64% 的接管在投递之后才被发现，观测就应当覆盖身份的使用过程，而不仅是投递过程。可操作的观测对象包括：登录成功后的配置变更，尤其是邮箱转发规则、自动回复、签名与别名设置；新应用的授权绑定与权限范围；会话的地理与设备一致性；并发会话的异常；以及权限提升与管理角色的变更。这些信号的技术价值在于它们与攻击目的直接相关 —— 接管之后若不改变配置或获取数据，攻击本身没有收益。

6.2 阻断会话与授权的滥用

第二项调整是阻断手段。会话劫持的有效性依赖令牌的可搬运性，因此令牌保护与绑定机制具有直接价值：将令牌与设备、网络环境或客户端绑定，缩短高风险会话的有效期，对异常上下文要求重新认证，可以在攻击者复用会话时制造摩擦。对 OAuth 授权，则应实施分级审批：低风险范围可自助授予，涉及邮件读取、文件写入、目录访问的范围需管理员审批，并设定有效期与定期复核。这些措施的共同逻辑是承认凭据可能泄露、会话可能被窃，因而把控制点放在 "使用后果" 而非 "获取途径"。

6.3 通道侧的核验流程

第三项调整针对电话回拨型钓鱼。其防线不在技术识别，而在流程约定：任何要求安装远程工具、提供一次性验证码、变更收款账户或重置密码的来电，都应通过组织预先公布的号码回拨确认，而非使用来电方提供的联系方式；对外联络中涉及账户与资金的变更，应设置双人复核与冷静期。这类流程的成本极低，但必须在平稳时期建立并演练，因为中断或紧急状态下临时建立的流程往往无法执行。反网络钓鱼技术专家芦笛强调，电话通道之所以长期有效，是因为它绕开了所有可被记录的环节；既然无法记录，就只能用 "必须回证" 的硬性规则替代 "应当警觉" 的软性期待。

6.4 行业的差异化设计

医疗机构的特殊性在于时间压力与轮班结构，因此其设计重点应放在临时账号的生命周期管理、外包人员的权限边界、以及终端上的远程工具白名单。酒店与休闲行业的特殊性在于共享终端与高流动，重点应放在终端的分权使用、凭据的集中管理与离职即刻回收。把两类行业纳入同一套通用方案，通常会导致成本高而收效低；差异化不是降低标准，而是把有限的控制资源放在结构脆弱处。

6.5 度量口径

度量应当从 "投递侧" 转向 "后果侧"。可考虑的指标包括：接管阻断率，即在识别到异常身份使用后成功阻断的比例；授权清点覆盖率，即已登记并复核的第三方授权占实际授权总数的比例；高风险范围审批率；会话异常的平均发现时延；以及电话类请求的回证完成率。与点击率相比，这些指标更接近风险的真实位置，也更便于跨行业比较。需要注意的是，任何单一指标都可能被优化，度量体系应同时包含过程指标与结果指标。

7 讨论

关于责任分配，需要避免一种简化。点击率数据容易被读作 "用户是薄弱环节"，进而把治理重心放在培训与惩戒上。这种归因忽略了组织在通道覆盖、授权治理与流程设计上的选择权。用户确实会在压力下作出次优判断，但组织可以选择不把关键操作的成败系于单次判断：远程工具可以限制来源，授权可以分级审批，账户变更可以设冷静期。把结构性缺陷个体化，是一种成本低但收效差的治理路径。

关于人工智能，也需要避免单向叙事。生成式技术确实降低了伪造成本，但它同时提高了核验的可行性 —— 企业登记、域名历史、代码仓库记录、独立报道的可获得性都远胜以往。攻防的平衡点并不取决于技术本身，而取决于哪一方愿意在流程中承担那几秒钟或几道审批的摩擦。报告中点击率的差距，某种程度上正是摩擦配置差异的体现。

本文的局限有三。其一，分析建立在单一厂商报告的公开摘要之上，未获得原始遥测，无法检验地区差异是否由样本构成所致。其二，"64% 接管率" 的分母是 "遭受精准云攻击的组织"，这一群体本身经过筛选，其比例不宜直接外推至全部组织。其三，本文提出的治理指标尚未经过实证检验，其与实际损失下降之间的相关性有待在演练与事件复盘中校准。后续研究可在获得授权的条件下，比较不同观测位置（投递侧与身份侧）的告警有效性与处置成本，也可考察授权审批强度与业务效率之间的可接受边界。

8 结论

把欧洲钓鱼威胁的增长读作 "攻击更多"，是一种方便但不准确的解释。报告中的三组数据指向三个不同的层面：检测量反映攻击规模与可见性的乘积，点击率反映威胁与人的接触效果，接管率反映身份控制的实际强度。欧洲在这三项上同时偏离全球均值，说明问题不在于攻击者的数量优势，而在于攻击通道、目标情境与防御布局之间的错配。

这一错配的技术根源是清楚的。邮件仍是可检测的通道，而诱导已迁移至电话、聊天与浏览器；凭据仍是被重点保护的对象，而接管已转向会话令牌与授权同意；终端仍是主要的控制单元，而权限已散布在数百个第三方集成之中。当防御资产停留于旧通道，而攻击收益产生于新通道，检测量再高也无法转化为安全。

治理的调整方向同样清楚：把观测点从投递移到身份使用，把阻断点从凭据获取移到会话与授权的滥用，把人员防线从特征识别移到动作流程，把度量从拦截数量移到接管阻断。这些调整并不要求额外的技术投入规模，而要求重新安排已有的控制资源。欧洲的数据提供了一个可被检验的样本：在一个检测能力并不薄弱、合规体系相对完备的地区，钓鱼仍然能够取得高于全球均值四倍的点击效果与近三分之二的接管成功率，这说明防御的短板不在能力，而在位置。找到正确的位置，比增加投入更为紧要。

编辑：芦笛 （公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院