钓鱼攻击（Phishing）

钓鱼攻击（Phishing）是一种通过伪装成可信机构或熟人，诱骗受害者主动交出账号密码、银行卡信息等敏感数据的网络诈骗手段。

概述

钓鱼攻击属于社会工程学攻击，它不依赖复杂的技术漏洞，而是利用人的信任与疏忽。攻击者通常伪造银行、电商、社交平台或公司内部的邮件、短信和网页，引导受害者点击链接并在假冒页面上输入账号、密码或验证码，随后盗取账户资金或个人信息。

「钓鱼」一词源于英文 Phishing，取「像钓鱼一样放下诱饵、等人上钩」之意，这一说法最早流行于上世纪九十年代的黑客社区。如今钓鱼攻击已成为全球最普遍的网络安全威胁之一，也是许多企业数据泄露事件的第一入口。

主要特点

• 伪装性强：假冒网站和邮件在外观上与正版几乎一致，常使用形似的域名，例如把字母 o 换成数字 0。
• 制造紧迫感：常用「账户异常」「中奖通知」「快递问题」等话术，催促受害者不假思索地立即操作。
• 成本低、传播广：一封钓鱼邮件可以批量发送给成千上万人，只要少数人上当即可获利。
• 形式多样：包括邮件钓鱼、短信钓鱼（Smishing）、语音钓鱼（Vishing），以及针对特定目标定制的鱼叉式钓鱼（Spear Phishing）。

如何防范

核对域名和发件人地址、不点击来源不明的链接、通过官方 App 或手动输入网址访问重要网站，是最基本的防范方法。开启双因素认证（2FA）可以在密码泄露后提供额外一道保护；企业则可通过安全意识培训、邮件网关过滤和内部钓鱼演练来降低风险。

常见问题

问：钓鱼攻击和病毒有什么区别？答：病毒是恶意程序，靠代码感染设备；钓鱼攻击主要靠欺骗人，让受害者自己交出信息，两者也常被攻击者配合使用。

问：不小心点了钓鱼链接怎么办？答：仅点击链接通常风险有限，但如果已输入密码或验证码，应立即修改相关账户密码、通知银行冻结卡片，并开启双因素认证。

问：什么是鱼叉式钓鱼？答：指针对特定个人或企业量身定制的钓鱼攻击，攻击者会提前收集目标资料，内容更逼真，成功率远高于群发式钓鱼。