钓鱼诈骗的识别方法与防范措施

本文约需 10 分钟阅读

网络钓鱼是一种通过伪装成正规服务的虚假邮件或网站来窃取密码、信用卡信息等个人信息的攻击手法。手段逐年变得更加精巧，越来越多的案例仅凭外观难以辨别真伪。据日本反钓鱼协议会报告，2024 年日本国内确认的钓鱼举报数量约达 171 万件，同比增长约 1.4 倍。截至 2025 年，利用 AI 自动生成自然语言钓鱼邮件的手法正在急剧增加，仅凭"语言不自然"这一判断标准已无法识破。本文将介绍识别网络钓鱼的具体要点、与类似攻击手法的区别，以及利用 able passtsuku.com 的实用防御策略。

网络钓鱼攻击的种类与区别

网络钓鱼攻击根据目标范围和手法的精巧程度可分为多种类型。了解各类型的特征有助于判断自己遭遇的是哪种攻击。

一般性网络钓鱼

这是一种面向不特定多数人群，大量发送伪装成银行或电商网站的虚假邮件的手法。通过"您的账户已被冻结""检测到异常访问"等制造紧迫感的标题，使收件人丧失冷静判断，从而被引导至虚假网站。对攻击者而言成本极低，发送数百万封邮件只要有 0.1% 的人上当就能获得足够利润。

鱼叉式网络钓鱼

鱼叉式网络钓鱼是一种针对特定个人或组织的定向攻击。攻击者事先通过社交媒体和企业公开信息调查目标的职位、合作伙伴、近期项目等，然后利用这些信息编写极其自然的邮件。根据 Verizon 2024 年数据泄露调查报告 (DBIR)，约 44% 的社会工程学攻击以网络钓鱼为手段，其中大部分是鱼叉式钓鱼。与一般性钓鱼相比，成功率显著更高，已成为企业信息泄露事件的主要入侵途径。了解社会工程学防御的知识有助于防护。

鲸钓攻击

鲸钓攻击是一种以企业高管为目标的鱼叉式钓鱼变体。典型手法是商业邮件诈骗 (BEC)，攻击者冒充 CEO 或 CFO 指示财务人员进行紧急汇款。根据 FBI 的 IC3 报告，仅 2022 年 BEC 造成的损失总额就达到约 27 亿美元（约 4000 亿日元）。单次事件的损失金额远超一般钓鱼攻击。

如何识别网络钓鱼邮件

网络钓鱼邮件会伪装成银行、电商网站、快递公司等发送。除了钓鱼之外，垃圾邮件和诈骗消息也是日常威胁。通过检查以下要点，可以识破大部分钓鱼邮件。重要的是不要仅依赖单一判断标准，而是综合评估多个要点。

确认发件人地址

如果邮件来自正规企业，发件人域名应与官方网站一致。例如，即使看起来是"support@example-bank.co.jp"，实际域名可能绑定到"example-bank.co.jp.attacker.com"等其他域名。请仔细检查邮件头详情，谨慎判断发件人域名是否为正规域名。

这种手法之所以有效，源于邮件协议 (SMTP) 的设计缺陷。SMTP 是 1982 年制定的古老协议，标准中未内置验证发件人身份的机制，因此发件人地址伪造（欺骗）在技术上很容易实现。为此开发了 SPF、DKIM、DMARC 等发送域认证技术，但并非所有邮件服务器都正确实施了这些技术，伪造邮件仍有可能到达收件人手中。

注意不自然的语言

海外攻击者制作的钓鱼邮件可能包含不自然的语言表达。特征包括敬语使用不当、标点位置异常、用词有违和感等。但近年来，利用大型语言模型生成自然语言钓鱼邮件的案例急剧增加，仅凭文本的自然程度已难以判断。关于这些手法的详情，请参阅利用 AI 的最新钓鱼手法。请同时使用文本以外的技术性验证要点。

如何识别钓鱼网站

仔细确认 URL

钓鱼网站的设计与正规网站极为相似。仅凭外观难以辨别，因此确认 URL 是最可靠的方法。请确认浏览器地址栏中显示的域名是否与正规服务完全一致。

攻击者常用的手法之一是域名抢注，即注册与正规域名相似的字符串。例如将"amazon"替换为"amaz0n"，将"google"替换为"go0gle"等，利用不易察觉的微妙差异。更高级的手法还有同形异义字攻击，利用国际化域名 (IDN) 将西里尔字母"а"(U+0430) 伪装成拉丁字母"a"(U+0061)。由于肉眼完全无法区分，请养成通过书签或搜索引擎访问网站的习惯，而不仅仅依赖目视确认。

仅确认 HTTPS 是不够的

"显示锁形图标就安全"的认知是错误的。随着 Let's Encrypt 等免费证书颁发机构的普及，获取 SSL/TLS 证书变得容易，根据反钓鱼工作组 (APWG) 2023 年的调查，约 83% 的钓鱼网站使用 HTTPS。HTTPS 仅表示通信已加密，并不保证网站的合法性。即使是 EV 证书（扩展验证）也不能完全保证网站不是钓鱼网站。无论证书类型如何，确认域名本身才是最优先事项。

要系统地学习网络钓鱼的手法和对策，网络钓鱼最新案例集 (Amazon)也可作为参考。

通过 DNS 欺骗进行的网络钓鱼

即使正确确认了 URL 也可能被欺骗的高级手法是 DNS 欺骗。通过伪造 DNS 响应，即使输入正规域名也会被引导至攻击者准备的虚假网站。这种攻击成立的原理在于 DNS 协议缺乏验证响应真实性的机制。如果用户 PC 或路由器的 DNS 设置被篡改，浏览器地址栏会显示正规 URL，但实际连接的是虚假网站。有效的对策包括使用可信的 DNS 服务（Google Public DNS: 8.8.8.8、Cloudflare DNS: 1.1.1.1）以及启用 DNS over HTTPS (DoH)。

密码泄露后的应对步骤

如果遭遇了网络钓鱼诈骗，或怀疑密码已泄露，请按以下步骤迅速应对。拖延越久损失越大，因此发现后应立即行动。请将保护邮箱账户作为最优先事项。一旦邮箱被劫持，其他所有服务的密码重置都将落入攻击者手中。

• 立即更改相关服务的密码
• 更改使用相同密码的其他服务的密码
• 如果尚未设置两步验证，请立即启用
• 如果输入了信用卡信息，请联系发卡公司
• 检查是否有可疑的登录记录
• 向相关服务的客服部门报告

一个常见的误解是认为"只要更改密码就安全了"，但攻击者可能已经更改了账户的恢复邮箱地址或电话号码。更改密码后，请务必确认账户的恢复设置和联系信息是否被篡改。此外，如果通过 OAuth 授权了其他应用的访问权限，攻击者可能已关联了恶意应用，因此也请检查已关联应用的列表。

网络钓鱼防范实践清单

为了在日常生活中防范网络钓鱼诈骗，请定期检查以下清单。通过技术措施和行为习惯两方面的防御，可以大幅降低受害风险。

• 不要直接点击邮件中的链接，通过书签访问官方网站
• 输入密码前务必确认地址栏中的 URL
• 对制造紧迫感的邮件（如"24 小时内不处理将冻结账户"等）保持警惕
• 确认发件人地址的域名是否与官方一致
• 为重要账户设置两步验证
• 启用浏览器和邮件客户端的钓鱼检测功能
• 始终保持操作系统和浏览器为最新版本
• 收到可疑邮件时，向反钓鱼协议会报告

使用 passtsuku.com 定期更新密码

防范网络钓鱼最有效的措施之一是为每个服务设置不同的强密码并定期更新。即使在钓鱼网站上输入了密码，如果每个服务使用不同的密码，损失也仅限于一个服务。此外，定期更改密码可以将攻击者可利用的时间窗口降到最低。

使用 passtsuku.com 可以即时生成强随机密码。更新时请将字符数设置为 16 以上，并启用大写字母、小写字母、数字和符号全部四种字符类型。如果强度计显示 80 位以上的熵值，则强度足够。同时更新多个服务的密码时，passtsuku.com 的批量生成功能非常方便。生成后使用批量复制功能复制到剪贴板，然后注册到密码管理器中。

推荐的更新频率

• 金融服务：每 3 个月一次
• 邮箱账户：每 3 至 6 个月一次
• 社交媒体：每 6 个月一次
• 其他服务：收到泄露通知时立即更改

使用 FIDO2 安全密钥的根本性对策

作为网络钓鱼防护的终极解决方案，FIDO2 兼容安全密钥正受到广泛关注。在 FIDO2 认证中，浏览器会在认证时对连接目标的域名进行加密验证，从根本上消除了在钓鱼网站上输入密码的风险。Google 于 2017 年要求所有员工（超过 85,000 人）使用安全密钥，此后报告称因钓鱼导致的账户入侵降为零。这一案例表明，技术性对策远比依赖人类注意力的对策更加可靠。FIDO2 安全密钥导入指南 (Amazon)中详细介绍了兼容设备的选择方法和设置步骤。

现在就能做的事

1. 停止直接点击邮件中的链接，通过书签访问官方网站
2. 为邮箱账户和金融服务设置两步验证（推荐使用认证应用）
3. 使用 passtsuku.com 为每个服务生成 16 位以上的唯一密码，消除密码重复使用
4. 启用浏览器的"仅 HTTPS 模式"，降低连接钓鱼网站的风险
5. 收到可疑邮件时向反钓鱼协议会 (info@antiphishing.jp) 报告

常见问题

如何识别钓鱼邮件？

确认发件人域名、悬停查看链接 URL、注意紧急措辞。正规服务不会通过邮件要求输入密码。

如果在钓鱼网站上输入了信息该怎么办？

立即从正规网站更改密码并启用两步验证。如果输入了信用卡信息，请联系发卡公司冻结卡片。

智能手机也会遭受钓鱼攻击吗？

是的。智能手机的 URL 栏较小，更难辨别假网站。短信钓鱼也在增加。不要点击可疑链接，请使用官方应用。