防范钓鱼：域名、邮箱和付款需要不同的保护措施

38%和88%回答的是不同问题

英国《Cyber Security Breaches Survey 2025/2026》显示，全部英国企业中有38%识别出了钓鱼攻击。如果只看识别出过攻击或安全事件的企业，这一比例为88%。两项数字来自同一次调查，但分母不同。

报告于2026年4月30日发布，基于对2,112家企业的加权调查。访问时间为2025年8月至12月，询问的是每家企业受访前十二个月的情况。已识别的攻击并不必然意味着成功入侵，未被发现的活动也不会进入统计。这些结果仅适用于英国。企业真正需要追问的是：一封可疑邮件，可能促使员工在业务中执行什么操作？ [1]

英国企业识别出的钓鱼攻击：两种统计基数

38%

英国全部企业中

88%

识别出至少一次攻击或安全事件的企业中

识别出攻击，不等于攻击成功

数据包括已识别的钓鱼攻击及攻击尝试。它们不是攻击者的成功率，也不是德国或全球企业的统计结果。

来源：DSIT · Cyber Security Breaches Survey 2025/2026 · 2026年4月30日发布

样本：2,112家企业；其中识别出至少一次攻击或安全事件的子组为1,026家。结果经过加权。

英国 · 调查时间为2025年8月至12月

在各自受访前十二个月内识别出钓鱼攻击的企业比例。两项比例的分母不同，不能相加，也不能将其理解为随时间发生的变化。

域名保护针对的是一种冒用方式

SPF、DKIM和DMARC帮助收件服务判断邮件是否获准使用某个域名发送。DMARC将用户看到的发件域名与域名对齐的SPF或DKIM验证关联起来，并发布验证失败时希望收件方采取的处理策略。得到执行的拒收策略能够增加直接伪造该域名的难度，但不能证明邮件由谁撰写，也不能证明内容真实。

因此，先清点合法发信渠道：员工邮箱、开票软件、新闻邮件和外部服务。确认这些渠道的验证配置后，再收紧策略。攻击者另外注册的相似域名不受您这项DMARC策略约束。从已被入侵的真实邮箱发出的邮件，也可能通过域名验证。 [2] [3] [5]

邮箱登录需要单独的访问控制

多因素身份验证负责保护账户访问。美国CISA建议采用FIDO2/WebAuthn等抗钓鱼方式，将身份验证绑定到预期的服务。一次性验证码并不具有同等的抗钓鱼能力。

核查时不能只问是否已经启用MFA，还应确认覆盖了哪些账户、实际允许哪些登录方式，以及账户如何恢复。可以先从管理员账户，以及能够访问发票或敏感数据的账户开始。为每项例外指定负责人和取消日期。即使登录受到良好保护，也无法据此判断一张发票的内容是否正确。 [4]

收款账户变更需要独立确认

当收款账户发生变化时，决定性的控制措施位于付款流程中。美国FBI建议直接向提出要求的人核实变更。使用此前已知的电话号码，或事先约定的另一条联系渠道。可疑邮件新提供的电话号码，不是独立的信息来源。

如果攻击者已经控制邮箱，在同一邮件会话中回复也不足以核实。我们的建议是：先记录核实结果，再修改银行账户资料；人员安排允许时，将核实与付款批准交给不同的人。紧急情况也不应自动跳过这项规则，否则例外就可能成为最容易绕过控制的通道。 [5] [6]

按照攻击路径选择保护措施

这些措施相互补充。区分它们的作用范围，可以帮助企业修复具体缺口，而不是期待某一项设置提供全面保护。 [2] [3] [4] [5] [6]

左右滑动可查看完整表格。

各项措施的作用位置与边界
攻击路径	对应措施	边界
直接伪造企业发件域名	SPF/DKIM与得到执行的DMARC策略	不覆盖独立注册的相似域名
通过钓鱼取得真实邮箱的访问权限	抗钓鱼多因素身份验证	不验证发票内容
使用相似域名或熟悉的显示名称	邮件过滤与独立核实渠道	熟悉的名称不能证明身份
在付款要求中更改收款账户	批准前通过独立渠道确认	例外情况也必须核实

让IT和财务走查同一笔变更要求

一次简短的内部检查，可以使用明确标注为虚构的供应商收款账户变更要求。由IT说明届时能看到哪些发件验证信息，再由财务展示从哪里取得可信的回拨号码，以及谁有权批准变更。检查过程中不要修改任何真实付款资料。

记录每项尚未明确的责任和下一步具体行动。发信渠道清单不完整、登录保护不足、账户变更未经核实，是三项不同的工作。将它们分开，才能把笼统的“加强防钓鱼”变成有负责人、能够落实并完成的任务。

参考来源

安全评估

查看服务范围