网络钓鱼是指假装成可信的对象，把你诱入假网站。本文讲解手法的种类与更可靠的防御（不公开攻击步骤）。
原理：瞄准的不是软件缺陷，而是人的判断
XSS与SQL注入攻击的是软件缺陷，而网络钓鱼攻击的是人的判断。它用「您的账户已被停用」「请尽快确认」这类紧迫感、权威、恐惧夺走你思考的余地，把你诱导到以假乱真的假网站去输入密码。即便是技术漏洞为零的网站，只要用户被骗，凭据照样会外泄。
手法的种类（叫法不同，冒充并诱导的做法相同）
普通钓鱼
向不特定多数人群广撒网
鱼叉式钓鱼
专门瞄准特定个人/组织
BEC
冒充合作方/高管下达汇款指令
短信钓鱼
使用SMS
语音钓鱼
使用电话
中间人型(AiTM)
把认证中继到真网站以突破MFA
叫法虽不同，本质都在于「伪装成可信对象进行诱导」这一点。尤其是 BEC（商业邮件诈骗），它连恶意软件都不用，仅靠「伪装成合作方的汇款请求」就造成巨大的金钱损失。这类手法应当靠业务流程的核对而非技术来拦截。
网络钓鱼、垃圾邮件、伪造邮件与技术支持诈骗的区别
下面把容易混淆的几个词放在一起比较。它们有重叠，但目的不同。
| 用语 | 目的 | 典型形式 |
|---|---|---|
| 网络钓鱼 | 窃取凭据或银行卡信息，或诱使运行恶意软件 | 冒充企业的邮件或短信，引导到伪造的登录页面 |
| 垃圾邮件 | 大量发送广告或诈骗链接 | 未经请求的广告邮件，其中也可能夹带钓鱼 |
| 伪造邮件 | 伪造发件人（是一种手段，而非目的） | 冒用真实的域名或人名，被用于网络钓鱼和BEC |
| 技术支持诈骗（虚假警告） | 让你打电话，再索要钱财或远程控制权限 | 显示「您的电脑已感染病毒」并附上电话号码的画面 |
伪造是手段，网络钓鱼是利用这种手段的诈骗。想防止自家域名被冒用，请参阅SPF、DKIM、DMARC的设置方法；关于虚假警告，请参阅技术支持诈骗的应对方法。
实例：日本的现状与事件
日本反网络钓鱼协议会在2025年收到的网络钓鱼举报达到创纪录的2,454,297件，约为2024年的1.43倍。
网络钓鱼也曾成为重大事件的入口。在KADOKAWA勒索软件攻击（2024）中，通过针对员工的钓鱼窃取的凭据被描述为入侵途径。在Coincheck NEM被盗事件（2018）中，据报道发给员工的邮件是第一步。此外，刚发生信息泄露的公司，往往很快就会出现冒用其名义的伪造邮件（例如Medica Shuppan的案例（英文））。
防御：与其靠识破的注意力，不如用「机制」拦截
使用抗钓鱼MFA（最重要）
对假网站不起反应的机制是最可靠的防御。通行密钥/物理安全密钥(FIDO2)与域名绑定，因此在假域名上认证从原理上就无法成立，连中间人型(AiTM)也无法突破。SMS/验证器应用的验证码可能被中继，所以应从最重要的账户(邮件/域名/支付)开始优先迁移到抗钓鱼MFA（→ MFA的选择方法）。
不点链接，自己主动去官方
不要点邮件或SMS里的链接，而是通过书签或手动输入直接访问官方网站来核对。越是伪装成「账户确认」「账单」「配送」的消息，越要走自己的途径打开，而不是经由链接。
用技术手段减少邮件冒充
正确配置域名的SPF/DKIM/DMARC，让冒用自家域名的伪造邮件能在接收端被拦下（→ 什么是SPF/DKIM/DMARC）。密码管理器在假域名上不会自动填充，所以「填不进去」本身就是假网站的线索。
面对紧迫·权威的压力先停下／汇款走另一条途径核实
「立刻」「来自高管」「可以帮你止损」这种压力正是诈骗的信号。被催促时先缓一拍。涉及汇款或凭据的请求，不要直接回复邮件，而是通过电话等另一条途径核实本人后再行动（这是防BEC最重要的一点）。
容易被突破
只有密码＋SMS/验证器应用的验证码。一旦在以假乱真的假网站上连验证码一起被中继（AiTM），即便再谨慎也会被夺走凭据。这是建立在『我能识破』前提上的防御。
能拦得住
与域名绑定的通行密钥/物理密钥。在假域名上认证无法成立，所以即使用户被骗也无法被突破。这是『识不破也安全』的机制侧防御。
本站的观点：『当心』不是防御战略
本站认为，把网络钓鱼防护仅仅寄托于「员工培训」「提醒警示」是危险的。在中间人型(AiTM)已成常态的今天，无论多谨慎的人，都无法可靠地识破以假乱真的假网站＋验证码中继。注意可以是辅助，但不能当作主要的防御。应当依靠的是机制：从最重要的账户开始，依次引入与域名绑定的抗钓鱼MFA。与其试图培养能识破的人，不如投资于即使识不破也安全的设计，效果更好。
自己动手检查的方法
检查自家域名的邮件认证
在SPF / DKIM / DMARC 检测器中输入你的域名，确认三项都已设置，并且DMARC策略不再停留在p=none。
查看邮件的认证结果和域名
在Gmail中使用「显示原始邮件」，在Outlook中查看邮件源代码。在Authentication-Results标头里找到spf=、dkim=和dmarc=。即使都显示通过，也要另外确认发件人的域名是否属于真正的公司。
把密码管理器的自动填充当作信号
如果在保存过登录信息的网站上，密码管理器没有自动填充，那么域名可能不同。在输入任何内容之前，先确认地址栏里的域名。
确认重要账户使用的是哪种MFA
对于邮箱、云服务、支付和域名注册商账户，在安全设置中确认是否支持通行密钥或物理密钥，能切换的就切换过去。
认为「我不会被骗」才是最危险的
网络钓鱼防护中最大的错误，是『我能识破』这种过度自信。中间人型(AiTM)会显示以假乱真的画面，把你输入的密码和一次性验证码当场中继到真正的网站。也就是说，即便你谨慎地输入了正确的验证码，那个正确的验证码也会连同被盗。所以把防御的重心放在「识破的注意力」上本身就是错的，正道是转向在假域名上无法成立的认证（抗钓鱼MFA）这种机制。不停留在「当心」，才是当代网络钓鱼防护的起点。
参考资料（一手来源）
- 日本反网络钓鱼协议会「フィッシングレポート 2026」（日语）— antiphishing.jp（2025年的举报件数；通过DMARC的攻击者自有域名的增加）
- 日本反网络钓鱼协议会「フィッシングの報告」（日语）— antiphishing.jp
- APWG, "Report Phishing" — apwg.org
- NIST SP 800-63B-4, "Digital Identity Guidelines: Authentication and Authenticator Management" — pages.nist.gov（抗钓鱼认证的定义）
接下来阅读
- 入门：二要素认证（MFA）的选择方法（什么是抗钓鱼MFA）
- 术语：什么是SPF/DKIM/DMARC（用技术减少伪造邮件）
- 术语：什么是勒索软件（网络钓鱼是最大的入侵入口）
- 入门：密码的安全保管（不让被盗的凭据被滥用）
- 术语：什么是开放重定向（借用正规域名把用户诱导至假网站的手法）
- 案例：Coincheck NEM 被盗事件（2018）（据报道，针对员工的鱼叉式钓鱼是这起约 5.3 亿美元加密资产失窃的第一步）