網路釣魚是假裝成可信的對象，把你誘入假網站的詐騙。本文講解手法的種類與更可靠的防禦（不公開攻擊步驟）。
原理：瞄準的不是軟體缺陷，而是人的判斷
XSS與SQL注入攻擊的是軟體缺陷，而網路釣魚攻擊的是人的判斷。它用「您的帳戶已被停用」「請盡快確認」這類緊迫感、權威、恐懼奪走你思考的餘地，把你誘導到以假亂真的假網站去輸入密碼。即便是技術漏洞為零的網站，只要使用者被騙，憑證照樣會外洩。
手法的種類（叫法不同，都是冒充＋誘導）
普通釣魚
向不特定多數人群廣撒網
魚叉式釣魚
專門瞄準特定個人/組織
BEC
冒充合作方/高層下達匯款指令
簡訊釣魚
使用SMS
語音釣魚
使用電話
中間人型(AiTM)
把認證中繼到真網站以突破MFA
叫法雖不同，本質都在於「偽裝成可信對象進行誘導」這一點。尤其是 BEC（商業郵件詐騙），它連惡意軟體都不用，僅靠「偽裝成合作方的匯款請求」就造成巨大的金錢損失。這類手法應當靠業務流程的核對而非技術來攔截。
網路釣魚、垃圾郵件、冒充郵件與技術支援詐騙的比較
把容易混淆的用語並列比較。它們彼此有重疊，但目的不同。
| 用語 | 目的 | 典型形式 |
|---|---|---|
| 網路釣魚 | 竊取憑證或信用卡資料，或誘使執行惡意軟體 | 冒充公司的郵件或簡訊，引導到假登入頁面 |
| 垃圾郵件 | 大量寄送廣告或詐騙連結 | 未經同意的廣告；其中也可能包含釣魚 |
| 冒充郵件 | 偽造寄件人（是手法，不是目的） | 宣稱來自真實網域或真人；被用於釣魚與 BEC |
| 技術支援詐騙（假警告） | 讓你打電話，再要錢或要求遠端操作 | 顯示「你的電腦已感染」並附電話號碼的畫面 |
冒充是手法，網路釣魚是利用它的詐騙。想避免自己的網域被冒用，請見設定 SPF、DKIM 與 DMARC；假警告請見技術支援詐騙的應對（英文）。
實例：日本的現況與事故
日本防釣魚對策協議會在 2025 年收到的釣魚通報達 2,454,297 件，創下紀錄，約為 2024 年的 1.43 倍。
網路釣魚也一再成為事故的入口。KADOKAWA 勒索軟體攻擊（2024）中，以針對員工的釣魚竊得的憑證被說明為入侵方式。Coincheck NEM 竊取事件（2018）中，寄給員工的郵件據報導是第一步。剛發生外洩的公司，也常在不久後被冒用名義寄出假郵件（例如 Medica 出版的案例，英文）。
防禦：與其靠識破的注意力，不如用「機制」攔截
使用抗釣魚MFA（最重要）
對假網站不起反應的機制，是最可靠的防禦。通行金鑰/實體安全金鑰(FIDO2)與網域繫結，因此在假網域上認證從原理上就無法成立，連中間人型(AiTM)也無法突破。SMS/驗證器應用程式的驗證碼可能被中繼，所以應從最重要的帳戶(郵件/網域/支付)開始優先遷移到抗釣魚MFA（→ MFA的選擇方法）。
不點連結，自己主動去官方
不要點郵件或SMS裡的連結，而是透過書籤或手動輸入直接存取官方網站來核對。越是偽裝成「帳戶確認」「帳單」「配送」的訊息，越要走自己的途徑開啟，而不是經由連結。
用技術手段減少郵件冒充
正確設定網域的SPF/DKIM/DMARC，讓冒用自家網域的偽造郵件能在接收端被攔下（→ 什麼是SPF/DKIM/DMARC）。密碼管理器在假網域上不會自動填入，所以「填不進去」本身就是假網站的線索。
面對緊迫·權威的壓力先停下／匯款走另一條途徑核實
「立刻」「來自高層」「可以幫你止損」這種壓力正是詐騙的訊號。被催促時先緩一拍。涉及匯款或憑證的請求，不要直接回覆郵件，而是透過電話等另一條途徑核實本人後再行動（這是防BEC最重要的一點）。
容易被突破
只有密碼＋SMS/驗證器應用程式的驗證碼。一旦在以假亂真的假網站上連驗證碼一起被中繼（AiTM），即便再謹慎也會被奪走憑證。這是建立在『我能識破』前提上的防禦。
能攔得住
與網域繫結的通行金鑰/實體金鑰。在假網域上認證無法成立，所以即使使用者被騙也無法被突破。這是『識不破也安全』的機制側防禦。
本站的觀點：『當心』不是防禦戰略
本站認為，把網路釣魚防護僅僅寄託於「員工培訓」「提醒警示」是危險的。在中間人型(AiTM)已成常態的今天，無論多謹慎的人，都無法可靠地識破以假亂真的假網站＋驗證碼中繼。注意可以是輔助，但不能當作主要的防禦。該依靠的是機制：從最重要的帳戶開始，依次引入與網域繫結的抗釣魚MFA。與其培養能識破的人，不如投資於即使識不破也安全的設計，效果更好。
如何自己檢查
檢查自己網域的郵件認證
把網域輸入 SPF / DKIM / DMARC 檢查工具，確認三者都已設定，而且 DMARC 政策不是還停在 p=none。
查看郵件的認證結果與網域
Gmail 用「顯示原始郵件」，Outlook 用檢視郵件原始碼。在 Authentication-Results 標頭裡找 spf=、dkim=、dmarc=。即使都通過，也要另外確認寄件網域是否屬於真正的公司。
把密碼管理器的自動填入當成訊號
在已儲存登入資料的網站上，密碼管理器卻沒有自動填入，網域就可能不同。輸入任何東西之前，先確認網址列的網域。
確認重要帳號使用哪種 MFA
電子郵件、雲端、付款與網域註冊商的帳號，請在安全性設定中確認是否支援通行金鑰或實體金鑰，能用的就改用。
以為「我不會被騙」才是最危險的
網路釣魚防護中最大的錯誤，是『我能識破』這種過度自信。中間人型(AiTM)會顯示以假亂真的畫面，把你輸入的密碼和一次性驗證碼當場中繼到真正的網站。也就是說，即便你謹慎地輸入了正確的驗證碼，那個正確的驗證碼也會連同被盜。所以把防禦的重心放在「識破的注意力」上本身就是錯的，正確的做法是轉向機制：在假網域上無法成立的認證（抗釣魚MFA）。不停留在「當心」，才是當代網路釣魚防護的起點。
出處（一手資料）
- フィッシング対策協議会「フィッシングレポート 2026」（日文）— antiphishing.jp（2025 年通報件數；以自有網域通過 DMARC 的增加）
- フィッシング対策協議会「フィッシングの報告」（日文）— antiphishing.jp
- APWG, "Report Phishing" — apwg.org
- NIST SP 800-63B-4, "Digital Identity Guidelines: Authentication and Authenticator Management" — pages.nist.gov（抗釣魚認證的定義）
接下來閱讀
- 實際案例：信興集團資料外洩（2026）— 冒充維修、保養的聯絡要小心
- 實際案例：Booking.com 訂房資料外洩（2026）— 知道訂房內容的假住宿業者訊息
- 入門：兩步驟驗證（MFA）的選擇方法（什麼是抗釣魚MFA）
- 術語：什麼是SPF/DKIM/DMARC（用技術減少偽造郵件）
- 術語：什麼是勒索軟體（網路釣魚是最大的入侵入口）
- 入門：密碼的安全保管（不讓被盜的憑證被濫用）
- 術語：什麼是開放重新導向（濫用正規網域把使用者導向假網站的手法）
- 案例：Coincheck NEM 外流事件（2018）（據報導，針對員工的魚叉式郵件是這起約 5.3 億美元加密資產失竊的第一步）