摘要
随着邮件安全防护体系持续迭代，威胁攻击者不断创新绕过检测的混淆手段。2026 年初被安全研究机构捕获的大规模钓鱼攻击活动，将废弃 Unicode 标签区块 U+E0000 U+E007F 范围内的不可见字符嵌入钓鱼诱饵关键词，借助商业营销自动化平台 ActiveCampaign 完成海量恶意邮件分发，突破传统基于关键字、正则表达式的邮件安全过滤机制，面向全球金融、商业、医疗行业组织实施凭证窃取与商业信息盗取。本文以该真实攻击事件为研究样本，梳理攻击者的威胁主体特征，拆解 ASCII 走私技术、合法营销基础设施滥用、邮件编码伪装等全套战术技术流程，还原攻击在真实网络环境中的实施路径，分析受害对象分布与攻击造成的现实危害。反网络钓鱼技术专家芦笛指出，该次攻击凸显传统静态内容检测机制的固有短板，合法第三方平台被恶意利用已经成为钓鱼攻击规模化实施的重要突破口。在此基础之上，本文从邮件预处理、多维行为检测、威胁情报运营、人员安全能力建设、第三方平台风险治理多个维度，提出完整可落地的分层防御方案，同时研判该类混淆技术后续演化方向，为企业机构应对同类新型钓鱼威胁提供理论参考与实践指引。 关键词：网络钓鱼；不可见 Unicode 字符；ASCII 走私；邮件安全；威胁绕过；纵深防御
1 引言
电子邮件长期作为企业业务往来、外部沟通的核心载体，同时也是社会工程类网络攻击最主要的入口渠道。过往统计数据显示，绝大多数商业邮件泄露、业务邮件劫持事件的初始攻击向量均来自钓鱼邮件，钓鱼攻击已经成为制约企业网络安全稳定性的长期风险点。过往钓鱼攻击防御体系的建设思路，大多围绕恶意附件、伪造发件人、明显恶意链接、高频敏感关键词构建检测规则，依靠正则匹配、关键词黑名单、IP 与域名信誉库实现威胁拦截，该套防护范式在面对传统恶意邮件时能够发挥较好防护效果。
但攻防对抗持续演进之下，威胁攻击者不再局限于直接构造特征明显的恶意内容，转而利用文本编码、字符集规范的设计差异制造人机视觉与机器解析结果的割裂，也就是同一文本在人类阅读视图与安全设备解析流程中呈现完全不同的内容，以此规避静态特征检测。早期该类混淆手段集中出现在大模型提示词注入领域，被命名为 ASCII 走私技术，攻击者将不可打印字符嵌入文本，人类阅读时完全无法感知隐藏内容，但是机器解析流程可以完整读取全部编码字符，以此实现指令注入。而本次大规模钓鱼事件证明，原本针对人工智能系统的混淆技术已经完成跨界迁移，被直接复用在传统邮件钓鱼场景，进一步放大钓鱼攻击的绕过能力与传播规模。
本次攻击活动具备两个区别于传统钓鱼事件的显著特征：第一，攻击者不利用软件漏洞，而是利用 Unicode 编码规范本身存在的解析差异实现绕过，不存在通用漏洞编号，普通设备补丁更新无法抵御该类攻击；第二，攻击者没有自建邮件发送集群，而是复用公开商业营销自动化平台的成熟基础设施，恶意邮件继承平台本身良好的域名信誉、SPF/DKIM 认证结果，大幅降低被信誉过滤模块拦截的概率，实现单日最高 237 万封恶意邮件的分发规模，覆盖全球多个行业主体。
现有国内邮件安全相关研究，更多聚焦于仿冒域名、附件恶意载荷、零宽空格混淆等成熟攻击手段，针对 U+E0000 U+E007F 废弃标签区块滥用、商业营销平台被恶意滥用开展完整案例剖析的研究相对有限。本文基于公开安全事件原始报告，完整还原攻击全链路，厘清技术绕过的底层逻辑，避免安全建设工作继续单纯依赖静态关键词匹配，同时客观分析防御实施过程中存在的兼容性难点，不夸大技术威胁，也不忽视现实风险，形成技术分析、危害评估、防御对策完整闭环，帮助安全运营人员理解该类新型钓鱼威胁，完善企业邮件纵深防御体系。
2 攻击事件整体概况与威胁主体画像
2.1 攻击事件基本概况
该钓鱼攻击活动最早于 2026 年年初被微软安全研究团队观测捕获，多家行业安全机构交叉验证确认攻击真实性与活动规模。攻击工作日峰值可以达到单日 237 万封恶意邮件向外投递，攻击流量维持高位运行约三个月时间，具备全球化攻击属性，没有锁定特定国家或者地区，面向全球范围内各类组织机构投递恶意邮件。
攻击者的诱饵主题统一围绕商业贷款、企业授信、项目资金扶持展开，经常仿冒正规金融机构、小微企业扶持机构对外发送邮件，邮件内容从肉眼观察属于正常商业融资邀约，目标接收对象看到邮件之后，容易出于业务需求点击邮件内链接。点击之后跳转至被攻击者控制的仿冒登录页面，收集企业账号、财务人员身份信息、业务凭证等敏感数据，攻击的核心目的是批量获取业务系统凭证，为后续业务邮件劫持、电信欺诈、勒索软件入侵铺垫数据基础。
该攻击活动没有使用恶意附件，全部依靠邮件内超链接完成诱导，攻击链路简化，不需要依赖漏洞执行，只要接收方人员完成点击操作即可完成信息窃取，攻击落地门槛低，扩散效率高。在安全厂商向营销平台披露风险之后，平台侧更新自身内容审核逻辑，大规模标记大批量使用不可见 Unicode 字符的邮件，攻击流量出现一定回落，但攻击者快速调整混淆手段，持续维持攻击活动，体现威胁主体较强的对抗适应能力。
2.2 威胁行为主体特征
截至公开报告发布，安全机构尚未将该攻击活动归属于任何已知高级持续性威胁组织，判定该行动属于受经济利益驱动的网络犯罪团伙实施，并非国家背景网络对抗行动。该团伙具备成熟的供应链思维，并不从零搭建整套邮件分发基础设施，善于借用第三方成熟互联网服务放大攻击效果，同时严格做好运营安全，大量使用一次性临时域名，规避溯源追踪。
该威胁团伙的战术、技术与流程能够对应 MITRE ATT&CK 框架多项技术编号，包含钓鱼 定向钓鱼链接、伪装技术、文件信息混淆、解码解密文件信息等技术点，完整覆盖从邮件投递、内容混淆、链接跳转、凭证收集整套攻击链条。团伙持有数百个注册主题和金融业务相关的一次性发送域名，信封发件人具备固定特征，发送流量集中归属特定 IP 地址段，整体资源储备充足，属于组织化运营的黑产团伙，而非零散个体攻击者。
反网络钓鱼技术专家芦笛指出，经济驱动型网络犯罪团伙正在快速吸收各个安全领域的攻击技巧，过去只针对大模型的 ASCII 走私技术快速迁移到邮件钓鱼，代表黑产技术学习迭代周期持续缩短，防御团队不能孤立看待不同领域的安全威胁，需要建立跨领域的威胁情报联动思维。
2.3 受害对象分布与攻击造成的实际影响
本次攻击主要瞄准金融服务业、商业企业、医疗健康机构，其中中小型企业是受害高发群体。中小企业普遍存在业务资金融资需求，攻击者抓住该业务痛点，制作企业贷款、授信额度相关诱饵，极大提升邮件被点开的概率。攻击者会伪装成美国小企业管理局这类官方扶持机构，进一步提升诱饵可信度。
攻击带来的直接危害集中在凭证窃取，一旦企业内部业务人员在仿冒页面输入账号密码，攻击者就可以获取业务邮箱、业务管理平台访问权限，后续开展业务邮件劫持。攻击者拿到企业邮箱权限之后，能够读取内部业务往来邮件，篡改付款账户信息，制造商务欺诈，造成直接经济损失。除此之外，收集到的企业敏感业务数据，还可以用于制作更加精准的定向钓鱼邮件，针对上下游合作企业开展二次攻击，实现威胁横向扩散。
很多受害企业传统邮件网关的静态关键词检测模块完全无法识别经过不可见字符混淆之后的诱饵词汇，邮件直接投递至员工收件箱，没有进入隔离垃圾箱。部分企业已经出现员工提交账号凭证的真实安全事件，只是因为很多中小企业安全事件上报渠道不完善，完整受害规模很难做精确统计。
3 攻击关键技术与战术流程深度解析
该攻击的威胁链条分为三个核心环节：第一，利用废弃 Unicode 标签区块实现文本混淆，绕过关键词与正则检测；第二，借助商业营销自动化平台完成大规模邮件分发，利用平台信誉规避信誉过滤；第三，邮件报文编码二次伪装，搭配点击追踪域名隐藏真实恶意站点，整套技术组合共同实现绕过防护体系。
3.1 不可见 Unicode 标签字符混淆原理（ASCII 走私）
攻击者所滥用的 U+E0000 U+E007F 标签区块属于 Unicode 标准中已经废弃的字符集合，该区块最初的设计用途是给文本附加语言标记信息，现在主流业务场景已经不再使用该字符段。该区块内每一个编码点对应一份可打印 ASCII 字符的镜像副本，当把该类编码插入普通英文单词字符缝隙当中，普通邮件客户端、网页渲染引擎不会向用户展示该字符，屏幕上展示的单词和原始正常单词完全一致，人的肉眼看不出任何异常改变。
但是邮件安全网关的解析程序读取原始报文字节流的时候，会完整读取全部编码点，原本连续的诱饵关键词被大量不可见编码切割打散。传统邮件安全检测大量依靠正则表达式、关键词字符串匹配，当目标关键词中间插入大量非打印编码之后，字符串匹配逻辑无法命中预设黑名单关键词，威胁特征直接失效，恶意邮件就绕过这一层内容检测。
举一个典型的场景，原始诱饵关键词为 funding，攻击者在字母之间穿插 U+E0000 U+E007F 不可见标签字符，屏幕展示依旧是 funding，但是安全设备读取原始文本已经变成被不可见编码分割的字符序列，固定字符串匹配规则无法识别。除了该废弃标签区块，攻击者还会搭配软连字符 U+00AD 等其他不可打印字符，叠加多重混淆手段，进一步提升绕过概率。
需要明确，该混淆手段不属于操作系统、邮件软件的程序漏洞，不存在 CVE 漏洞编号。本质是人机文本解析逻辑存在差异：面向用户的渲染引擎会过滤废弃标签区块不做展示；安全检测引擎读取原始字节序列，完整读取全部编码字符。攻击者就利用该解析差异制造检测盲区。反网络钓鱼技术专家芦笛强调，很多安全厂商过去对零宽空格有防护逻辑，但是对于 U+E0000 开始的高位废弃标签字符重视程度不足，很多存量邮件安全设备没有针对该区块的预处理逻辑，这是本次攻击能够大规模生效的重要前提。
3.2 滥用商业营销自动化平台实现大规模投递
传统黑产大规模发送钓鱼邮件，通常需要掌控大量僵尸主机、自建邮件服务器，但是这类 IP、域名信誉分数很低，很容易被邮件网关基于 IP 信誉直接拦截。本次攻击攻击者选择 ActiveCampaign 这类成熟的 AI 营销自动化平台发送恶意邮件，这是整套攻击能够实现百万级投递量的关键基础设施条件。
营销平台本身的业务就是批量向外发送营销推广邮件，平台域名、出口 IP 在全球邮件体系中整体信誉良好，邮件经过平台发送之后，SPF、DKIM 身份校验大多可以顺利通过，邮件安全网关的信誉评分模块不会直接判定为恶意来源。攻击者将混淆完成的钓鱼邮件内容提交到营销平台，借用平台的发送能力把恶意内容分发出去，实现恶意流量混杂在海量正规营销邮件当中，大幅提升投递成功率。
同时平台自带链接点击追踪功能，攻击者把钓鱼目标链接封装进平台提供的跳转域名，案例中出现 acemlnd [.] com、activehosted [.] com 等平台追踪域名。用户在邮件点击按钮之后，首先访问营销平台的追踪域名，平台记录点击行为，再重定向跳转至攻击者真正控制的虚假登录页面。安全设备扫描邮件内链接的时候，看到的是信誉良好的平台追踪域名，无法直接看到跳转链末端的恶意站点，静态 URL 黑名单防护效果被削弱，只有当用户实际发生点击行为，完整跳转链路才会全部展开。
攻击者还配套维护数百个带有金融业务含义的一次性发送域名，信封发件人带有固定前缀模式，流量出自固定 IP 地址段，形成整套动态基础设施。攻击者会频繁轮换发送域名，避免单一域名被拉黑之后整个攻击活动中断，基础设施具备高度动态化的特征。当营销平台更新审核规则，对大批量使用废弃 Unicode 标签字符的账号进行风控处置之后，攻击者会快速调整混淆策略，切换其他混淆字符，维持攻击活动，展现较强对抗自适应能力。
3.3 邮件报文编码与诱饵内容的伪装策略
除 Unicode 字符混淆之外，攻击者还对邮件报文本体进行编码伪装。邮件主题、正文大量使用 RFC2047 规范定义的 MIME 编码，部分内容进一步套用 Base64 编码。多重编码会提升安全设备解析原始文本的开销，如果安全网关解码流程存在缺陷，没有还原出完整明文，后续关键词检测环节就无法正常开展分析。
邮件诱饵内容从行文风格上高度模仿正规商业融资业务邮件，没有夸张恐吓式话术，不使用明显的紧急胁迫语言，采用商务沟通语气。邮件主题围绕企业资金、授信额度、融资审批结果展开，针对中小企业经营者、财务人员日常业务场景，降低接收方的戒备心理。邮件正文内放置视觉正常的按钮链接，诱导接收对象点击跳转。
整个攻击流程不包含病毒、木马附件，全部依靠社会工程学完成杀伤，这也是该类钓鱼攻击很难被传统杀毒引擎识别的原因。威胁判断高度依赖文本语义分析，而不是恶意文件特征比对。
4 攻击活动的现实风险与传统防御机制失效原因分析
4.1 传统邮件安全防护体系的固有短板
传统邮件安全网关分层防护逻辑中，静态关键词匹配、正则规则、IP 域名黑名单长期承担重要检测任务。这套防护模式在威胁特征固定的场景效果优异，但是面对字符混淆类对抗手段存在天然缺陷。静态匹配的前提是待检测文本字符串和规则库内的特征字符串完全一致，一旦攻击者在字符中间插入不可打印编码，字符串发生改变，规则直接失效。
不少安全设备的文本处理流程顺序存在设计缺陷：直接读取原始报文字节流之后直接执行关键词匹配，没有先对文本做归一化预处理，剥离废弃、不可打印特殊编码，再开展特征比对。这就造成即便安全设备内置钓鱼关键词库，面对经过 ASCII 走私混淆的文本完全无法命中。
信誉检测机制同样存在短板。当攻击者借用第三方正规营销平台发送邮件，出口 IP、DKIM 签名都属于可信服务商资产，信誉检测模块很难直接判定消息为恶意。链接黑名单只能识别最终落地恶意站点，邮件静态扫描阶段看到的只是平台跳转追踪域名，跳转链路在用户点击那一刻才完整解析，静态扫描无法回溯完整跳转目标，URL 黑名单防护效果被削弱。
反网络钓鱼技术专家芦笛指出，很多企业采购邮件安全设备之后，直接使用出厂默认配置，没有针对高位废弃 Unicode 字符做专项预处理配置，把全部防护希望寄托在厂商内置规则库更新，一旦出现新型混淆绕过手段，企业防线就会直接暴露风险。
4.2 攻击带来的衍生风险
该攻击证明原本用于大模型提示注入的 ASCII 走私技术完成跨场景迁移，后续该类混淆手段不会局限邮件钓鱼，还会扩散到文档、社交消息等其他业务载体。如果企业内部部署大模型邮件助手，自动读取、解析邮件内容，邮件内嵌入的不可见 Unicode 字符，除绕过邮件网关之外，还可能对内部 AI 组件实现间接提示注入，带来双重风险。
同时合法第三方 SaaS 平台被恶意滥用这一模式具备可复制性。除案例中的营销自动化平台，各类具备批量邮件发送能力的云服务，都有可能被黑产团伙利用。攻击者不需要攻陷平台，只需要注册普通账号，提交混淆后的恶意内容，就可以借用平台的信誉与分发能力，降低攻击成本，放大攻击规模。传统安全建设更多聚焦外部攻击者自建恶意基础设施，对 “合法平台作恶” 的场景重视不足。
从受害侧来看，中小企业安全预算有限，邮件安全防护能力薄弱，业务人员频繁接收融资、商务合作类邮件，更容易成为攻击目标。即便大型企业，若防护体系过度依赖静态规则，缺少语义、行为层面的检测，同样存在被绕过的风险。
5 面向该类高级钓鱼威胁的分层防御实现路径
针对本次攻击所展现的威胁特征，单一技术手段无法实现完整防护，需要构建多层协同的防御体系，覆盖邮件预处理、威胁检测、威胁情报运营、第三方供应链风险管控、人员安全意识建设多个维度，同时兼顾业务兼容性，避免过度过滤造成正常业务邮件被误拦截。
5.1 邮件内容预处理层：开展 Unicode 文本归一化处理
邮件安全网关需要调整文本解析的处理顺序，在执行关键词、正则匹配之前，优先完成文本归一化预处理，这是对抗 ASCII 走私混淆最核心的技术控制点。
预处理环节需要主动识别并剥离 U+E0000 U+E007F 整个废弃标签区块全部编码点，同时对软连字符 U+00AD 等经常被滥用的非打印字符做规范化处理。将上述特殊编码移除之后，再输出规范化文本，交给后续关键词、正则检测模块开展比对。
在实施该配置时需要评估业务兼容性，部分少数语种文字会依赖特定零宽字符完成正常文字渲染，不能直接一刀切清除全部零宽字符，需要精准锁定被攻击滥用的废弃标签区块，而不是大范围删除全部不可见字符，防止合法外文邮件出现显示异常。反网络钓鱼技术专家芦笛提醒，归一化处理不能只做正文，邮件主题、HTML 代码内全部文本节点都需要执行相同预处理逻辑，攻击者有可能把混淆诱饵放置在邮件主题当中，如果只处理正文依旧会存在检测盲区。
同时需要对 MIME、Base64 编码报文做完整解码还原，确保检测引擎拿到完整明文内容，不能在报文没有完全解码的状态下执行特征匹配。
5.2 多维检测能力建设，摆脱对静态特征的单一依赖
仅仅依靠文本预处理不足以覆盖全部对抗场景，攻击者后续会演化出新的混淆手段，防御体系需要降低对静态关键词、正则规则的依赖，引入行为、语义、跳转链路多维度检测能力。
第一，引入基于行为与异常特征的检测逻辑。监控邮件流量的异常特征，例如短时间内大批量来自同一营销平台、主题集中于融资贷款主题的邮件，即便没有命中关键词，也生成高风险告警。重点监测邮件报文内部出现大量高位废弃 Unicode 编码的行为，将该编码本身的出现作为高风险可疑信号，即便没有匹配钓鱼关键词，也提升邮件风险评分。
第二，部署语义分析与自然语言识别能力，不再简单比对字符串，而是解析邮件完整语义。即便关键词被字符打散，语义模型依旧可以识别邮件整体是商业融资钓鱼诱饵，以此弥补静态字符串匹配的缺陷。
第三，强化邮件内 URL 跳转链分析。对于来自营销平台的点击追踪域名，安全网关需要主动解析完整重定向链路，获取跳转之后的最终落地站点，将最终目标域名送入信誉检测、恶意页面识别模块，而不是仅仅评估邮件静态可见的跳转域名。在邮件网关、代理网关层面对已知的追踪恶意域名执行阻断，缩小攻击暴露面。
第四，完善邮件身份认证校验，严格落地 SPF、DKIM、DMARC 配置。即便消息来自信誉尚可的第三方平台，也要完整校验身份认证结果，对认证失败的邮件提高风险等级。
5.3 威胁情报运营与狩猎检测工作
安全运营团队需要持续维护威胁情报，跟踪该攻击活动的基础设施指标，例如已知的发送 IP 网段、一次性金融主题发送域名、追踪跳转域名，在邮件网关、边界代理设备做拦截配置。同时需要构建内部狩猎查询语句，定期在邮件日志中检索报文内包含 U+E0000 U+E007F 字符的邮件，主动发现已经投递进企业内部的可疑消息，而不是只依靠设备实时拦截。
企业安全团队需要建立行业威胁情报协同，和安全厂商、行业机构共享该类新型钓鱼的相关指标。第三方 SaaS 平台也应当完善自身风控，对于账号大规模发送包含废弃 Unicode 标签字符的邮件，自动触发风控审核，及时处置被滥用的账号，从攻击分发源头减少恶意流量。
5.4 第三方 SaaS 平台供应链风险管控
本次攻击充分暴露出合法第三方营销平台被恶意利用带来的安全风险。企业在日常安全建设中，不能只关注外部攻击者的恶意资产，也要评估第三方 SaaS 服务可能带来的威胁导入风险。
一方面，企业自身采购各类邮件营销、自动化 SaaS 工具时，做好账号权限管控，防止企业自有账号被攻击者接管，向外发送混淆后的钓鱼邮件；另一方面，安全运营团队需要建立认知：来自知名服务商的邮件不等于安全邮件，不能因为邮件通过 SPF/DKIM 校验就降低警惕。需要将第三方平台流量纳入统一检测体系，不能把服务商信誉作为判断邮件安全的唯一依据。
5.5 人因层面防护：安全培训与钓鱼仿真演练
无论技术防护如何迭代，社会工程钓鱼攻击最终的杀伤环节依赖人员点击行为，技术无法做到百分之百拦截所有新型变异钓鱼邮件，人员安全能力属于不可或缺的补充防线。
常规钓鱼培训不能只讲解伪造发件人、恶意附件等经典案例，需要增加新型混淆类钓鱼邮件的案例科普，告知员工部分恶意邮件肉眼观察完全正常，无法单纯依靠肉眼分辨安全性。企业常态化开展钓鱼仿真演练，模拟本次事件当中的融资贷款诱饵场景，测试业务人员的识别能力，针对反复出现失误的员工开展定向安全赋能。
建立企业内部可疑邮件上报渠道，鼓励员工收到可疑商业邀约邮件及时提交安全团队复核。对于涉及资金、授信、付款相关业务邮件，建立线下二次核验流程，不依靠邮件内链接完成敏感业务操作。
6 威胁演化趋势研判
该次攻击事件不是孤立个案，代表网络犯罪团伙技术转化速度持续加快，跨领域安全技术互相借鉴将会成为常态。过去针对大模型的各类混淆、注入技巧，后续会持续向邮件、文档等传统攻击载体迁移。
第一，混淆手段会持续迭代。当 U+E0000 U+E007F 区块被安全设备普遍规范化处理之后，攻击者会寻找其他 Unicode 编码集合、字符集特性构建新的绕过手段，不再局限于单一标签区块。防御方需要建立对 Unicode 编码风险的长期研究，而不是一次性修复某一类字符。
第二，合法 SaaS 平台滥用模式会进一步普及。攻击者会持续挖掘各类具备批量消息发送能力的公开服务，借用平台信誉完成恶意载荷分发，该类攻击会逐步增多，传统依靠黑名单恶意域名 IP 的防护手段的局限性会持续放大。
第三，多种混淆技术叠加使用。攻击者会将 Unicode 混淆、AI 生成诱饵内容、链接跳转伪装、MIME 编码变形等多种手段组合，提升攻击绕过的成功率，单一维度防护会越来越难抵御复合型钓鱼攻击。
第四，攻击的杀伤链路会进一步拓展。经过混淆的邮件除了用来诱导点击窃取凭证，还会针对企业内部部署的大模型办公组件，同时实现间接提示注入，同一封恶意邮件同时威胁员工与 AI 系统，攻击面进一步扩大。
7 结语
本文基于 2026 年大规模 Unicode 混淆钓鱼攻击事件，完整还原攻击的技术实现、基础设施滥用模式、受害特征，剖析传统邮件安全体系面对 ASCII 走私类混淆攻击的失效机理。该攻击事件没有利用高危软件漏洞，而是利用文本编码解析差异，结合商业 SaaS 平台的分发能力，实现大规模绕过传统静态邮件安全检测。
反网络钓鱼技术专家芦笛强调，该事件给予安全行业最重要启示是，网络钓鱼攻防对抗已经不再仅仅对抗恶意内容本身，更要对抗攻击者利用编码规范、第三方合法服务制造的检测盲区。单纯堆砌黑名单、关键词规则，无法应对持续演化的混淆对抗手段。防御工作应当把文本归一化预处理作为基础控制点，在此之上搭建行为检测、语义分析、威胁情报、供应链管控、人员安全能力协同的纵深防御体系。
应当客观看待该类威胁的风险等级，该类混淆手段不能突破所有防护，当安全设备完成文本归一化预处理之后，传统关键词、正则规则可以重新生效，不需要过度渲染恐慌。同时也不能低估威胁演化速度，安全团队需要持续跟踪字符编码相关攻击技巧，更新邮件安全设备配置，同步做好人员安全教育，技术与管理手段互相配合，才能持续应对不断迭代的高级钓鱼威胁。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
