摘要：钓鱼链接长期被视为一种投递手段，围绕它的公共讨论也多集中在 “点开之后会发生什么”。本文把钓鱼链接还原为一条工业化链条的末端输出，考察资源获取、页面生产、投递分发、端侧寄生与处置阻断五个环节之间的成本关系，并据此讨论治理重心的位置。研究认为，钓鱼链接的规模不由单个攻击者的技术水平决定，而由域名、页面与服务的可租用程度决定；端侧清除能够恢复终端状态，却无法改变供给结构；以封堵数量为核心的考核口径会掩盖真实的防护效能，暴露窗口、复发率与误封率应当成为主要观测指标。文章结合反钓鱼工作组、域名注册滥用研究、执法机关报案数据、事件响应机构通报与厂商威胁情报，对上述判断逐项校验，并提出资源准入、投递治理、端侧防护与跨境协同四个层面的衔接方案。
关键词：钓鱼链接；域名滥用；中间人钓鱼；搜索投递；协同治理
1 引言
普通用户与钓鱼链接相遇的场景，往往并不体面。它可能出现在浏览器通知栏，可能夹在一条看似来自同事的协作邀请里，也可能就是搜索 “某软件下载” 之后排在结果前列的那一条。大量面向个人用户的技术支持类文章因此把问题处理成一套动作序列：清理通知白名单、移除可疑扩展、重置浏览器、扫描残留。这类文章的存在本身即是证据，说明钓鱼链接已经不再是一次性的闯入者，而能够在用户终端上留下可复用的入口。
议题线索来自这一类清除指南，但该类站点普遍对自动化访问设有访问策略限制，本文未以其页面文字作为技术事实依据，仅借其指向的问题类别确定论述轮廓，具体数据与机制均取自一手报告：反钓鱼工作组（APWG）的季度趋势统计、Interisle 咨询集团的域名滥用年度研究、美国联邦调查局网络犯罪投诉中心（IC3）的年度报告、Verizon 的数据泄露调查报告、微软威胁情报对中间人钓鱼平台的解剖，以及国家互联网应急中心（CNCERT）的风险通报。这样处理并非出于对媒体报道的不信任，而是因为钓鱼链接的技术细节变化极快，二手概述常常把两代手法混为一谈。
规模数据已经足够说明问题的量级。APWG 在 2025 年第一季度记录到 1,003,924 次钓鱼攻击，第二季度升至 1,130,393 次，环比增长 13%，为该组织自 2023 年第二季度 128 万次以来的最高季度值；全年合计约 380 万次，较 2024 年的 376 万次略有上升，呈现出 “高位平台化” 而非继续指数攀升的形态。IC3 的 2025 年度报告记录了 1,008,597 件投诉、208.77 亿美元总损失，同比增长 26%；按投诉量排序，钓鱼与仿冒以 191,561 件位居各类犯罪之首。Verizon 的 2026 年度报告则给出结构性判断：钓鱼直接引发的泄露占比为 16%，与上一年持平，而与人为因素相关的泄露合计达到 62%；在模拟测试中，以语音和短信为入口的移动端场景，点击成功率的中位数比邮件入口高出 40%。
数量之外，资源结构的变化更难被直接察觉。Interisle 分析了 2024 年 5 月至 2025 年 4 月间近 400 万条钓鱼报告，识别出约 200 万起独立攻击；用于钓鱼的独立域名数量同比增长 38%，突破 150 万个，连续第三年超过百万。其中 77% 属于 “恶意注册”，即注册行为本身即为作案准备，这类注册同比增长 36%；在新通用顶级域中，近九成被举报域名属于恶意注册。与之形成对照的是子域名滥用下降 44%。这一升一降并非偶然：自有域名意味着对解析、证书、跳转与存活时间的完全控制，而寄生在他人子域上则随时可能被一并清理。
本文的基本判断是，钓鱼链接的治理长期停留在链条末端。围绕它的公共讨论习惯于追问 “如何识别” 和 “如何清除”，这两个问题都真实，但都不触及供给。反网络钓鱼技术专家芦笛指出，钓鱼链接的危害不在单次点击，而在于它把信任关系中最稳定的几样东西 —— 域名、搜索排序、品牌页面 —— 变成了可以按天租用的攻击面；只要租用成本低于被发现的代价，清除就只能是反复进行的善后。以下各节围绕这一判断展开：先描述形态演化，再拆解生成机理，继而说明检测与处置受到的现实约束，并讨论治理重心应当放在何处，以及效能应当如何计量。
2 钓鱼链接的形态演化
2.1 投递载体的位移
钓鱼链接最早依附于邮件。邮件网关的过滤能力提升之后，投递重心逐步外移。CNCERT 在 2026 年 5 月通报的一起案件中，对 2026 年 2 月 6 日至 5 月 4 日注册的 439 个钓鱼域名作了统计分析，这批站点围绕办公软件、浏览器与通讯代理类软件仿冒，其中仿冒 WPS 与 Chrome 的合计 340 个，占 77.4%。它们的投递方式不是群发邮件，而是在搜索引擎做优化，确保相关内容能在必应检索到；页面还会检查访问请求的来源头字段，只有从搜索结果点入才正常显示，直接输入域名则跳转到搜索引擎首页或其他不可达地址。
这一细节的技术含义常被低估。来源头校验把 “分析者” 和 “受害者” 分开：安全研究者、沙箱爬虫、监管扫描通常直接请求域名，看到的是空白或跳转；真实用户从搜索结果进入，看到的才是完整页面。检测方的样本因此系统性失真，而攻击方几乎不增加成本。同一批域名还呈现出明显的批量化特征，注册高峰时一分钟内注册了 15 条与某代理工具相关的域名；后缀高度集中，hl.cn 占 42.6%，com.cn 占 30.8%，两者合计 73.4%；命名复用 zh、cn、apps、web、office 等词根，辅以字母重复、缺字与错拼。这些特征拼在一起，指向的不是零散作案，而是流水线。
二维码把投递进一步从 “可解析的文本” 推向 “不可预读的图像”。APWG 在多期报告中记录了以二维码承载钓鱼入口的邮件大规模投递，附件形态包括矢量图、文档与网页文件。对邮件网关而言，二维码是像素而非字符串，URL 信誉库无从比对；对用户而言，扫码把浏览器安全提示的上下文整个剥离。移动端点击率高出四成，与这一路径的短链路特征相互印证。
2.2 页面形态的三级跳
页面本身经历了三次形态变化。早期仿冒是静态复制，把目标站点的登录框照搬过来，破绽在细节：字体、证书、跳转逻辑。第二代是 “多跳拟真下载链”。CNCERT 与微步在线联合披露的 “黑猫” 团伙即属此类：搜索 Notepad++ 后排名第二的结果指向仿冒站，站内并不直接给出安装包，而是先进入一个常规下载页，再跳转到一个仿造开源项目发布页风格的目录页，最终才落到真实文件；文件为压缩包，安装后在桌面释放指向 “白加黑” 组件的快捷方式，由合法程序侧加载恶意动态库，读取剪贴板、键盘记录与浏览器数据，同时正常运行原软件以维持伪装。该团伙的活动可追溯至 2022 年，2023 年借仿冒某虚拟货币行情平台的下载站窃取价值不低于 16 万美元的资产，2024 年在必应投递仿冒 Chrome 页面并同时释放窃密与挖矿程序，2025 年 6 月转用国内某搜索引擎投递仿冒即时通讯与手机助手类软件。载体在变，获利结构未变。
第三代是中间人钓鱼。微软威胁情报在 2026 年 3 月对 Tycoon2FA 平台的解剖显示，该类服务在受害终端与真实身份服务之间架设代理，用户输入的凭据被实时转发，登录后生成的会话令牌被同步截获；由于认证是在真实服务上完成的，多因素认证的验证码也一并被代理转发，认证本身没有失败，失败的是会话归属。该平台自 2023 年 8 月出现后迅速扩张，高峰期每月向全球超过 50 万家机构投递数千万封邮件；到 2025 年中，它占微软拦截的全部钓鱼尝试约 62%，2025 年 1 月占各厂商观测到的钓鱼即服务事件约 89%。其租用价格为 10 天 120 美元、一个月 350 美元，面板提供模板、附件生成、跳转路由、验证码拦截策略与受害者追踪等成套配置。
2.3 端侧寄生
清除指南所对应的，是钓鱼链接在终端上的残留形态。用户点开一次之后，链接未必就此失效：它可能被写入浏览器的通知许可名单，此后以系统级弹窗持续出现；可能以扩展形式驻留，读取页面内容并替换广告位；可能被加入书签或起始页；在移动端还可能留在剪贴板与最近任务中。迪妙网络空间安全学院研究团队在复盘一批个人终端事件时注意到，用户主动报告的 “总是弹出奇怪页面”，多数并非当日中招，而是数周前一次误点留下的权限授权；处置动作若只清理页面而不回收权限，复发几乎是必然的。这一观察把 “清除” 从内容层面拉回到权限层面：钓鱼链接的持久性，来自它获得的那一小块授权，而不是链接本身。
3 生成机理：成本如何被压低
3.1 域名：可批量购买的作案工具
钓鱼链接的第一个成本项是域名。Interisle 的五年追踪显示，恶意注册占比逐年上升，2025 年达到 77%；在新通用顶级域中接近九成。这意味着大多数钓鱼域名并非 “被盗用的合法站点”，而是专为作案购置，注册即带意图。批量注册进一步压低了单价与时间成本：一分钟 15 条的速度，意味着一条域名从注册到上线可以压缩到小时级；后缀集中于少数几个价格低、审核松的命名空间，则意味着同一套注册经验可以反复复制。
注册环节的核验强度与滥用率之间存在可观测的相关性，这是 Interisle 连续几年报告的核心结论之一：地址核验更严、批量注册需事前审核的命名空间，滥用率明显更低。反过来说，低摩擦、高容量的准入本身就是一种补贴 —— 它把攻击者的固定成本摊薄到接近于零，使 “被封就换” 成为理性选择。
3.2 页面：从手工仿制到生成式生产
第二个成本项是页面制作。CNCERT 对上述 439 个域名的另一项判断值得留意：这些页面并未对官方网站作原样复制，而是呈现高度标准化的前端结构、清晰规整的 HTML 注释，并大量采用通用技术栈；同一仿冒主题下，不同时间注册的页面在布局与内容上并不统一。通报据此判断，此类页面疑似由 AI 编码工具快速生成。
这个判断的技术依据不在 “像不像”，而在 “一致性”。人工仿制的页面通常保留目标站点的历史痕迹与细节偏差，同一团伙的产出往往高度雷同；生成式工具产出的页面则相反 —— 结构规范、注释完整、组件通用，但同一主题下彼此并不一致，因为每次生成都是独立作业。对防御方而言，这带来一个棘手后果：基于模板指纹的聚类方法失效，页面之间没有稳定的共用代码片段，检测只能退回内容语义与投递上下文。
页面成本下降的直接效果，是 “人均产能” 上升。过去一个团伙需要维持一支仿制与运维队伍，现在一个人可以在一周内产出上百个不同主题的落地页，配合批量域名完成分布式部署。
3.3 反分析设计
第三个成本项原本属于防御方的优势：可分析性。前述来源头校验只是其中一种。微软对 Tycoon2FA 的描述还包括反机器人筛选、浏览器指纹识别、重度代码混淆、自建验证码与动态诱饵页。这些设计的共同目标不是阻止访问，而是确保 “错误的人” 看到 “错误的页面”：沙箱与爬虫看到无害内容，真实受害者看到登录框。
迪妙网安在一份内部评估中的表述是，反分析能力已经成为钓鱼基础设施的标配件，而不是少数高级团伙的专属；当它与生成式页面生产结合，检测方获得的可疑样本中有相当比例是诱饵，样本质量下降会直接推高误判与漏判。这一判断解释了为什么在数据量持续攀升的同时，部分机构的一线识别准确率并未同步改善。
3.4 分工与租用
第四个成本项是组织成本，而它被服务化了。钓鱼即服务把基础设施、模板、跳转、凭据回收打包成订阅制商品，价格低至按月数百美元。购买者不需要理解代理链路如何工作，也不需要维护域名池。微软的统计显示，这类平台的产出可以占到单个厂商拦截量的六成以上，单一平台即可覆盖五十万家机构。据 DiMiao, CN 分析，这种结构改变了威胁的计量单位：过去以 “团伙” 计数，现在应以 “平台” 与其 “租户数” 计数；打击一个平台，短期会显著压低攻击量，但只要租户需求仍在、替代平台能在数周内接手，压制效果就会衰减。2026 年 3 月，微软数字犯罪部门与欧洲刑警组织等伙伴协同中断了该平台的基础设施，但云安全联盟的研究笔记随后指出，此类服务的复活能力已被多次验证。
4 检测与处置的现实约束
4.1 时间窗
Verizon 的模拟数据显示，收件人打开邮件后点击链接的时间中位数为 21 秒，随后输入凭据的中位时间为 28 秒。也就是说，从 “看到” 到 “交出凭据”，可用窗口不足一分钟。任何依赖 “先发现、再通报、后阻断” 的链路，都必须把端到端时限压到分钟级才有意义；而域名从注册到上线同样可以压缩到小时级，封堵与注册由此形成一场不对称的竞速。反网络钓鱼技术专家芦笛强调，钓鱼链接治理的第一性问题不是 “能不能识别”，而是 “在多长时间内能让它失效”；识别率再高，若处置时延以天计，实际防护价值有限。
4.2 遮蔽
HTTPS 的普及本意是保护传输，但它同时摧毁了一个沿用多年的用户侧判断依据。当绝大多数站点都持有有效证书，锁形图标不再具有区分能力；免费证书的申请门槛极低，攻击者获取成本接近于零。托管与内容分发网络进一步提供合法性外衣：Interisle 的数据显示，全球超过一半的钓鱼攻击托管在美国境内的公司，连续五年如此。攻击者并不需要自建机房，租用主流云服务即可获得稳定解析、弹性扩容与看似正常的网络位置。
搜索引擎在此扮演了双重角色。它既是投递渠道，又是信任中介。用户对 “排在前面的结果” 的默认信任，被 SEO 手段直接兑换为点击。CNCERT 的通报反复出现同一模式：钓鱼站在必应或国内搜索引擎获得较高排名，页面再以教程文章、版本更新说明、校验值等技术细节增强可信度。对普通用户而言，这些页面比官网更像官网。
4.3 对手适应性
检测方受到的约束不止于遮蔽，还有对手的主动反制。来源头校验使直接抓取失效；反机器人筛选使沙箱拿到诱饵；代码混淆使静态特征不稳定；页面按次生成使模板聚类失效。四项叠加，导致 “样本 — 特征 — 规则” 的传统链路在时效与准确率上同时承压。
这一局面下，单点检测的边际收益递减，而上下文的价值上升。投递路径、域名年龄、注册行为、解析历史、证书签发时间、页面与品牌官方页面的结构差异，这些弱信号单独都不足以定性，组合起来却能形成较稳定的判断。问题在于，这些数据分散在注册商、托管商、搜索引擎、浏览器厂商与终端安全厂商手中，任何一方都不完整。
4.4 处置的碎片化
钓鱼链接的处置需要跨越多个主体：域名注册商负责暂停解析，托管商负责下线内容，内容分发网络负责清除缓存，搜索引擎负责移除索引或降权，浏览器厂商负责更新拦截清单，终端厂商负责清理本地残留，跨境案件还需外国主管机关与国际计算机应急响应组织配合。CNCERT 的周报显示，其协调对象包括境内外域名注册商、国际 CERT 与其他机构，单周协调处理的钓鱼事件可达百起量级。这种协调是有效的，但它是逐案协调，成本高、周期长。
中国的行政处置能力在规模上已有体现。工业和信息化部披露，2025 年全年累计拦截诈骗电话与短信 64.8 亿次，处置涉诈域名网址超过 1100 万个。这一数量级说明批量阻断机制已经运转，但也提示另一个问题：当处置量以千万计，逐条审核既不可能，误封与漏封就必然同时存在，考核若只看数量，就会鼓励 “多封快封”，把成本转移给合法站点与用户。
4.5 清除的边界
回到端侧。清除指南给出的动作是有效的：回收通知权限、移除扩展、重置浏览器、扫描残留，这些都能恢复终端的可用状态。但它解决的是后果。用户执行完一套清除流程之后，若不做来源回溯 —— 那条链接从哪来、当时为什么会信、同批次是否还有其他入口 —— 那么下一次相遇只是时间问题。更现实的困难是，普通用户无法判断 “清理到什么程度才算干净”，也无法判断浏览器重置后哪些合法配置被一并清除。
5 治理路径的四个层面
5.1 资源准入
治理的第一层在域名注册环节，这是唯一能在攻击发生前生效的位置。可行的做法包括：注册时对地址与联系信息作真实性核验，对明显虚构的注册资料拒绝激活；对批量注册与高容量账户创建设置事前审核与短周期限额；对新注册域名在解析上线初期施加更严格的滥用监测；对滥用率长期偏高的命名空间建立评分与问责机制。Interisle 的建议更直接：把可量化的降滥目标写入政策，对表现不达标的服务商要求整改，必要时启动取消授权程序。
这一层的阻力在于商业利益与准入体验的平衡，但成本对比是清楚的：在注册口拦下一条域名，代价是几分钟的审核；在终端清理一次误点，代价是用户的时间与信任；在事后协调跨境下线，代价是数周与多机构协同。
5.2 投递治理
第二层在分发渠道。搜索引擎对品牌词、软件下载类查询的结果，应当引入来源白名单与页面结构校验，对仿冒特征明显的站点在索引层面降权或标注；对以广告位投放的下载类内容，核验投放主体资质；对 “结果页 — 中间页 — 下载页” 的多跳链路，要求跳转目标可追溯。消息通道侧，应对含二维码的图片附件作解码前置检查，把图像中的链接还原为可比对对象；对短链与跳转服务建立信誉档案，限制匿名批量生成。
这一层的价值在于改变 “可信外观” 的分配。用户没有能力在 21 秒内完成域名比对，但平台有能力在索引前完成。把判断责任放在具备数据的一方，比教育用户在几十秒内保持警觉更现实。
5.3 端侧防护
第三层是终端与浏览器，也是清除指南所覆盖的范围，但治理思路应当从 “事后清除” 转为 “默认收紧”。具体包括：浏览器对通知权限默认拒绝，把已授权站点纳入集中管理并定期复核；扩展安装实行最小权限与来源审核，对读取页面内容的权限单独提示；下载可执行文件时校验签名与来源一致性，对 “官网域名与文件签名不匹配” 的组合直接阻断；DNS 层对已知恶意解析作前置拦截；企业环境通过统一策略把这些设置固化为不可由用户随意放宽的基线。
端侧还有一个被忽视的环节：会话回收。中间人钓鱼窃取的是令牌而非密码，用户改密码并不能终止攻击者已建立的会话。因此，异常登录后的处置动作必须包含 “撤销活动会话与刷新令牌”，否则清除动作在服务端没有对应。迪妙网络空间安全学院研究团队的建议是，把 “改密码” 升级为 “改密码并撤销会话”，并把这一条写入面向用户的事件处置指引。
5.4 协同与时效
第四层是跨主体协同，其核心不是机构数量，而是时限承诺与责任归属。可行的安排包括：建立从发现到阻断的分级时限，明确注册商、托管商、搜索引擎、浏览器厂商各自在时限内的动作；对跨境托管占比过半的现实，建立与主要托管地的快速通道；把威胁情报的共享从 “通报” 升级为 “可执行的指标同步”，使一方的发现能直接触发另一方的自动处置；对平台型服务的中断行动，配套租户迁移监测，避免打击成果被替代平台吸收。
欧洲刑警组织与微软数字犯罪部门在 2026 年 3 月的联合行动提供了一个可参照的样本：以平台为打击单元，同步中断基础设施、域名与账号体系，而非逐个清理落地页。其局限也同样清楚 —— 平台可以重建。因此，协同机制需要把 “中断” 与 “持续监测” 绑定，把一次行动的成果转化为对替代者的持续压制。
6 效能如何计量
以封堵数量作为主要指标，是当前最常见的做法，也是最有欺骗性的做法。批量注册使单条链接的价值极低，封堵 10 万条与封堵 1 万条，对攻击者实际成本的影响可能相差无几；反过来，一次针对平台的中断，数量上只体现为若干域名，效果却可能超过数月的逐条清理。
更合适的观测口径有四类。其一，暴露窗口，即从链接首次可访问到被有效阻断的中位时长，按投递渠道分别统计；它直接对应受害者暴露时间，是最接近真实防护效果的指标。其二，复发率与基础设施复用率，即同一团伙在被处置后重建入口的时间与复用资源的比例；它衡量处置是否伤及供给。其三，误封率与溢出效应，即合法站点被错误阻断的比例及其申诉处理时长；它衡量治理的社会成本。其四，到达率，即风险提示实际触达用户的比例，而非仅仅发出。四项结合，才能避免 “数量繁荣、效能停滞”。
7 结语
钓鱼链接的问题，表面是链接，实质是资源。域名可以按分钟批量购置，页面可以由生成工具按次产出，基础设施可以按月租用，投递可以借搜索引擎的排序与消息通道的转发完成，端侧则靠一次授权长期驻留。这条链条上每一环的成本都被压到了很低，而防御方要在几十秒内完成判断，在数小时内完成跨主体阻断，在事后完成终端恢复与来源回溯。成本的不对称，才是规模居高不下的原因。
因此，端侧清除是必要的，但不充分。它有明确的价值：恢复终端状态、回收被让渡的权限、切断复发路径；它也有明确的边界：不改变供给、不缩短暴露窗口、不触及租用结构。把治理重心前移到注册准入与投递分发，把效能口径从数量转向窗口与复发，把协同从逐案协调转为时限承诺，这三件事决定了钓鱼链接会不会继续以 “高位平台” 的形态存在。反网络钓鱼技术专家芦笛在多个场合强调过同一层意思：让攻击者重新承担成本，比让用户反复学习识别更有效。这句话不新，但在数据持续攀升的年份里，它仍然是讨论的起点。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
