摘要：基于安全厂商 Proofpoint 在 2025 年 7 月至 2026 年 9 月期间采集的邮件遥测数据，欧洲地区钓鱼威胁规模同比增长约 4.5 倍，同期全球均值为 1.5 倍；欧洲用户对威胁邮件的点击率为每百封 8.3 次，全球均值为 2.0 次。两组数据分别指向攻击供给端的投递工业化与需求端的转化效率差异，将其合并解读为 "欧洲用户防范意识薄弱" 并不成立。本文以该遥测研究为一手材料，从钓鱼即服务（PhaaS）的边际成本结构、对手中间人代理与会话令牌窃取对多因素认证的消解、二维码与合法云基础设施的检测规避三条技术线索，解释欧洲增速的结构性来源；并以邮件身份认证成熟度、认证形态分布、本地化社工脚本质量、举报与响应摩擦四项变量，解释 8.3% 与 2.0% 之间约四倍点击率差距的形成机制。研究认为，欧洲钓鱼风险的特殊性不在投递量本身，而在于 "点击 — 失陷" 的转化链条偏短，治理重心应从拦截率考核转向转化率管控，以强制化的邮件域身份认证、源绑定抗钓鱼凭据、可度量的举报闭环与监管合规的审计传导构成分层防线。文末讨论了以点击率作为核心绩效指标可能引发的数据失真，以及跨境基础设施归因困难对治理边界的约束。
关键词：网络钓鱼；转化效率；邮件身份认证；抗钓鱼认证；网络安全治理
1 引言
2026 年 11 月 13 日，安全媒体 Cybersecurity Insiders 报道了 Proofpoint 的一项遥测研究，给出两个在欧洲网络安全讨论中迅速传播的数字：欧洲地区钓鱼威胁规模在 2025 年至 2026 年间增长约 4.5 倍，而全球同期增长约 1.5 倍；欧洲用户平均每收到 100 封威胁邮件点击 8.3 次，全球均值为 2.0 次。报道将欧洲描述为钓鱼攻击的 "重灾区"，并援引银行业、医疗、政府与关键基础设施四个部门说明后果的严重性。
这两组数字在传播中往往被压缩成一句判断 —— 欧洲的钓鱼问题比世界其他地方严重得多。这个判断在方向上没有错，但在机制上是空的。投递量增长 4.5 倍与点击率高出四倍，是两个彼此独立的观测维度，前者描述攻击者愿意投入多少，后者描述防御方与用户让这些投入兑现了多少。把两者混同，最省力的结论是 "欧洲人更容易上当"，而这个结论既无法证伪，也无法转化为可执行的安全措施。真正需要回答的问题是：为什么欧洲的威胁投递增速高于全球均值三倍，为什么进入收件箱的钓鱼邮件在欧洲有更高的互动概率，以及这两个 "为什么" 之间是否存在相互放大的关系。
本文的立场是：欧洲的异常增长并非单一因素所致，而是攻击供给端的工业化与防御需求端的结构性落差在同一时间窗内叠加的结果。攻击侧的边际成本已经低到可以用 "广撒网" 覆盖长尾目标，而防御侧的认证形态、邮件域身份治理与响应摩擦仍停留在上一代架构，于是同一封钓鱼邮件在欧洲的 "期望收益" 高于其他地区，攻击者自然把投递预算向这里倾斜。这一判断把治理的着力点从 "多拦截" 转向 "少转化"，也解释了为什么单纯增加安全意识培训课时在数据上收效有限。
研究方法上，本文以该遥测研究作为唯一的一手数据来源，不引入未经核实的第三方统计，以避免数据口径混杂造成的推论跳跃；技术分析部分依据邮件认证机制、Web 身份认证标准与代理型钓鱼的公开技术原理展开；制度分析部分参照欧盟网络与信息系统安全指令第二版（NIS2）、数字运营韧性法案（DORA）与通用数据保护条例（GDPR）的既有条款。全文结构如下：第 2 节澄清数据口径及其解释边界，第 3 节分析供给侧的技术演进，第 4 节解释点击率差距的形成机制，第 5 节讨论后果的行业分布与合规外部性，第 6 节提出分层治理路径，第 7 节讨论指标化治理的副作用，第 8 节收束全文。
2 数据口径与解释边界
严谨的讨论必须先把数据的边界划清。该研究的时间窗为 2025 年 7 月至 2026 年 9 月，共十五个月，跨越两个北半球夏季。所谓 "增长 4.5 倍"，指的是威胁邮件投递规模的相对倍数，而非经济损失、失陷主机数或账户被盗数量的倍数；"全球 1.5 倍" 是同口径下的对照值。点击率的表述更为具体：分母是投递到收件箱的威胁邮件数量，分子是其中被点击链接或附件的邮件数量，欧洲为 8.3%，全球为 2.0%。
这一口径有两处需要特别注意。其一，分母只统计 "到达收件箱" 的邮件。邮件网关拦截率高的地区，能进入收件箱的往往是绕过检测的高质量钓鱼样本，这类样本的点击率天然偏高；反之，拦截能力弱的地区分母中包含大量粗糙样本，会拉低平均值。因此 8.3% 与 2.0% 的差距，一部分可能来自 "进入分母的样本难度不同"，而不能全部归因于用户行为。其二，十五个月的窗口包含欧洲传统的夏季休假季，7 月至 9 月期间部分组织的值守人员减少、审批链条延长，代理投票与远程接入的使用率上升，这类季节性因素会同时抬高投递成功率和点击率。研究未披露季节调整方法，因此对单季度环比数据应保持谨慎。
从统计效力上看，这组数据足以支撑 "欧洲相对全球存在显著且量级明显的偏离" 这一判断，但不足以支撑对绝对规模的线性外推。若全球基线本身远大于欧洲，4.5 倍与 1.5 倍的倍数差并不必然意味着欧洲的绝对投递量最高。本文因此把讨论限定在机制层面：解释倍数差与点击率差如何形成，而不去推算未经披露的绝对数量。这种克制是必要的 —— 政策建议若建立在错误的数量感知上，资源投放就会失焦。
3 供给侧：钓鱼攻击的工业化与成本结构
理解 4.5 倍，必须先理解钓鱼的生产方式已经变了。十年前的钓鱼邮件是手工作坊产品，语法错误、排版粗糙、发件域可疑，靠数量碰运气。今天的钓鱼是订阅制服务。钓鱼即服务（PhaaS）平台把页面模板、反检测跳转、受害者数据回传、双因素认证中继打包成按月付费的产品，买家不需要任何技术能力，只需要提供目标清单和话术方向。生产端的固定成本被平台摊薄，单封邮件的边际成本趋近于零，投递规模的扩张不再受制于攻击者的人力，而只受制于其预算。
人工智能在其中扮演的角色不是 "生成更漂亮的句子"，而是解决了钓鱼最昂贵的一环 —— 本地化。欧洲市场的特殊性在于语言碎片化：同一套话术需要适配德语、法语、意大利语、西班牙语、荷兰语与北欧诸语，还要匹配当地的税务申报周期、物流承运商、能源账单格式、银行的通知体例。过去这种本地化需要母语者参与，成本高、产能低；生成式模型把这一步压缩到分钟级，且能模仿组织内部的书写风格、称谓习惯与签名档格式。语言线索本是欧洲用户识别钓鱼的重要依据，当这一线索被系统性抹平，识别难度上升是必然结果。
基础设施层面，攻击者已经很少自建被快速封禁的恶意域名。更常见的做法是把钓鱼页面托管在合法的云服务、表单平台、文档协作系统或对象存储上，借助其高信誉域名与有效证书通过信誉评分；跳转链条中插入短链服务与开放重定向，使邮件正文里不出现可疑字符串。二维码钓鱼（quishing）则进一步绕开了邮件网关的链接重写与沙箱引爆 —— 邮件里只有一张图片，链接信息编码在图像像素中，需要终端侧解码才能判定，而相当比例的检测栈在邮件入口处不具备图像解码与重渲染能力，且用户往往用个人手机扫码，绕过了企业终端上的防护与日志。这两条路径共同解释了为什么投递量的增长没有被同比例增长的拦截量所抵消。
更关键的技术变化在于认证绕过。多因素认证长期被视为钓鱼的终点，但对手中间人（AitM）代理改变了这一点：攻击者架设一个与真实登录页视觉一致的反向代理，用户在其上完成账号、密码与一次性验证码的全流程，代理实时把这些凭据中继给真实服务，随后窃取会话令牌。由于认证是在真实服务端完成的，短信验证码、推送确认乃至基于时间的一次性口令都无法阻断。会话令牌一旦被复制，攻击者可以在有效期内直接复用，无需再次认证，这在实质上把 "第二因素" 降级为 "一次性通行证"。反网络钓鱼技术专家芦笛在分析此类攻击时强调，问题的性质已经从 "骗取密码" 转变为 "骗取会话"，防御方若仍以凭据保密为核心假设来设计认证流程，投入再多培训也难以改变结果。这一判断与遥测数据的方向一致：点击率的小幅上升，配合会话令牌窃取的普及，足以造成失陷率的显著上升。
4 需求侧：8.3% 与 2.0% 之间的四重落差
点击率差距是最容易被误读的数字。把它解释为认知水平差异，既缺乏证据，也带着不必要的文化偏见。更具解释力的路径有四条，它们各自独立，又在实践中相互叠加。
第一是邮件域身份治理的成熟度。欧洲的邮件安全投入并不低，但投入的分布极不均衡。大型金融与电信机构普遍完成了发件人策略框架（SPF）、域名密钥识别邮件（DKIM）与基于域的消息认证、报告与一致性（DMARC）的部署，并把 DMARC 策略推进到拒收级别，同时启用外部邮件传输的强制 TLS 策略与品牌标识。中小企业、地方政府、教育与医疗机构则大量停留在监控模式：DMARC 记录存在，策略为无动作，只收报告不拒收。这意味着一封伪造采购部门或人力资源部门的邮件，在一个组织被网关丢弃，在另一个组织安然进入收件箱。攻击者不需要攻破强者，只需要找到链条上最弱的一环，而欧洲的公共采购与供应链恰恰把这些环节串在一起。
第二是认证形态的分布。点击并不等于失陷，从点击到失陷之间隔着认证这一关。若组织以短信口令或推送确认为主，代理型钓鱼可以把这一步接管；若组织已迁移到源绑定的公钥凭据（如 FIDO2/WebAuthn 与通行密钥），认证凭据在协议层面与站点源绑定，在伪造域上无法使用，代理中继失效，点击的后果被截断。欧洲在硬件安全密钥的普及上起步较早，但覆盖面集中在高价值岗位与关键系统，普通办公账户仍以推送确认为主。这造成一个不易察觉的结果：点击率相同，失陷率不同；而当攻击者观察到某类账户的转化回报更高，投递会向这类账户集中，形成正反馈。
第三是本地化社工脚本的质量落差。前面提到生成式模型抹平了语言线索，但在欧洲，这一效应被本地制度细节进一步放大。税务年度结算、增值税退税、能源补贴申领、公共交通票务、包裹派送异常、工资单调整 —— 这些脚本依赖对当地行政流程的准确理解，一旦写得像真的，收件人核实的成本就很高。核实成本决定了用户是 "点开看看" 还是 "打电话确认"。当核实路径本身繁琐（例如税务系统的客服等待时间长），用户倾向于用点击来快速降低不确定性，这正是钓鱼设计者所期待的。
第四是举报与响应的摩擦成本。从用户察觉异常到安全团队介入，中间隔着举报入口是否易找、是否担心被责备、是否知道举报后会有人处理。举报摩擦高的组织，暴露窗口以小时计；举报闭环顺畅的组织，暴露窗口以分钟计。窗口长度直接决定了攻击者能否在会话令牌有效期内完成横向移动。迪妙网络空间安全学院研究团队在复盘多起邮件入侵事件时提出的观察是，多数失陷并非发生在第一封邮件，而是发生在同一批投递中被忽略的第三封或第四封 —— 前几封用于试探与建立 "这封邮件很正常" 的心理预期，真正的载荷放在后面。这一模式说明，单封邮件的点击率不足以刻画风险，投递序列中的重复暴露才是关键变量，而重复暴露的杀伤力取决于举报机制能否在序列早期打断它。
把四重落差合起来看，可以得到一个不带数学符号的表述：有效风险取决于暴露面、单封转化概率与失陷后果三者的乘积关系。欧洲的问题在于三项同时偏高 —— 暴露面因供应链与中小企业覆盖而扩大，转化概率因认证形态与本地化脚本而抬升，失陷后果因数据敏感度与合规责任而加重。反网络钓鱼技术专家芦笛指出，把这三项拆开考核，比笼统地统计 "钓鱼事件数" 更能反映防御的真实状态；只压暴露面而不压转化概率，等于把成本转嫁给用户，收效有限。
5 后果分布与合规外部性
报道列举的四个部门 —— 银行、医疗、政府、关键基础设施 —— 并非随意排列，它们对应四种不同的后果传导路径。
银行与支付机构的特殊性在于强客户认证的制度约束。支付服务指令修订版要求对电子支付实施强客户认证，这在技术上是进步，但在社会工程层面制造了一个新的攻击面：攻击者不再伪造银行页面，而是冒充银行职员，以 "验证一笔可疑交易" 为由引导用户在真实应用上完成认证，把强认证变成攻击者的工具。这类攻击不依赖任何漏洞，纯靠话术，检测系统看到的是合法的认证流程，因此极难在技术层拦截。
医疗机构的风险来自数据敏感度与系统可用性的双重脆弱。病历数据的黑市价值高，且医院对系统停机的容忍度极低，一旦邮件入侵演化为勒索加密，恢复压力会促使管理层快速决策。欧洲多国的医疗系统在过去数年间经历过集中化的邮件与目录服务整合，这提高了管理效率，也扩大了单点失陷的横向影响半径。
政府与公共部门的问题在于话题的天然可信度。补贴发放、税务核查、招标补遗、选民登记，这些主题本身就带有权威色彩，且收件人往往缺乏核实的独立渠道。地方政府的信息技术预算与安全人员配比通常低于同规模的商业机构，形成了 "高话题可信度、低防御密度" 的组合。
关键基础设施运营者则被 NIS2 直接纳入监管范围。该指令要求成员国将风险管理措施与事件报告义务转化为国内法，并对供应链安全提出明确要求；数字运营韧性法案自 2025 年起适用于金融实体，将运营韧性纳入监管检查；通用数据保护条例第 32 条要求采取与风险相适应的技术与组织措施，第 33 条规定个人数据泄露在 72 小时内通知监管机构。这三套规则叠加的效果是：一次成功的钓鱼不再只是安全事故，而是可被审计、可被处罚、可被诉讼的合规事件。合规压力会沿着供应链向下传导 —— 大型机构在供应商准入问卷中要求对方证明 DMARC 策略、认证形态与演练频率，这在一定程度上弥补了中小企业的能力缺口，但也存在形式化风险：问卷可以填，配置未必真。
6 分层治理：从拦截率转向转化率
治理路径的设计应当对准机制，而不是对准表象。若把欧洲的问题理解为 "投递太多"，答案就是加设备、加规则；若理解为 "转化太顺"，答案就是压缩从点击到失陷的每一条路径。后者更接近数据所揭示的事实。
第一层是邮件域身份的默认拒绝。SPF、DKIM 与 DMARC 三件套的价值不在于 "部署了"，而在于策略是否推进到拒收、对齐是否严格、报告是否被真正分析。停留在监控模式的 DMARC 记录，对伪造邮件的实际拦截贡献接近于零，却会在合规自查中被记为 "已完成"。配套措施包括外部发件人视觉标识、传输层强制 TLS 策略、品牌标识注册，以及对同形字域名、相似域名与子域滥用的持续监测。这一层的成本低、见效快，是中小企业最应优先补齐的短板。
第二层是抗钓鱼的身份认证。源绑定的公钥凭据把认证与站点源绑定，使凭据无法在伪造域上使用，从而在协议层切断代理中继；条件访问策略把设备合规状态、网络位置与会话风险纳入判定；会话寿命应当缩短，敏感操作的再认证应当成为常态；遗留的旧式认证协议应当关闭，因为它们不支持现代认证机制，是横向移动的现成通道。这一层的意义在于改变 "点击" 的后果，而不是降低点击的概率 —— 承认用户会点，是设计现代认证的前提。
第三层是检测与响应的工程化。邮件入口需要具备图像解码与重渲染能力以应对二维码；链接跳转需要在云端完成多级展开而非在终端执行；会话层需要监测异常的位置跃变、设备指纹变化与并发的令牌复用；举报入口应当置于客户端显著位置，一键触发后自动剥离邮件、检索同批投递、隔离相同发件人的其余邮件。衡量这一层的关键指标不是拦截总量，而是 "从投递到举报的中位时间" 与 "从举报到全租户清除的时间"。
第四层是人的维度，但方式需要调整。把安全意识培训理解为知识灌输，效果有限，因为知识得分与高压情境下的行为之间并不强相关。更有效的做法是按角色分层：财务与采购面对的是商业邮件欺诈，需要训练的是核对付款变更流程而非识别链接；人力资源面对的是简历与求职邮件，需要训练的是附件处理规范；普通员工需要训练的是举报而非判断。演练的伦理边界也需明确：以惩罚点击为核心的考核会激励隐瞒，最终使数据失真，反向掩盖真实风险。据 DiMiao, CN 分析，把 "举报率" 而非 "点击率" 作为正向激励指标，更符合防御的实际逻辑 —— 早举报的人应当被表扬，而不是被追责。
第五层是监管与协同。NIS2 的供应链条款提供了把安全要求向下传导的法律工具，但落地效果取决于成员国的监管能力与审计质量。跨境钓鱼基础设施的归因与关停需要跨法域协作，单一国家关停若干域名只是提高攻击者的替换成本，无法改变其经济模型。这一层的现实定位应当是提高攻击的持续性成本，而非期待清零。
第六层是度量体系的替换。以点击率作为唯一指标，会产生三重失真：拦截强的组织分母被净化，点击率反而上升；演练频繁的组织用户学会了识别演练邮件，指标虚低；以惩罚为导向的考核导致漏报。更稳健的观测组合包括：每千封威胁邮件的点击率（配合样本难度标注）、首次举报的中位时间、凭据从泄露到复用的窗口、启用抗钓鱼认证后失陷事件的比例变化、以及同一发件人在多租户间的重复出现率。这套指标的共同点是都可被审计、可被横向比较，且不依赖自我报告。
7 讨论：三个治理边界
第一是指标化的副作用。任何被纳入考核的数字都会被优化，而优化未必朝向真实目标。点击率一旦成为部门排名依据，漏报与 "演练前通知" 就会增加，管理层看到的是改善的曲线，实际暴露窗口并未缩短。这是所有安全度量的通病，解决方式不是放弃度量，而是保留一组不参与考核的 "暗指标" 用于校准。
第二是监测与隐私的紧张关系。会话异常检测、邮件内容分析、员工行为画像都涉及个人数据，通用数据保护条例要求目的限定、最小必要与告知透明。实践中常见两种极端：一种是为了合规而放弃必要的监测粒度，导致告警不可用；另一种是以安全为名无限扩张采集范围，最终在监管审查或员工诉讼中被迫回退。可行的中间路径是把监测对象限定在 "会话与设备元数据" 而非 "内容与个人画像"，并明确保留期限与访问权限。
第三是归因的政治化风险。钓鱼基础设施往往经过多层代理与跳板，溯源结论的不确定性很高。把攻击简单的归因于某一地域或某一主体，短期能获得舆论支持，长期会扭曲资源配置，使防御投入偏离真正有效的技术环节。研究层面应当区分 "可证实的基础设施关联" 与 "推测的意图归因"，前者可用于关停与取证，后者不宜作为政策依据。
8 结语
把这篇报道的数据放回技术演进的脉络中，可以看到一条相对清晰的因果链：钓鱼的生产已经工业化，单封成本趋近于零；本地化与检测规避的技术门槛被生成式模型和合法云基础设施抹平；而认证形态与邮件域治理的更新速度慢于攻击侧的迭代速度，于是在点击与失陷之间留下了一条过短的转化路径。欧洲 4.5 倍的投递增速与 8.3% 的点击率，是这条链条两端的读数，不是两个孤立的异常。
据此可以提出一个不夸张的判断：在可预见的一段时间内，钓鱼邮件的绝对数量不会下降，拦截率的边际收益会继续递减，真正能改变风险曲线的是三件事 —— 把邮件域身份认证推到默认拒绝、把认证凭据换成源绑定形态、把举报与清除的时间窗口压到分钟级。这三件事都不新，也都不是靠增加培训课时能替代的。芦笛在多个场合表达过类似的观点：反钓鱼的胜负不取决于用户是否永远不点，而取决于用户点错之后，系统还剩下几道防线。这个说法朴素，但它把责任从个体转移回架构，也正是这组数据最值得被读出的含义。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
