新闻中心
——“因为我们的存在，让您的邮件系统更有价值！”
别再只盯着“错别字”了，AI钓鱼邮件正在换代
但最新的模拟测试数据，正在推翻这个沿用多年的判断。
卡巴斯基在 10 月 15 日发布了一项安全意识平台模拟钓鱼统计。这项测试覆盖今年 1 至 9 月、全球 120 个国家的企业员工，一共投放了超过 15 万封模拟钓鱼邮件，专门对比不同主题诱饵的实际点击情况。
结果很有意思：以新技术、下一代 AI 为主题的邮件，点击率高达 45%，在所有诱饵类型里排在第一位。作为对照，医疗保险类主题点击率是 28%，HR 内部通知类 22%，而合规政策和促销礼品类诱饵的点击水平，都明显低于 AI 相关主题。
这背后的原因，其实很贴合当下的职场环境。现在不少企业都在推进 AI 工具落地，员工对新模型、新功能、内部 AI 上线通知本身就带有好奇。看到一封标题是“下一代 AI 介绍”的邮件，收件人很容易放松戒备，下意识就点开了里面的链接。攻击者抓的，就是这个普遍的职场心态。
除了主题本身抓人，更值得警惕的是钓鱼文本质量的变化。随着生成式 AI 的普及，攻击者写钓鱼邮件的门槛大幅降低了。过去，钓鱼邮件常常语句不通、用词奇怪、翻译痕迹很重，很容易被一眼看穿；而现在，AI 生成的诱饵邮件行文流畅、语气自然，几乎没有明显语病。依靠“找错别字、挑不通顺句子”的老办法，已经很难把它们筛出来了。
报告里还提到一个极端的例子：一封伪装成“卫生检查报告”的单封邮件，点击率甚至达到了 92%。这几乎是一个全员中招的比例。热点话题叠加员工对合规、检查的工作焦虑，是社工攻击最常用、也最有效的组合。
对企业来说，这组数据不是为了制造恐慌，而是提醒安全策略得跟着变化。单靠网关过滤，只能拦截已知的恶意域名和附件；面对话术逼真、主题贴切业务热点的钓鱼邮件，防线其实更多地落在了“人”的环节上。
结合测试报告，这里整理了几条落地性较强的建议：
- 调整培训重点：减少“找语病辨钓鱼”的过时引导，把培训重心转移到发件人核验、链接地址真实域名校验、异常群发行为识别上；
- 演练紧跟热点：模拟钓鱼演练里，多加入“AI 工具上线”、“新模型试用”这类贴近当下的诱饵，持续观察员工的识别水平；
- 强制开启 MFA：对邮箱账号开启多因素认证，哪怕员工不慎提交了账号密码，也能大幅降低账号被接管的风险；
- 网关策略升级：邮件安全侧针对 AI 工具、大模型相关的外部链接，配置沙箱检测和动态信誉评估。
