立法者与政策制定者——从CAN-SPAM到全球反钓鱼法律框架

2003年12月16日，华盛顿特区，美国总统乔治·W·布什在白宫椭圆形办公室签署了一份名为《控制非应邀色情和营销攻击法案》的文件。这份法案的缩写CAN-SPAM，恰好与"spam"（垃圾邮件）一词形成谐音——一个颇具讽刺意味的巧合。布什总统或许没有意识到，他签署的不仅是美国首部针对商业电子邮件的联邦法律，更是全球反钓鱼立法浪潮的第一朵浪花。二十年后，当中国全国人大常委会以"小切口、小快灵"的立法智慧通过《反电信网络诈骗法》，当欧盟以GDPR的巨额罚款重塑全球数据治理格局，当日本、新加坡、澳大利亚等国纷纷构建起各自的反钓鱼法律体系——我们得以回望一条清晰的轨迹：法律，这个人类最古老的制度工具，正在以各自的方式回应数字时代最狡诈的欺骗形式。本章将追溯这条轨迹上的关键人物与关键节点，追问一个核心命题：当技术以指数级速度演进，法律这只"慢牛"能否追得上？

一、"YOU-CAN-SPAM"——CAN-SPAM法案的诞生与争议

2003年的美国，垃圾邮件已经泛滥成灾。据估计，当时全球每天发送的电子邮件中，超过60%是未经请求的商业邮件。更可怕的是，钓鱼攻击开始从AOL聊天室的地下世界浮出水面，伪装成银行通知、快递确认和中奖信息的钓鱼邮件，正以惊人的速度吞噬着普通用户的信任和财产。各州纷纷出台自己的反垃圾邮件法律——加利福尼亚州的法律尤为严格，要求发送商业邮件必须获得收件人的"明示同意"（opt-in）。但联邦层面的立法空白，使得跨州甚至跨国的垃圾邮件发送者得以钻法律的空子。

在这样的背景下，CAN-SPAM法案应运而生。法案的全称是《Controlling the Assault of Non-Solicited Pornography And Marketing Act of 2003》，即"控制非应邀色情和营销攻击法案"。这个冗长的名称被巧妙地缩写为CAN-SPAM，与"can spam"（可以发送垃圾邮件）谐音——反垃圾邮件活动家很快将其戏称为"YOU-CAN-SPAM Act"（你可以发送垃圾邮件法案），因为法案的核心精神并非禁止垃圾邮件，而是规范垃圾邮件。

CAN-SPAM法案规定了若干基本要求：商业邮件必须明确标识为广告；必须提供有效的退订机制；必须包含发件人的真实邮政地址；禁止使用欺骗性主题行和伪造邮件头。违反者将面临最高每封邮件16,000美元的罚款，以及最高五年的监禁。然而，法案的致命弱点在于：它不要求发送者在发送商业邮件前获得收件人的同意——也就是说，它采取的是"opt-out"（选择退出）而非"opt-in"（选择加入）模式。这意味着，任何人都可以向任何人发送商业邮件，只要邮件中提供了退订链接。

更令反垃圾邮件倡导者愤怒的是，CAN-SPAM法案还包含一项"优先适用"条款，即联邦法律优先于各州的反垃圾邮件法律。这意味着加利福尼亚州等要求"opt-in"的严格法律被联邦法律架空。反垃圾邮件组织Spamhaus的负责人Steve Linford在2005年直言不讳地批评道："Until America makes changes, everyone will still be plastered with spam."（除非美国做出改变，否则每个人仍将被垃圾邮件淹没。）

事实证明了Linford的预判。CAN-SPAM法案生效后，垃圾邮件的数量不降反升。2004年，FTC向国会提交的报告显示，不到1%的垃圾邮件符合CAN-SPAM法案的要求。钓鱼攻击更是不受任何影响——因为钓鱼邮件本身就伪装成非商业邮件（如银行通知、政府公函），根本不适用CAN-SPAM的规范。

然而，CAN-SPAM法案的历史意义不应被完全否定。它是人类历史上第一次以联邦法律的形式回应数字通信中的欺骗问题，为后续的立法探索提供了宝贵的经验和教训。它至少确立了一个原则：在数字空间中，发送者有义务对其发送内容的真实性负责。这一原则，虽然执行不力，却为后来的反钓鱼立法奠定了思想基础。

二、Burns与Wyden——跨越党派的立法者联盟

CAN-SPAM法案的两位主要发起人——共和党参议员Conrad Burns和民主党参议员Ron Wyden——构成了一个颇为奇特的政治联盟。Burns来自蒙大拿州，是一位保守派共和党人，以强硬的言辞和争议性言论闻名；Wyden来自俄勒冈州，是一位自由派民主党人，长期关注数字隐私和技术政策。两人在政治光谱上相距甚远，却在反垃圾邮件这一议题上找到了共同点。

Conrad Burns的立法动机部分源于其选民的切身困扰。蒙大拿州地广人稀，互联网对于 ranchers（牧场主）和农民而言是连接外界的重要纽带。当他们的邮箱被垃圾邮件淹没、当他们的银行账户因钓鱼攻击而遭受损失时，Burns感受到了来自基层的压力。在法案通过后，Burns曾自豪地表示："Senator Wyden and I have worked during this time to come up with common-sense legislation to deal with spam and I think we've been successful."（Wyden参议员和我在这段时间里共同努力，制定了一项应对垃圾邮件的常识性立法，我认为我们取得了成功。）

Ron Wyden则有着更深层的考量。作为参议院中最早关注互联网政策的议员之一，Wyden深知数字通信的跨境特性。他认为，如果没有联邦层面的统一立法，各州各自为政的法律将导致混乱，甚至可能被垃圾邮件发送者利用。Wyden后来成为参议院财政委员会主席，在数字隐私、加密政策和网络安全领域持续发声，其影响力延续至今。

然而，Burns的政治生涯并未因CAN-SPAM法案而增色。2006年，他被《时代》杂志评为"美国最差劲的五位参议员"之一，绰号"The Shock Jock"（震惊主播），原因是其一系列争议性言论——包括1999年将阿拉伯人称为"ragheads"（包头巾的人）。他与游说客Jack Abramoff的关系也备受质疑。2006年，Burns在连任竞选中败给了民主党人Jon Tester，结束了其18年的参议员生涯。他于2016年去世，享年81岁。

Wyden则继续活跃在参议院，成为美国国会中数字权利和网络安全的坚定倡导者。他反对大规模监控，支持加密技术的合法使用，并在多个网络安全法案中发挥了关键作用。Burns和Wyden的故事告诉我们：立法者的个人命运或许起伏不定，但他们共同开启的立法进程，却会在历史的长河中留下印记。

三、GDPR——欧盟如何用"天价罚款"重塑数据安全

如果说CAN-SPAM法案是反钓鱼立法的"试错版"，那么欧盟的《通用数据保护条例》（GDPR）则是一部"升级版"。2018年5月25日，GDPR正式生效，取代了1995年的《数据保护指令》。这部法规不仅适用于欧盟境内的组织，还适用于向欧盟居民提供商品或服务、或监控其行为的境外组织——其域外效力使其成为全球数据治理的"黄金标准"。

GDPR与反钓鱼最直接相关的条款是第32条——"处理的安全性"。该条款要求数据控制者和处理者实施"适当的技术和组织措施"，以确保与风险相适应的安全水平。具体措施包括：个人数据的假名化和加密；确保处理系统和服务的持续保密性、完整性、可用性和弹性；在发生物理或技术事故时及时恢复个人数据的可用性和访问能力；定期测试、评估和评价技术和组织措施的有效性。

GDPR的威慑力来自其"天价罚款"机制。对于最严重的违规行为，罚款可达2000万欧元或全球年营业额的4%（以较高者为准）。这一机制使得数据安全从"成本中心"一跃成为"战略优先级"——任何忽视钓鱼攻击可能导致数据泄露的企业，都将面临毁灭性的财务后果。2024年12月，爱尔兰数据保护委员会对Meta Platforms处以2.51亿欧元的罚款，原因是2018年的一次数据泄露事件影响了约2900万个Facebook账户——其中约300万个位于欧盟/欧洲经济区。虽然这起事件并非典型的钓鱼攻击，但它揭示了GDPR对数据安全的严格要求。

2025年11月，英国信息专员办公室（ICO）对密码管理器提供商LastPass处以120万英镑的罚款，原因是其在2022年的数据泄露事件中未能为英国用户实施足够强大的技术和安全措施。黑客首先侵入了一名欧洲员工的笔记本电脑，然后植入恶意软件捕获了美国员工的密码，最终访问了LastPass的备份数据库，窃取了多达160万英国用户的个人信息。ICO认定LastPass违反了英国GDPR第5(1)(f)条和第32(1)(f)条——未能以适当的安全水平处理客户个人数据。

2026年3月，意大利数据保护局（Garante）对意大利联合圣保罗银行（Intesa Sanpaolo）处以3180万欧元的罚款，原因是一名员工在2022年2月至2024年4月间进行了超过6000次未经授权的访问操作，涉及3500多名客户的数据。Garante认定该银行违反了GDPR第32条——未能实施充分的技术和组织安全措施。

这些案例共同传递了一个信号：在GDPR框架下，企业不仅要防范外部钓鱼攻击，还要防止内部人员滥用权限。GDPR的"设计隐私"（Privacy by Design）和"默认隐私"（Privacy by Default）原则，要求企业在系统设计之初就将数据保护纳入考量，而非事后补救。这一理念正在深刻改变全球企业的安全架构。

然而，GDPR并非完美。批评者指出，其合规成本高昂，对中小企业构成沉重负担；其域外效力的执行面临 管辖权挑战；其对"同意"的严格要求在某些场景下反而降低了用户体验。更重要的是，GDPR主要针对数据保护，而非直接针对钓鱼攻击本身——钓鱼邮件如果未涉及个人数据的处理，可能并不直接触发GDPR的管辖。

四、日本、新加坡与澳大利亚——亚太地区的反钓鱼立法图景

亚太地区的反钓鱼立法呈现出多元化的格局，各国根据自身法律传统和社会环境，探索出不同的治理路径。

日本是亚太地区最早系统应对网络钓鱼的国家之一。2002年4月17日，日本颁布了《特定电子邮件传输管理法》（Act on Regulation of Transmission of Specified Electronic Mail），对未经请求的商业电子邮件进行规范。2005年2月，日本上院提出了《反网络钓鱼法案》（Anti-Phishing Act of 2005），旨在从立法层面直接打击网络钓鱼行为。同年3月22日，东京地方法院对一起网络钓鱼案件作出判决，要求攻击者赔偿受害者40万日元的损失——这是日本司法实践中较早的网络钓鱼赔偿案例。

日本的治理特点是"政府主导、行业协同"。内阁府、金融厅、警察厅等部门通过"IT安心会议"等机制加强信息共享与对策制定。警察厅于2004年6月4日发布注意唤起公告，提醒公众警惕网络钓鱼攻击；经济产业省于2004年7月发布网络钓鱼注意告知，推动对策的普及与启蒙；总务省于2004年12月10日发布网络钓鱼注意告知，促进信息通信事业者的合作。这种多部门协同的模式，为后来的中国"全警反诈"格局提供了借鉴。

2025年6月，日本刑法修正案生效，新增"伪造或使用私人电磁记录"罪名，将传统上仅限于物理文件的伪造罪扩展至电子数据。根据新规定，在社交媒体平台上创建或传播虚假电子信息（如身份欺诈）的行为，可被处以三个月至五年监禁。这一修订直接回应了钓鱼攻击中日益猖獗的社交媒体身份伪造问题。

新加坡的反钓鱼法律体系以《个人数据保护法》（PDPA，2012年）和《垃圾邮件控制法》（Spam Control Act，2007年）为核心。PDPA规定了九项数据处理原则，包括同意、目的限制、通知、访问和更正、准确性、保护、保留限制、传输限制和问责。PDPA要求组织在收集、使用或披露个人数据前必须获得个人同意，并通过合理的安全措施保护其拥有或控制的个人数据。

新加坡的独特之处在于其"务实主义"的执法风格。个人数据保护委员会（PDPC）发布的指南虽无法律约束力，但表明了PDPC将如何解释PDPA，为企业提供了明确的合规指引。PDPA要求组织任命数据保护官（DPO），DPO的业务联系信息必须向公众公开。在数据泄露通知方面，虽然PDPA没有强制性要求，但PDPC建议组织在涉及500个或更多个人的数据泄露时，尽快（通常不迟于评估为可通知后的72小时）通知PDPC。

澳大利亚的隐私法律体系以1988年《隐私法》为核心，适用于所有联邦部门或机构以及年营业额超过300万澳元的私人组织。《隐私法》确立了13项澳大利亚隐私原则（APP），规范个人信息的收集、使用、披露和存储。此外，澳大利亚还制定了《垃圾邮件法》（Spam Act 2003）和《垃圾邮件条例》（Spam Regulations 2021），对未经请求的商业电子邮件进行规范。

澳大利亚的治理特点是"原则导向"而非"规则导向"。APP第11条要求APP实体必须采取合理措施保护其持有的个人信息，防止滥用、干扰、丢失以及未经授权的访问、修改或披露。这种原则性的表述给予了企业较大的灵活性，但也带来了合规标准不统一的问题。

五、中国方案——从《网络安全法》到《反电信网络诈骗法》的制度跃迁

中国的反钓鱼法律体系建设，是一部从"跟跑"到"领跑"的跃迁史。与西方国家先出台一般性法律、再逐步细化的路径不同，中国采取了"急用先行、小切口立法"的策略，在短时间内构建起一套系统完备、科学规范、运行高效的反电信网络诈骗法律体系。

第一阶段：奠基期（2017—2021）

2017年6月1日，《中华人民共和国网络安全法》正式施行，这是中国网络安全领域的基础性法律。该法第四十二条要求网络运营者处理个人信息应当遵守法律、行政法规的规定；第六十九条规定，电子信息发送服务提供者和应用软件下载服务提供者应当履行安全管理义务，对法律、行政法规禁止发布或者传输的信息，应当立即停止传输，采取消除等处置措施，保存有关记录，并向有关主管部门报告。未履行上述义务且情节严重的，最高可处二百万元罚款。

2021年，中国《个人信息保护法》和《数据安全法》相继出台，与《网络安全法》共同构成了数据治理的"三驾马车"。《个人信息保护法》对敏感个人信息的处理提出了更严格的要求，为防范钓鱼攻击中常见的个人信息窃取提供了法律依据。《数据安全法》则建立了数据分类分级保护制度，要求数据处理者加强风险监测，发现数据安全隐患时立即采取补救措施。

第二阶段：突破期（2022）

2021年4月，习近平总书记对打击治理电信网络诈骗犯罪工作作出重要指示，强调"要从完善法律入手进行规制，补齐监管漏洞和短板，决不能放任不管"。按照全国人大常委会领导同志指示，全国人大常委会法工委自4月底开始会同公安部、工信部、人民银行等抓紧推进反电信网络诈骗立法工作。

立法过程体现了"全过程人民民主"的理念。法工委先后到北京、浙江、江苏、云南、湖北、福建等地深入调研，听取一线执法干警、律师、专家学者等方面的意见；两次在中国人大网公布草案征求社会公众意见，二审稿共收到12390名公众提出的28406条意见；在三次审议阶段都专门听取互联网企业意见。王晨副委员长两次带队深入公安执法一线、反诈中心、银行网点以及电信企业、互联网企业等一线基层单位调研。

2022年9月2日，第十三届全国人大常委会第三十六次会议表决通过了《中华人民共和国反电信网络诈骗法》。国家主席习近平签署第一一九号主席令予以公布，自2022年12月1日起施行。从起草到通过，用时不到一年，这一立法速度体现了主管部门打击电信网络诈骗行动的坚决急迫态度。

《反电信网络诈骗法》共七章50条，包括总则、电信治理、金融治理、互联网治理、综合措施、法律责任、附则。全国人大常委会法工委刑法室主任王爱立将其特点概括为四个方面：一是"小切口、小快灵"，对关键环节、主要制度作出规定，条文数量不求太多，增强立法的针对性、实用性和有效性；二是"重预防、强综合"，立足源头治理、综合治理，侧重前端预防，变"亡羊补牢"为"未雨绸缪"；三是"全链条、管要害"，从人员链、信息链、技术链、资金链等进行全链条治理；四是"统筹发展和安全"，在制度设计上始终注重措施有力、精准，同时规定了必要的申诉救济措施。

第三阶段：深化期（2024—2025）

2024年12月1日，《电信网络诈骗及其关联违法犯罪联合惩戒办法》正式施行，作为《反电信网络诈骗法》的重要配套法规，进一步推动多部门协同治理。该办法明确了对经设区的市级以上公安机关认定的非法出租、出售、购买银行账户（卡）或者支付账户的单位和个人及相关组织者，实施5年内暂停其银行账户非柜面业务、支付账户所有业务，不得新开户等惩戒措施。

2025年，公安部联合中央宣传部启动"全民反诈在行动"集中宣传月活动，主题是"反诈是门必修课，筑牢防线守好责"。活动在全国范围内组织开展"进社区、进农村、进家庭、进学校、进企业"的"五进"活动，着力构建立足社区、覆盖全社会的反诈宣传体系。公安部联合中央广播电视总台推出《全民反诈公开课》普法宣传节目，发布《2025版防范电信网络诈骗宣传手册》，组织第三届全国反诈短视频大赛。

中国方案的核心经验可以概括为三点：第一，坚持"以人民为中心"的发展思想，将保护人民群众财产安全作为最高优先级；第二，坚持"打防管控宣"一体化推进，构建全链条、全方位的反诈治理体系；第三，坚持多边主义和国际合作，通过澜湄执法合作等机制凝聚区域合力。这三点经验，不仅为中国人民带来了实实在在的安全感，也为全球反诈治理贡献了中国智慧和中国方案。

六、"帮信罪"——中国刑法对钓鱼黑灰产的精准打击

在反钓鱼的法律武器库中，"帮助信息网络犯罪活动罪"（简称"帮信罪"）是一把精准而锋利的手术刀。根据《中华人民共和国刑法》第二百八十七条之二的规定，明知他人利用信息网络实施犯罪，为其犯罪提供互联网接入、服务器托管、网络存储、通讯传输等技术支持，或者提供广告推广、支付结算等帮助，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。

帮信罪的立法背景，是中国电信网络诈骗犯罪形势的严峻性。钓鱼攻击从来不是孤立的行为，它背后是一条完整的黑色产业链：有人负责编写钓鱼程序，有人负责租用服务器，有人负责收购银行卡，有人负责洗钱分赃。传统的诈骗罪只能打击直接实施诈骗的人，而对这些"帮凶"往往无能为力。帮信罪的设立，正是为了切断这条产业链的"供血线"。

2024年，帮信罪已成为仅次于危险驾驶罪的第二位高发刑事犯罪。上海市浦东新区人民法院2024年3月发布的一起典型案例颇具代表性：被告人涂某、赖某在明知银行卡可能被用于违法犯罪的情况下，仍将名下银行卡出售给他人用于接收电信诈骗资金。涂某还介绍他人出售银行卡，收取介绍费2000元。最终，涂某被判处有期徒刑七个月，赖某被判处拘役四个月。

另一起入选人民法院案例库的典型案例（2024-04-1-257-001）揭示了帮信罪的认定标准。被告人杨某磊因赌博造成经济窘迫，在明知办理贷款人员不可靠的情况下，仍前往吉林省延吉市办理营业执照和对公账户，并将账户提供给他人使用。其对公账户涉及流水3923万余元，为被害人被诈骗案的四级卡卡主。山西省孝义市人民法院认定，杨某磊在知道办理贷款方式违规、办理人员可能系违法分子的情况下，仍然主动联系他人办理新通讯设备并前往办理贷款，不仅未支付合理费用反而由他人报销路费、食宿费，具有主观明知，判处有期徒刑一年，并处罚金5000元。

最高人民法院、最高人民检察院、公安部《关于办理电信网络诈骗等刑事案件适用法律若干问题的意见（二）》第八条规定，认定帮信罪的"明知"，应当根据行为人出租、出借银行卡的次数，并结合行为人的认知能力、既往经历、交易对象、获利情况以及行为人的供述等主客观因素，予以综合认定。这一规定既防止了打击扩大化，又确保了精准惩治。

帮信罪的设立和适用，体现了中国刑法"打早打小、露头就打"的治理理念。它不追求对每一个"工具人"都判处重刑，而是通过刑事责任的威慑，让潜在的"帮凶"在出借银行卡、出售电话卡之前三思而后行。正如最高人民检察院的检察官所言："银行卡是不能出租和转借的。即使是免费转借给他人，严格意义上讲，也违反了《银行卡业务管理办法》，有可能被罚款。"

七、国际协作的困境与突破——当法律遭遇国界

钓鱼攻击的跨境特性，是反钓鱼立法面临的最大挑战。一个位于俄罗斯的黑客，可以通过钓鱼邮件攻击美国的银行客户，将赃款转移至塞浦路斯的账户，最终在泰国提现。在这个过程中，攻击者可能触犯了多个国家的法律，但没有一个国家能够单独对其行使管辖权。

这种困境在Evgeniy Bogachev案中体现得淋漓尽致。作为FBI"网络通缉令"头号人物，Bogachev开发的GameOver Zeus僵尸网络造成了全球超过1亿美元的损失。然而，由于俄罗斯与美国之间没有引渡条约，Bogachev至今仍在俄罗斯境内逍遥法外。俄罗斯政府甚至曾提出以Bogachev为筹码，交换在美国被起诉的俄罗斯公民——这种"人质外交"式的谈判，凸显了国际执法合作的复杂性和脆弱性。

然而，困境并非不可突破。中国在澜湄执法合作方面的实践，为全球反钓鱼国际协作提供了宝贵经验。2024年8月至12月，澜湄执法合作中心组织实施"海鸥"联合执法行动，协调中国、柬埔寨、老挝、缅甸、泰国、越南六国执法部门共同打击区域电信网络诈骗犯罪。行动期间，各方共破获以电诈案件为主的各类案件160余起，逮捕犯罪嫌疑人7万余名，解救受害人160余名。

2025年以来，中国进一步深化与周边国家的执法合作。中、缅、泰三国建立三方协调机制，联合对缅甸妙瓦底地区赌诈犯罪开展打击清剿，缅方累计向中国遣返5500余名犯罪嫌疑人。中老警方联合行动，对老挝金三角特区4个园区的电诈窝点进行集中清剿，一举抓获600余名犯罪嫌疑人。中越警方联合打击专项行动成功抓获149名犯罪嫌疑人。中柬警方先后在柬埔寨蒙多基里、金边、柴桢等地抓获2141名犯罪嫌疑人，柬方已将全部人员遣返移交中方。

这些行动的背后，是中国政府践行全球安全倡议的坚定承诺。与某些国家动辄以"人权"为借口干涉他国内政的做法不同，中国始终尊重各国主权，通过平等协商、互利共赢的方式推进执法合作。中国不输出意识形态，不附加政治条件，而是以实际行动帮助相关国家提升执法能力，共同维护区域安全稳定。这种"共商共建共享"的全球治理观，与西方某些国家"单边制裁""长臂管辖"的做法形成了鲜明对比。

在国际法律框架层面，《布达佩斯网络犯罪公约》（Budapest Convention on Cybercrime）是目前最广泛的国际网络犯罪法律合作框架。该公约由欧洲委员会于2001年制定，已有超过60个缔约国。公约要求缔约国将特定的网络犯罪行为——包括与计算机相关的欺诈——定为刑事犯罪，并建立国际合作机制。然而，中国尚未加入该公约，原因是公约的部分条款与中国法律体系存在冲突。中国主张在联合国框架下制定更加公平、包容的国际网络犯罪公约，这一立场得到了广大发展中国家的支持。

八、立法的效果与局限——法律能否"治住"钓鱼？

二十年来，全球反钓鱼立法取得了显著成效，但也暴露出深刻的局限。

成效方面，法律为执法机构提供了明确的授权和工具。在中国，《反电信网络诈骗法》实施后，公安机关可以依法对未履行反诈义务的行业企业实施行政处罚，可以对涉诈人员采取惩戒措施、记入信用记录，可以对前科人员和重大嫌疑人员采取限制出境措施。2024年，全国公安机关共破获电信网络诈骗案件29.4万起，国家反诈中心累计拦截诈骗电话46.9亿次、短信33.7亿条，处置涉案域名网址1181万个，紧急拦截涉案资金3151亿元。

局限方面，法律始终面临"滞后性"的困境。钓鱼攻击的技术手段以月为单位迭代，而法律的修订以年为单位推进。当立法者终于制定出针对某种攻击手段的法律时，攻击者早已转向新的技术。CAN-SPAM法案在2003年针对的是垃圾邮件，而到2005年，钓鱼攻击已经超越了垃圾邮件的范畴；GDPR在2018年生效时，AI深度伪造技术尚未大规模应用，而到2025年，AI生成的钓鱼邮件已经能够以假乱真。

更根本的局限在于，法律只能约束"守法者"，而无法约束"违法者"。钓鱼攻击者本身就是犯罪分子，他们不会因为法律的存在而停止犯罪。法律的价值在于提高犯罪成本、压缩犯罪空间、阻断犯罪链条，而非消灭犯罪本身。正如一位网络安全专家所言："法律是防洪堤，不是抽水机——它可以阻挡洪水，但不能让洪水消失。"

此外，法律的执行还面临资源约束。即使有了完善的法律框架，执法机构的人力、技术和预算也是有限的。全球每年新增的钓鱼网站数以百万计，而能够投入执法的资源却远远不够。在这种情况下，法律的威慑作用往往大于其实际执行效果——"抓到的少，吓到的多"，成为反钓鱼执法的常态。

九、未来之路——AI时代的立法前瞻

站在2025年的门槛上，反钓鱼立法正面临前所未有的挑战：生成式AI正在重塑钓鱼攻击的形态，也必将重塑反钓鱼立法的逻辑。

AI对钓鱼攻击的赋能是全方位的。攻击者可以利用大语言模型生成毫无语法错误的钓鱼邮件，模仿特定人物的写作风格；可以利用深度伪造技术制作以假乱真的视频通话，让受害者"亲眼看到"银行客服的面孔；可以利用AI分析目标的社交媒体数据，量身定制个性化的社会工程话术。当AI让虚假变得比真实更加"真实"时，传统的法律框架——建立在"虚假陈述""欺骗"等概念之上——是否还能有效适用？

中国已经开始探索AI时代的反钓鱼立法。2023年，国家网信办等七部门联合发布《生成式人工智能服务管理暂行办法》，要求生成式AI服务提供者建立健全投诉、举报机制，设置便捷的投诉、举报入口，公布处理流程和反馈时限，及时受理、处理公众投诉举报并反馈处理结果。这一规定虽然并非专门针对钓鱼攻击，但为AI生成内容的监管提供了法律基础。

未来的反钓鱼立法可能需要关注以下几个方向：第一，明确AI生成内容的标识义务，要求AI生成的邮件、视频、音频必须标注其AI来源；第二，建立AI服务提供者的安全评估义务，要求其在提供服务前评估其被用于钓鱼攻击的风险；第三，完善跨境数据流动的监管，防止AI训练数据被用于跨国钓鱼攻击；第四，加强国际法律协调，在AI治理领域建立更加有效的国际合作机制。

然而，立法者必须警惕"技术决定论"的陷阱。AI不是问题的根源，它只是工具。真正的问题在于人的贪婪、恐惧和轻信——这些人性弱点不会因为技术的进步而消失，也不会因为法律的完善而根除。法律可以划定底线，但无法触及灵魂。反钓鱼的终极战场，不在法庭，而在人心。

十、结语——法律是底线，不是天花板

回顾二十年来全球反钓鱼立法的历程，我们可以得出一个审慎的结论：法律是必要的，但不足够的。

CAN-SPAM法案虽然被戏称为"YOU-CAN-SPAM"，但它至少确立了发送者对邮件真实性负责的原则；GDPR虽然合规成本高昂，但它迫使全球企业将数据安全置于战略优先级；中国的《反电信网络诈骗法》虽然实施时间尚短，但它已经展现出"全链条治理"的制度威力。这些法律的共同价值，不在于它们消灭了多少钓鱼攻击，而在于它们为文明社会划定了一条底线：在数字空间中，欺骗不是无代价的。

然而，法律终究是"事后"的工具。它只能在欺骗发生之后进行惩罚和救济，而无法在欺骗发生之前进行预防和教育。真正能够抵御钓鱼攻击的，不是更严厉的法律，而是更清醒的人心——每一个在点击链接前多想一想的人，每一个在转账前多核实一次的人，每一个在接到"公检法"电话时多问一句的人。

中国的反诈实践提供了一个值得深思的视角。2024年，各地公安机关累计见面劝阻674.7万人次——这不是法律的胜利，而是人的胜利。是无数基层民警、社区工作者、志愿者，用脚步丈量街道，用话语温暖人心，在诈骗发生的最后一刻拉住了即将坠落的受害者。法律为他们提供了授权，但真正拯救受害者的，是人与人之间的信任和关怀。

从Burns和Wyden在国会大厦里的辩论，到中国全国人大常委会审议厅里的表决；从欧盟委员会对Meta的巨额罚款，到老挝金三角特区里的联合执法——二十年来，立法者和政策制定者以各自的方式，书写着人类对抗数字欺骗的制度史。他们的努力或许不完美，但不可或缺。因为在一个技术日益复杂的世界里，法律是文明最后的防线，也是人性最后的尊严。

法律是底线，不是天花板。在底线之上，我们还有技术、教育、文化、伦理——以及，最根本的，每一个选择善良而非欺骗、选择信任而非怀疑、选择勇气而非恐惧的人。

"法律必须被信仰，否则它将形同虚设。" —— 伯尔曼《法律与宗教》