01 · 钓鱼攻击规模与季度趋势
APWG逐季统计显示，2024年钓鱼攻击量呈"上半年回落、下半年回升"的走势：Q1约96.4万起、Q2约87.8万起、Q3约93.3万起、Q4约98.9万起，全年合计约376万起。月均攻击量维持在29万—37万起区间。作为对比，APWG观测到2023年全年近500万起、创历史记录，2024年虽较2023年峰值回落，但仍处高位。
统计口径提醒：APWG统计的是"被举报并进入其eCrime Exchange的钓鱼攻击"，受邮件服务商拦截策略、用户举报便利性影响，会系统性低估真实总量；部分主流邮件服务商限制用户转发钓鱼邮件，亦会影响举报流入。因此APWG数据更适合看"趋势与结构"，而非作为绝对总量定论。
02 · 攻击载体演化
钓鱼的"投递载体"正快速多元化，对单纯依赖邮件网关的防御提出挑战：
- 短信钓鱼（Smishing）激增：APWG Q3 2024报告显示，短信钓鱼较Q2增长超过22%，且出现"冒充美国收费公路运营商（EZPass/FastTrak等）催缴通行费"的大规模短信钓鱼活动，借助可快速搭建仿冒站的钓鱼工具包规模化扩散。
- 语音钓鱼（Vishing）上升：同期语音钓鱼较Q2增长超过28%，攻击者直接用电话套取凭证与个人信息，绕过邮件过滤。
- 子域托管式钓鱼：Interisle数据显示，基于blogspot、duckdns、weebly等免费子域服务的钓鱼一年内增长51%至45万个以上，占全部钓鱼攻击的24%——攻击者为规避"注册域名"环节，转而借用可信父域的子域。
- IPFS 去中心化托管：基于星际文件系统（IPFS）经Web2网关（dweb.link、ipfs.io等）托管的钓鱼内容增长约1300%至约1.9万个，利用去中心化存储提高下架难度。
治理含义：当攻击"不自己注册域名"而改用子域或IPFS时，治理重心从"域名注册商"前移到"子域/托管/网关服务提供者"。这正是Interisle建议建立"Trusted Reporter"快速暂停机制、并对子域服务施加注册上限与验证的原因（详见第7页）。
03 · 二维码钓鱼（Quishing）：跨媒介的新入口
二维码钓鱼（Quishing，QR Phishing）将恶意链接编码进 QR 码，经电子邮件附件、停车缴费单、快递取件通知、餐桌海报等载体投递。其威胁性在于双重绕过：一是邮件安全网关对图片/附件内 QR 码的解析能力弱于对明文 URL 的过滤；二是扫码后多跳转至手机浏览器，移动端地址栏可见性低、用户域名核验意愿更弱。
APWG 报告已将其列为明确的演化方向：其成员 Mimecast 在 2025 年第二季度单季检出 635,672 个独立恶意 QR 码，在覆盖 2024 年第四季度至 2025 年第一季度的六个月期间累计检出超过 170 万个独立恶意 QR 码。在域名治理视角下，Quishing 不改变"域名仍是落地页入口"的本质，但将发现难度从"读链接"前移到"解析图像"。
防御要点：邮件网关部署 QR 码拆解与重扫描能力；移动终端对短链与陌生域名跳转强提示；组织层面将"扫码前核对域名"纳入安全意识培训——这恰是域名素养教育（地址栏核验、Punycode 识别）的直接应用场景。
04 · 诈骗手法态势
钓鱼页面是诈骗的入口，常见诈骗手法在域名滥用层面表现为"仿冒+话术+支付跳转"的组合：
| 手法 | 域名/站点特征 | 典型话术 |
|---|---|---|
| 虚假投资理财 | 仿冒知名金融机构/交易所域名 | "高收益、稳赚、充值返利"诱导转账 |
| 冒充公检法 | 仿冒公安/法院/税务/社保站点 | "涉嫌案件、配合资金核查、安全账户" |
| 快递/通行费 | 仿冒 EZPass/FastTrak 等 toll 站点 | "欠费催缴、点击链接支付否则扣分" |
| BEC 商业邮件入侵 | 仿冒企业域名的邮件发件域 | 伪造 invoice、冒充高管/供应商要求付款 |
| 账号接管型 | 仿冒登录页窃取会话Cookie | "账号异常、重新登录验证" |
说明：上表"话术"为公开反钓鱼科普中常见的社会工程套路归纳，用于说明手法结构；具体案例以APWG/反诈骗主管部门公开通报为准。
05 · 恶意C2与基础设施域名
除面向受害者的钓鱼/诈骗域名外，域名滥用还包括支撑恶意软件与僵尸网络的命令与控制（C2）域名：恶意样本通过域名回连控制服务器，域名在此承担"指挥信道"角色。这类域名通常具备短生命周期、快速更换、与恶意软件家族强绑定的特征，是威胁情报（IOC）的重要组成。
- DGA（域名生成算法）：恶意软件按种子周期性生成大量候选C2域名，增加封锁难度；防御方通过逆向DGA模型预测并 preemptive 注册/封堵。
- Fast-flux：将同一域名快速轮换解析到大量被控主机IP，隐藏真实C2位置、提升韧性。
- 处置衔接：C2域名多通过威胁情报共享（如STIX/TAXII）、Spamhaus等黑名单与注册商/托管商协同下架处置，与钓鱼域名处置共用"发现—判定—处置"链路（第7页）。
06 · 中文互联网语境下的钓鱼诈骗
在中文互联网语境下，仿冒对象高度集中于金融、政务、电商与大型互联网平台，且强社会工程属性明显：冒充公检法、税务机关、快递物流、银行客服的钓鱼短信/电话高发；《反电信网络诈骗法》（2022年12月1日施行）为涉诈域名的快速下架与溯源提供了法律依据，域名投诉举报处理平台（tsi.cnnic.cn）与12321/12377等举报渠道构成多层协同处置入口。
态势研判小结：钓鱼诈骗的"入口在域名、兑现在支付、放大在生成式AI"。本页揭示的载体多元化（短信/语音/子域/IPFS）与手法社会化（冒充公检法/快递），是第5页（新gTLD/IDN）、第6页（基础设施集中度）、第7页（协同处置）与第8页（AI增强型滥用趋势）的直接前因。
本节参考来源（第4页）
以下均为真实可查的权威来源；具体数值以原始出处最新版本为准。
APWG Phishing Activity Trends Report 2024（Q1–Q4，含smishing +22%、vishing +28%）：apwg.org/trendsreports
APWG Q3 2024 报告（载体演化、toll road smishing、BEC）：apwg.org Q3 2024
Interisle Phishing Landscape 2024（子域+51%/24%、IPFS +1300%）：interisle.net
《中华人民共和国反电信网络诈骗法》（2022-12-01施行）：工信部 / 人大官网
APWG Phishing Activity Trends Report Q2 2025（Mimecast：Q2 2025 检出 635,672 个独立恶意 QR 码，六个月累计超 170 万个）：apwg.org Q2 2025 PDF