01 · 威胁态势与数据基线
1.1 全球钓鱼活动规模（APWG口径）
据APWG（国际反钓鱼工作组织）发布的Phishing Activity Trends Report系列报告：2023年各季度检测量维持百万级高位（其中Q2达约128万起，为当时统计以来最大季度总量）；2024年四个季度检测量分别为963,994、877,536、932,923、989,123起；2025年Q1突破100万起（1,003,924起），Q2达1,130,393起，环比增长约13%；2025年下半年有所回落（Q3为892,494起、Q4为853,244起，全年合计约388.0万起，较2024年约376万起小幅上升）。检测量波动与黑产基础设施轮换周期、成员上报覆盖度变化均相关，解读时应结合口径说明。
1.2 攻击目标与手法结构（2025年Q2官方口径）
- 目标行业：2025年Q2针对金融机构的攻击占比约18.3%，居各行业之首；紧随其后的为SaaS与Webmail（约18.2%）——金融凭据与云账号是黑产变现的两条主通道。
- BEC（商务邮件入侵）：2025年Q2 APWG监测到BEC攻击中要求电汇转账的案件平均金额约83,099美元，环比上升约97%（上季度约42,236美元），案件数量环比上升约27%——单笔金额翻倍说明黑产正向"精准大额"演进，共享时效的价值相应放大。
- 二维码钓鱼（Quishing）：据APWG 2025年Q2报告（Mimecast数据），当季检出635,672个唯一恶意二维码，过去半年（2024Q4—2025Q1）累计超170万个；当季涉二维码钓鱼的目标品牌达1,642个，物流商DHL居首（3,543个恶意二维码），微软紧随其后——二维码绕过URL文本检视的特性使其成为绕过传统邮件网关的新通道，钓鱼情报对象模型需覆盖"二维码载体→落地URL"的关联（见第5页§02 O2对象扩展字段）。
- 手法综述：语音钓鱼（Vishing）与短信钓鱼（Smishing）在APWG报告中持续被点名为增长方向，AI生成的钓鱼内容使文本特征检测难度上升——基础设施指标（域名/URL/证书）共享的重要性相对提升，因为基础设施比内容更难快速伪造。BEC变现渠道中礼品卡占比约72%、薪资转移（Payroll Diversion）占11%、加密货币占6%（APWG 2025年Q2报告，Fortra数据）；另据同报告引用FBI IC3数据，BEC在2024年造成美国约28亿美元损失——对比第2页AIS的“指标量幻觉”，金额口径更能反映BEC的真实危害。
1.3 国内攻击面与治理成效
- 攻击面：据CNNIC第56次《中国互联网络发展状况统计报告》（2025年7月发布），截至2025年6月我国网民规模达11.23亿人，互联网普及率79.7%；.CN域名数量2,085万个，域名总数约3,262万个——庞大的网民基数与域名存量构成钓鱼攻击的主要攻击面。
- 治理成效：据公安部2024年5月27日新闻发布会通报，近五年全国公安机关共破获电信网络诈骗案件194.5万起；电信网络诈骗单月立案数同比连续8个月下降，群众损失下降近30%；中缅警务执法合作累计移交5.3万余名中国籍涉诈犯罪嫌疑人（截至2024年11月公安部通报口径，此后仍有移交）。同一发布会披露：2021年以来，国家反诈中心累计下发预警指令6.6亿条，公安机关累计见面劝阻1,844万人次，会同有关部门拦截诈骗电话69.9亿次、短信68.4亿条，处置涉案域名网址1,800万个，紧急拦截涉案资金1.1万亿元——其中“处置涉案域名网址”的规模化实践，正是钓鱼情报跨机构共享价值的直接印证。
- 趋势判断：总量高位运行 + 治理持续加压，意味着钓鱼黑产更依赖快速轮换基础设施（域名、URL、页面模板），"发现时效"与"跨机构复用速度"成为防护的关键变量——这正是共享机制的价值点。
终审修订说明：本页早期版本中"2025年Q1金融机构与支付行业占比约30.9%"等表述无法溯源至APWG官方口径，本次终审已删除，替换为上文经APWG Phishing Activity Trends Report（2025年Q2）核验的18.3%/18.2%与BEC金额数据；后续各页引用本页数据时以此为准。
02 · 八类钓鱼情报对象模型
钓鱼情报不能止于"一个URL"。本课题将可共享的钓鱼情报归纳为八类对象，并给出最小必要字段（与第6页STIX 2.1映射衔接）：
| 情报对象 | 最小必要字段 | 典型消费方 |
|---|---|---|
| O1 仿冒域名 | 域名、注册时间、注册商、解析记录、仿冒目标品牌、截图存证 | 注册局/注册服务机构、DNS服务商、浏览器厂商 |
| O2 钓鱼URL | 完整URL、跳转链、存活状态、首次/末次观测时间、证书指纹（如有）、二维码载体标识（如有） | 浏览器、安全网关、威胁情报平台 |
| O3 钓鱼邮件样本 | 邮件头（发件IP、SPF/DKIM/DMARC结果）、正文、附件哈希、诱导话术分类 | 邮件服务商、企业邮件网关 |
| O4 仿冒APP/小程序 | 包名/名称、签名证书、分发渠道、仿冒对象、样本哈希 | 应用商店、终端安全厂商 |
| O5 黑产基础设施 | C2域名/IP、钓鱼 kit 指纹、页面模板特征、关联团伙标识 | 安全厂商、运营商、执法机关 |
| O6 涉案资金账户 | 收款账号、账户名、开户行（仅向有权机关与合规通道流转） | 银行风控、公安机关（受控流转） |
| O7 受害人侧线索 | 话术剧本、诈骗剧本类型、目标人群特征（去标识化，不含受害人PII） | 反诈宣传、安全意识培训 |
| O8 处置反馈 | 处置动作、处置时间、处置结果（拦截/下架/冻结）、残余风险 | 全体成员（闭环学习） |
设计要点：O6（涉案资金账户）涉及个人信息与侦查敏感性，仅限向有权机关及经认证的金融风控通道流转，不进入普通共享管道；O7必须去标识化后共享。八类对象的边界即合规边界的物化（对KQ-3的场景化回应）。
03 · 九步共享SOP（建议模板）
3.1 角色分工（RACI建议）
| 环节 | 提交成员 | 分析中心 | 秘书处 | 值班专家（P1/P2） |
|---|---|---|---|---|
| ①—④ 采集提交 | R/A | C | — | — |
| ⑤ 机器预检 | — | R/A（系统自动） | — | — |
| ⑥ 专家核验 | C（补料响应） | R/A | — | A（定级） |
| ⑦ 分级分发 | — | R | A（范围与权限） | C |
| ⑧—⑨ 处置反馈 | R/A | C | C（台账） | — |
注：R=执行、A=负责、C=咨询、I=知会；试点期可由一人兼任多角色，但⑥中"核验人"与⑦中"分发审批人"不得为同一人（制衡要求）。
- 时效原则：②③④步对P1/P2级情报设置"分钟级"完成时限，允许"先分发、后补全"（首发快速通报 + 二次富化更新）。
- 首报保护：首个提交有效情报的成员获得独占性贡献分（第3页贡献度模型），鼓励抢时效而非捂情报。
- 失败容忍：初筛误报不扣分（避免成员为求稳而不报），恶意造假才触发除名程序。
- 值班机制：P1/P2级情报实行值班专家7×24响应；非工作时间由" on-call 轮值 + IM群组"兜底，响应时限计入SLA统计。
04 · 分级SLA与时效目标（建议模板）
| 级别 | 判定标准 | 分发时限目标 | 典型动作 |
|---|---|---|---|
| P1 | 仿冒关基单位/大型银行/政务平台，或已在野大规模传播 | 核验后30分钟内全员通报 | 域名暂停解析、全网拦截、监管同步 |
| P2 | 针对成员单位的定向钓鱼活动（活跃中） | 2小时内定向推送受影响成员 | 邮件网关拦截、用户告警 |
| P3 | 新增钓鱼基础设施（域名/kit/模板），尚未定向 | 24小时内批次分发 | 黑名单预置、态势入库 |
| P4 | 历史样本、复盘资料、趋势观察 | 周报/月报节奏汇总 | 情报富化、模型训练、培训案例 |
4.1 升级与超时机制
- 超时升级：核验环节超过SLA一半时限未完成，自动升级至值班负责人；P1超过15分钟未分发即电话告警秘书处负责人。
- 争议降级：成员对定级有异议可申诉，由两名非原判定专家复核；复核期间按原级别执行（宁可过度响应）。
- 定期校准：每月回顾P1—P4判定标准的命中分布，防止"就高定级"导致告警疲劳（P3占比持续超过70%即提示标准过松）。
注：时限为从"平台收到合格提交"到"推送至对应范围成员"的目标值，属建议指标；试点期按实际能力校准。
05 · 与反网络钓鱼工作组机制的映射
公共互联网反网络钓鱼工作组的既有协作（监测→认定→通报→处置）与本课题SOP的对应关系：
| 工作组既有环节 | 对应SOP步骤 | 本课题增强点 |
|---|---|---|
| 成员单位监测上报 | ①②④ | 统一八类对象最小字段与提交接口，减少人工转述损耗 |
| 钓鱼网站认定 | ⑤⑥ | 明确抽检比例、认定时限与争议复核机制，认定结论标准化 |
| 通报与协调处置 | ⑦⑧ | 分级SLA与时限目标，处置动作结构化回执 |
| 反馈闭环 | ⑨ | 处置结果回流、复用统计、贡献度计量，驱动激励模型运转 |
试点定位：第7页 §02的试点实施方案即在此映射基础上设计——不另起炉灶，而是在工作组既有机制上"加字段、加时限、加闭环、加激励"。
06 · 钓鱼场景专属合规要点
- 受害人信息：钓鱼样本中常含受害人姓名、账号、转账凭证等个人信息——共享前按《个人信息保护法》最小必要原则去标识化；确需保留的（如资金账户）走受控通道（O6）。
- 攻击者信息：黑产基础设施情报（O5）一般不含个人信息，但仍需核验是否夹带无关个人数据。
- 法律依据：组织间钓鱼情报共享可援引《网络安全法》第二十九条（信息收集、分析、通报合作支持条款）与《反电信网络诈骗法》的协同处置授权；对外提供涉及个人信息的数据仍需独立合法性基础。
- 留存期限：建议对共享日志与PII筛查记录设置留存期限（如不少于3年），既满足审计需要，也避免无期限囤集个人数据。
- 跨境共享：向境外社区（如APWG）报送钓鱼情报时，仅发送不含境内个人信息的纯基础设施类指标（域名/URL/哈希），并完成出境合规评估（第4页§02.1）。
- 电子证据保全：钓鱼页面截图、邮件原文等应按电子数据取证规范留存原始载体与哈希值，避免处置动作（如下架）导致证据灭失——共享管道中的"存证副本"与"处置副本"应分离管理。
07 · 专项度量指标（对KQ-4的场景化回应）
| 指标 | 定义 | 参考目标（试点期） |
|---|---|---|
| 发现→分发中位时长 | P2级情报从发现到推送的中位时间 | 压至2小时内；P50与P90双口径统计 |
| 钓鱼域名存活时长中位数 | 从首次解析到被处置的时间 | 对比基线持续缩短（处置越快，黑产成本越高） |
| 跨机构复用率 | 被≥2家成员实际用于拦截的情报占比 | 核心指标；显著高于内部消化占比即证明共享价值 |
| 处置回执率 | 成员对分发情报返回处置结果的比例 | 逐季提升，作为成员活跃度观察窗 |
| 误报率 | 经核验不成立的提交占比 | 可控即可，不以压到零为目标（见SOP失败容忍原则） |
| 首报占比 | 独家首报情报占有效情报总数比例 | 适度区间（过低提示蹭报，过高提示其他渠道未覆盖，均需复盘） |
7.1 基线采集方法
- 基线期：试点第1个月为基线采集期，只观测、不考核，避免成员因考核压力改变行为导致基线失真；
- 归因规则：处置效果归因遵循"末次接触"原则——成员单位回执明确记载使用了哪条共享情报，方计入复用；无法归因的不计入（宁缺毋滥）；
- 口径冻结：各指标定义与公式在试点启动前冻结并全员公示，运行期内不修改；确需修改的，自下一季度起生效并保留双口径过渡期。
本节参考来源（第5页）
以下均为真实可查的权威来源，用于支撑本页事实性表述；机制设计类内容为本课题框架建议，已在文中标注。
APWG Phishing Activity Trends Report 系列（季度钓鱼攻击统计：2025Q2检测1,130,393起环比+13%、金融机构占比18.3%居首、SaaS/Webmail 18.2%、BEC电汇均额83,099美元环比+97%、案件数环比+27%；2023Q2约128万起）：apwg.org/trendsreports；2025年Q2报告全文：apwg_trends_report_q2_2025.pdf
二维码钓鱼统计（2025年Q2涉及1,642个品牌、DHL居首；Mimecast当季检出635,672个唯一恶意二维码）：APWG《Phishing Activity Trends Report, 2nd Quarter 2025》第5—7页，docs.apwg.org 原文
CNNIC第56次《中国互联网络发展状况统计报告》（2025年7月21日发布：网民11.23亿、普及率79.7%、.CN域名2,085万个、域名总数约3,262万个）：CNNIC官网（报告下载栏目）；中国日报网发布稿（数据核验）：chinadaily.com.cn
公安部2024年5月27日新闻发布会（近五年破获194.5万起、单月立案同比连续8个月下降、损失下降近30%、国家反诈中心处置涉案域名网址1,800万个等）：人民网报道；中缅移交5.3万余名涉诈嫌疑人（截至2024年11月）：mps.gov.cn通报及地方公安官网转载
公共互联网反网络钓鱼工作组公开资料：fandiao.org.cn；CNNIC：cnnic.cn
OASIS STIX 2.1规范（钓鱼情报对象映射的技术依据，详见第6页）：docs.oasis-open.org/cti/stix/v2.1/os/stix-v2.1-os.html