Phishing Awareness Assessment · 题库基于行业术语与真实攻击手法编制
从伪造登录页面到 AI 深度伪造视频会议，钓鱼攻击的手法正在快速进化。大多数人高估了自己的识别能力——实测中，高度仿真的钓鱼邮件欺骗率可超过五成。一次三分钟的知识测评，可能是您今年性价比最高的安全投资。
仍是第一大投递渠道，占社会工程攻击的绝对主力（Verizon DBIR 2026：98%的社会工程事件涉及邮件）
AI 拟声技术让"熟人来电"防不胜防，2024年下半年检出量激增逾 4 倍（CrowdStrike 威胁报告）
快递理赔、ETC 失效、积分清零等话术高发，2025 年检出量逐季增长 30%–40%（APWG）
日均约 270 万封携带恶意二维码的邮件，把攻击转移到手机端绕过邮件网关（Mimecast）
提交后将立即显示成绩、安全等级与逐题解析
依据 APWG 趋势报告与 CNNIC 反网络钓鱼工作组处置实践归纳。点击卡片可展开"典型特征"与"防范要点"。
针对特定个人或组织"量身定制"的定向攻击，利用公开信息提升可信度。
称呼您的真实姓名与职务；引用您近期真实的会议、项目或社交动态；发件域名与正规域名仅一两个字符之差；常配合盗用的同事账号发送。
涉及转账、改账号、发资料等请求，务必通过原有联系方式二次核实，绝不仅依赖邮件或聊天工具确认。
专门瞄准企业高管、财务负责人等高价值目标的"大鱼"定向攻击。
伪造董事长、CEO 口吻下达"机密""紧急"指令；常避开正式审批流程，要求财务人员直接付款；近期已出现 AI 伪造高管视频会议指挥转账的复合型攻击。
建立"大额转账双人复核 + 电话回拨"刚性制度；对绕过流程的"领导指令"默认存疑，当面或视频核实身份。
冒充合作伙伴、供应商或老板，诱骗修改收款账户或发起转账，单笔损失可达数百万。
称"公司账户年检""账号变更"要求更新打款信息；伪造与供应商高度相似的域名；邮件线程中"突然插入"的改账请求；强调保密、催促尽快处理。
FBI IC3 统计 2025 年 BEC 损失超 30 亿美元。任何收款账户变更必须经合同约定渠道独立核实，不可凭邮件单方面生效。
通过改号软件与 AI 拟声伪造公检法、银行、客服等身份，以电话实施欺诈。
来电显示为官方号码但内容要求转账、"屏幕共享"；以"涉案""账户异常"制造恐慌；拒绝让您挂断后自行回拨官方热线核实。
公检法机关不存在所谓"安全账户"，绝不会电话要求转账。挂断后拨打官方公开电话独立核实，是破解改号与拟声的唯一可靠方式。
以快递理赔、ETC 失效、积分清零等话术发送含恶意链接的短信。
链接为短网址或仿冒官方域名（如 10086-xyz.com）；制造"今日截止""逾期停用"的紧迫感；内容与您近期的真实行为（网购、出行）高度巧合。
2025 年短信渠道欺诈检出量逐季增长 30%–40%（APWG）。不点短信内链接，通过官方 App 或官网自行查询办理。
将恶意链接编码进二维码，借停车缴费、点餐、对账等场景诱导扫码。
把攻击引导至手机端，绕过企业邮件网关与终端防护；单季曾检出 71.6 万个恶意二维码（Mimecast）；常见"扫码对账""扫码领补贴"话术。
扫码后先核对落地页域名再操作；缴费认准官方小程序；对覆盖在正规码上的"加层码"要揭层检查。
预先入侵目标群体经常访问的网站，在"可信水源"中投毒，伺机感染访客。
行业垂直论坛、地方政务网站、企业供应商门户被植入恶意代码；访问即触发漏洞利用，无需任何点击操作。
保持浏览器与插件及时更新；高权限操作使用独立设备或虚拟机；对非常用站点访问保持终端防护开启。
复制一封真实的合法邮件，替换其中的链接或附件后再次发送给原收件人。
与您近期收过的真实邮件几乎一模一样，仅称"原附件失效请重新下载""链接更新请重新登录"；附件图标伪装成 PDF，实为可执行程序。
对"重复发送""版本更新"类邮件保持警觉；悬停预览链接真实地址；附件先用杀毒引擎扫描再打开。
注：上述分类依据 GB/T 25069-2022《信息安全技术 术语》及行业通行定义整理；攻击手法常多阶段组合使用，实际研判需综合域名、行为与上下文证据链。
以下数据均来自 APWG、FBI IC3、Verizon DBIR 等权威年度报告，帮助您建立对威胁规模的真实认知。
数据来源：APWG《Phishing Activity Trends Report》（2025 Q4 / 2026 Q1）；FBI IC3《Internet Crime Report 2025》；Verizon《Data Breach Investigations Report 2026》。统计口径以各报告原文为准。
钓鱼话术的底层逻辑是"制造紧迫感 + 伪装权威 + 要求秘密行动"。识破话术，就是拆解它的权力幻觉。
"您名下的账户涉嫌异常交易，请于 2 小时内点击链接配合核验，否则将永久冻结。"
正规金融机构不会通过链接索取密码、验证码，更不会设"倒计时"逼您操作。任何"不点就封"都是施压话术，直接挂断/删除，走官方 App 核实。
"我是公安局的，您涉嫌洗钱，需要把钱转到'安全账户'配合调查，案件保密不能告诉家人。"
我国公检法机关办案不存在"安全账户"，绝不要求转账自证清白。"保密不能告诉任何人"是切断您求证的典型手法，可直接判定为诈骗。
"王总：我在开会不方便接电话，有个急款今天必须付，你先安排，手续后补。"
冒充领导的"紧急转账"是 BEC 欺诈核心剧本。越是"不方便核实"，越要当面或原号码回拨确认；企业应执行大额转账双人复核制度。
"您的快递丢失可双倍理赔，请点击链接填写银行卡号与验证码，赔款马上到账。"
理赔从不需要您提供验证码——验证码等于"付款授权"。凡是主动提出"多倍赔偿"并索要卡号、验证码的，100% 是诈骗。
"您的 ETC / 社保卡 / 营业执照即将停用，请今日内登录 xx-verify 网站完成认证。"
ETC、社保等业务均有官方 App 与线下渠道，从不用陌生短信链接办理。此类"停用倒计时"话术高度模板化，是短信钓鱼第一大类。
"扫码进群领福利 / 扫码对账开发票 / 扫码免费领取家电，先到先得。"
免费的永远是最贵的。扫码后要么是诱导填写个人信息的表单，要么是木马下载页。对"扫码有礼"一律执行：不扫、不信、不转发。
绝大多数钓鱼攻击在您"停 5 秒、核一处"时就会破绽百出。把下面三步练成本能。
以下案例均基于公安机关与权威媒体公开通报的真实案件类型化改写，用于安全意识教育。
某公司财务人员被拉入一场"线上视频会议"，画面中多位"公司领导"集体露面，指令其向"合作方保证金账户"紧急转账。会后财务方知，整个会议室除自己外全员均为 AI 深度伪造。同类手法下，已有企业单笔损失高达数千万元。
警示：眼见不再为实。涉及资金操作的会议指令，必须通过原有通讯录电话逐一回拨确认。
受害人临行前接到"航空公司客服"来电，称航班因机械故障取消，可理赔 300 元，诱导其点击链接下载"官方理赔 App"并开启屏幕共享。所谓"客服"通过共享屏幕实时读取银行验证码，分多笔转走卡内资金。多地警方通报此类单案损失最高达数十万元。
警示：改签退票只认航空公司官方渠道；屏幕共享等于把钱包交给对方。
受害人收到"运营商积分即将清零"短信，点击后进入高度仿真的"官方商城"，以"积分+小额补差"兑换商品为名，骗取银行卡号、有效期与 CVV2 码，随后卡内资金在境外被盗刷。黑猫投诉平台此类投诉累计数千条。
警示：CVV2 码等同于卡片"后三码命门"，任何兑换场景都不需要它；积分查询请走官方 App。
测评只是起点。学院提供从理论到实战的完整反钓学习链路，建议您按以下路径系统提升。