10封钓鱼邮件中超过7封来自境外——2025年第三季度，这个比例首次突破了70%的心理关口。越南以2248.7万封邮件量跃居境外钓鱼攻击源榜首，香港则以2738.7万封在国内断层领先。Coremail这份季度报告揭示了钓鱼邮件攻击的地域格局正在被重塑。本文将深度解读境外钓鱼邮件占比持续攀升背后的攻击链重构与行业影响。
钓鱼邮件整体态势：总量下降但结构恶化
2025年第三季度，钓鱼邮件总量为1.71亿封，环比下降20.45%，同比下降1.95%。但这一总量下降并未带来安全状况的改善——境外钓鱼邮件占比升至70.69%，再创历史新高。国内钓鱼邮件发信源高度集中，香港以2738.7万封居首，数量远超台湾（76.0万封）与浙江（68.4万封）。攻击者对香港地区服务器的利用显著增加，香港作为跨境攻击跳板的作用在钓鱼邮件领域持续升级。
这一"总量降、境外升"的结构性变化意味着：企业面临的钓鱼威胁正在从分散的国内攻击向集中化的跨境攻击转移。跨境攻击的识别和拦截难度远高于国内攻击——跨境IP追踪困难、域名切换频繁、攻击时差导致响应延迟，这些因素共同推高了防御成本。
境外攻击源的结构性变化
越南断层领先的深层逻辑
境外发信源中，越南以2248.7万封邮件量断层领先，东南亚攻击力量崛起，而俄罗斯、美国等传统攻击源影响减弱，整体呈现"西退南进"特征。这一变化的驱动因素有三重：越南第三季度连续发生国家信用中心遭黑客入侵、越南航空用户信息遭窃等重大数据泄露事件，为精准钓鱼提供了丰富的个人信息素材；越南邮件安全防护体系相对薄弱，黑产运营成本低廉；东南亚地区网络基础设施的快速发展降低了攻击的技术门槛。
这一区域转移趋势意味着企业需要将威胁情报的覆盖面从传统重点区域扩展至东南亚新兴攻击源。建议企业将越南等高风险地区的IP与域名列入重点监控名单，并通过持续更新邮件检测规则、订阅实时威胁情报，实现防护策略与攻击趋势的动态同步。
香港跳板效应的持续升级
国内钓鱼邮件发信源中，香港以2738.7万封断层领先，数量超过第二位台湾（76.0万封）的36倍。这一极端集中度的背后是香港作为国际网络枢纽的双重属性——既是正常的跨境通信节点，也被攻击者利用为攻击跳板。攻击者利用香港的跨境带宽优势和服务器资源，将攻击流量伪装为正常跨境业务通信，大幅增加了检测难度。
行业分布与攻击手法演进
教育行业的双重困境
2025年Q3，教育行业仍是钓鱼攻击的首要目标，接收量达2733.7万封。但更为严峻的是，制造业、服务业等行业面临双重风险——不仅是主要被攻击目标，更是最大的钓鱼邮件发送源。这一现象表明，攻击者正在利用其他行业的账号作为跳板向教育行业发起攻击，行业间的攻防边界正在模糊化。
钓鱼邮件主题榜TOP10显示，攻击者常冒充系统登录提醒（"账户异常登录"612.5万封）、账户安全警告（"关于EasyConnect更新通知"235.3万封）及内部通知（"关于2025年个人绩效及育儿补贴通知"179.4万封），通过制造紧急感诱导用户泄露凭证。部分主题故意使用错别字（如"录登""证验"）以规避关键词检测。
| | | 域内钓鱼邮件：锐减81%但威胁本质未变
2025年第三季度，域内钓鱼邮件数量环比锐减81%，仅3.57万封；被盗账号数也大幅下降72%，不足五百个。域内钓鱼邮件的占比从0.09%降至0.02%，降幅达76%。这一显著改善的核心驱动因素是企业普遍强化域内安全管控、部署邮件安全网关等措施。
但域内钓鱼邮件的本质威胁并未改变——其"高仿度高、渗透深、危害大"的特征依然存在。域内钓鱼邮件主题高度聚焦于内部福利与行政事务，新增"教育邮箱伪装""百度搜索报错"等行业化精准攻击场景，利用员工对内部通知的信任实施伪装。针对域内威胁的持续演变，建议从技术与管理两个层面协同发力，技术上针对行业化主题部署定制化检测规则，管理上强化员工对"内部通知"的验真意识。
