每两封企业邮件中就有一封是异常的——这不是危言耸听，而是2025年第三季度的真实数据。10.59亿封正常邮件背后，是8.72亿封垃圾邮件和1.71亿封钓鱼邮件的汹涌暗流。Coremail这份季度报告揭示了一个令人不安的趋势：攻击者的策略正在从"广撒网"转向"精准打击"，而跨境攻击源正在向东南亚快速转移。本文将全景解读Q3企业邮箱安全态势的核心变化。
整体邮件格局：正常与异常的平衡正在倾斜
2025年第三季度，企业邮箱用户共收到正常邮件10.59亿封，环比上涨9.48%，同比上升21.4%。但这一增长并未带来安全状况的改善——正常邮件占比54.64%，而普通垃圾邮件（36.07%）、钓鱼邮件（8.86%）、病毒邮件（0.26%）及被盗账号外发邮件（0.10%）等异常邮件合计占比高达45.36%。正常邮件与异常邮件之间的差距已缩小至不足10个百分点。
垃圾邮件总量为8.72亿封，环比下降10.31%，但境外垃圾邮件占比攀升至64.63%，跨境威胁已成为企业当前邮件安全防护需应对的主要矛盾。钓鱼邮件总量为1.71亿封，环比下降20.45%，但境外钓鱼邮件占比升至70.69%再创新高。两组数据共同指向一个判断：总量下降不等于风险降低，攻击的地域结构正在发生深刻变化。
垃圾邮件态势：境外攻击源的"西退南进"
越南异军突起的多重因素
2025年Q3垃圾邮件境外攻击源TOP10榜单中，越南首次进入即跃居榜首，发信量达2258.1万封。这一变化的深层逻辑有三重：越南第三季度连续发生国家信用中心遭黑客入侵、越南航空用户信息遭窃等重大数据泄露事件，为精准钓鱼提供了丰富的个人信息素材；越南邮件安全防护体系相对薄弱，黑产运营成本低廉；东南亚地区网络基础设施的快速发展降低了攻击的技术门槛。
美国（1569.0万封）与澳大利亚（869.3万封）分列二三位。整体呈现"西退南进"的区域转移特征——传统攻击源如俄罗斯影响减弱，东南亚新兴攻击源快速崛起。这一趋势意味着企业需要将威胁情报的覆盖面从传统重点区域扩展至东南亚。
境内攻击高度集中
国内垃圾邮件攻击来源TOP3分别为北京（3520.7万封）、香港（2636.8万封）、广东（2218.0万封）。香港攻击量增幅显著，其作为跨境攻击跳板的作用持续升级——这一现象与香港作为国际网络枢纽的地位密切相关，攻击者利用香港的跨境带宽优势和服务器资源，将攻击流量伪装为正常跨境业务通信。
从行业分布来看，教育行业类域名接收垃圾邮件40956.7万封，远超其他行业（4117.4万封）和IT互联网（872.5万封）。教育行业已成为垃圾邮件的"重灾区"，其开放式邮箱注册机制和海量师生用户群体，使其天然成为攻击者的重点目标。
钓鱼邮件态势：跨境威胁的结构性升级
境外占比70.69%的创新高
2025年第三季度钓鱼邮件总量为1.71亿封，环比下降20.45%。但境外钓鱼邮件占比升至70.69%，再创历史新高。国内钓鱼邮件发信源高度集中，香港以2738.7万封断层领先，数量远超台湾（76.0万封）与浙江（68.4万封）。攻击者对香港地区服务器的利用显著增加，这一跳板效应在钓鱼邮件领域比垃圾邮件更为突出。
境外发信源中，越南以2248.7万封邮件量断层领先，再次印证东南亚攻击力量的崛起。与垃圾邮件类似，钓鱼邮件攻击源同样呈现"西退南进"特征。建议企业将越南等高风险地区的IP与域名列入重点监控名单，并通过持续更新邮件检测规则、订阅实时威胁情报，实现防护策略与攻击趋势的动态同步。
教育行业的双重困境
2025年Q3，教育行业仍是钓鱼攻击的首要目标，接收量达2733.7万封。但更为严峻的是，制造业、服务业等行业面临双重风险——不仅是主要被攻击目标，更是最大的钓鱼邮件发送源。这一现象表明，攻击者正在利用其他行业的账号作为跳板向教育行业发起攻击，行业间的攻防边界正在模糊化。
钓鱼邮件主题榜TOP10显示，攻击者常冒充系统登录提醒（"账户异常登录"612.5万封）、账户安全警告（"关于EasyConnect更新通知"235.3万封）及内部通知（"关于2025年个人绩效及育儿补贴通知"179.4万封），通过制造紧急感诱导用户泄露凭证。部分主题故意使用错别字（如"录登""证验"）以规避关键词检测。
域内安全：成效显著但威胁升级
81%降幅背后的协同效应
2025年第三季度，域内钓鱼邮件数量环比锐减81%，仅3.57万封；被盗账号数也大幅下降72%，不足五百个。域内钓鱼邮件的占比从0.09%降至0.02%，降幅达76%。这一显著改善的核心驱动因素是企业普遍强化域内安全管控、部署邮件安全网关等措施。
但域内钓鱼邮件的本质威胁并未改变——其"高仿度高、渗透深、危害大"的特征依然存在。域内钓鱼邮件主题高度聚焦于内部福利与行政事务，如"关于发放《2025年夏季防暑降温津贴》的决定"（1002封）、"2025年8月份行政通知"（571封）、"星阅：2025年8月餐费补贴发放通知"（435封）等。新增"教育邮箱伪装""百度搜索报错"等行业化精准攻击场景，利用员工对内部通知的信任实施伪装。
域内防护的双轮驱动
针对域内威胁的持续演变，建议从技术与管理两个层面协同发力。技术上，针对行业化主题部署定制化检测规则，拦截仿冒内部福利通知、教育邮箱伪装类邮件，同时监测"单账号高频发信""跨部门群发陌生附件"等异常行为。管理上，强化员工对"内部通知"的验真意识，明确要求对各类"内部通知"必须通过企业OA系统等官方渠道进行二次确认。
暴力破解：精准打击取代广撒网
2025年第三季度，暴力破解攻击总量和成功次数环比均下降超20%，延续了Q2以来的下降趋势。这表明"广撒网"式攻击正在收敛。然而，估算的成功率（约0.14%）在两个季度间基本保持不变。这一数据组合指向一个关键判断：攻击者将资源集中于防护薄弱目标，攻击策略更精准。
教育行业、制造业、服务业等行业的高危账号合计占比超86%，是邮件安全防护的薄弱环节。这些行业需要重点布防，建议启用"MFA+弱口令拦截"管控，优化暴力破解防御体系。高危账号与被攻击账号的行业分布高度重叠，进一步印证了攻击者的精准打击策略。
| | | | |
