现代网络钓鱼攻击已全面转向AI驱动

给一个人一套网络钓鱼工具包，他或许能侥幸成功几次；但若让AI来执行钓鱼攻击，整个网络安全格局将随之改变——至少KnowBe4最新发布的钓鱼攻击趋势报告所呈现的数据，正在印证这一判断。

这家专注于网络安全与钓鱼攻击意识培训的机构，于近日发布了第七版《钓鱼威胁趋势报告》。报告显示，网络上大量从事钓鱼攻击的不法分子，正以前所未有的频率和多样化方式借助AI展开攻势。

据KnowBe4威胁研究人员在过去六个月中监测到的数据，近86%的钓鱼攻击活动在某种程度上都使用了AI技术。这一比例在过去两年间呈现出稳步上升的趋势：2024年约有80%的钓鱼活动使用了AI，去年这一比例升至84%，表明越来越多的攻击者正在采纳这项技术以扩大攻击范围。

数字本身已足够令人担忧，但KnowBe4指出，真正棘手的问题在于AI的具体使用方式。经过AI精心撰写、高度个性化的钓鱼邮件固然危险，更值得关注的是，AI正在将攻击前的情报收集与侦察阶段自动化，大幅压缩整个钓鱼流程的时间成本，使攻击者得以将精力分散至多个攻击向量，从而更有效地赢得受害者信任。

报告还指出，虽然未列出各攻击向量在总体钓鱼攻击中的占比，但数据显示：涉及日历邀请的钓鱼攻击增加了49%，通过Microsoft Teams消息冒充IT支持等同事身份以盗取凭证的攻击则增加了41%。

根据报告分析，精心设计的多向量钓鱼攻击通常仍以电子邮件为起点，而AI正在这一环节大幅拓展钓鱼攻击的边界。自动化侦察技术使攻击者能够快速扫描海量信息、提取目标数据，并将其输入AI生成的钓鱼邮件诱饵中。这类多态钓鱼攻击以一套基础模板为核心，对每位受害者进行个性化定制，最终生成极具迷惑性的钓鱼内容。与那些依赖错别字和语法错误来筛选目标的传统钓鱼邮件相比，这类邮件更难被察觉。

报告数据还揭示，电子邮件往往只是现代钓鱼攻击的第一步，日历邀请和恶意Teams消息的激增，通常是攻击链条中的第二阶段。

由于IT团队是最常被钓鱼攻击冒充的群体之一，我们不难想象这样一种场景：受害者先收到一封钓鱼邮件，随后又收到一条来自所谓"帮助台"人员发送的Teams消息，要求其点击链接重置密码，或通过DocuSign签署新政策文件。无论采用哪种方式，攻击者的最终目的都是获取受害者的凭证或远程访问权限。

微软的数据显示，使用AI诱饵的钓鱼活动，其成功率是人工制作的钓鱼攻击的4.5倍。与此同时，美国联邦调查局（FBI）报告显示，去年美国网络犯罪造成的损失达到创纪录的208.7亿美元，其中钓鱼攻击是最常见的投诉类型，而与AI相关的欺诈损失约为8.93亿美元。

Q&A

Q1：KnowBe4报告中AI在钓鱼攻击中的使用比例是多少？

A：根据KnowBe4最新报告，过去六个月内约86%的钓鱼攻击使用了AI技术。这一比例呈逐年上升趋势：2024年为80%，2025年升至84%，最新数据已达86%，说明越来越多的攻击者正在将AI纳入钓鱼攻击的工具库中。

Q2：AI是如何让钓鱼攻击变得更危险的？

A：AI主要通过两种方式提升钓鱼攻击的危险性：一是生成高度个性化、语法正确的钓鱼邮件，使其更难被识别；二是自动化完成攻击前的情报收集和侦察工作，加速整个攻击流程，并支持多向量并行攻击。微软数据显示，AI驱动的钓鱼攻击成功率是人工制作的4.5倍。

Q3：除了电子邮件，钓鱼攻击还会通过哪些渠道发起？

A：根据报告，现代钓鱼攻击已不局限于电子邮件。涉及日历邀请的攻击增加了49%，通过Microsoft Teams消息冒充IT支持人员实施攻击的情况增加了41%。这些方式通常作为攻击链的第二阶段，配合初始钓鱼邮件，诱导受害者点击链接或提交凭证。