2026年第一季度电子邮件钓鱼攻击达83亿次，微软称网络攻击已演变为账户劫持
电子邮件基础的网络攻击正迅速从恶意软件传播转向账户劫持。随着利用二维码、验证码（CAPTCHA）和多重认证（MFA）绕过技术的检测规避型攻击急剧增加，企业的安全策略也在从网络保护转向认证和用户账户保护。 根据微软威胁情报在14日发布的《2026年第一季度电子邮件威胁环境分析报告》，今年第一季度检测到的电子邮件钓鱼攻击约达83亿次。尽管攻击规模从1月份的29亿次略微减少至3月份的26亿次，但攻击方式却愈加复杂。 尤其是，所有电子邮件威胁中有78%是基于链接的攻击，而传统的恶意软件传播比例持续下降。恶意负载的比例从1月份的19%降至2、3月份的13%，以凭证盗取为目的的攻击占据了大部分。 最近，攻击者越来越专注于通过盗取登录信息来控制账户，而非安装恶意文件。随着企业工作环境向云和SaaS基础转型，仅凭电子邮件账户和协作工具账户的劫持就能访问内部系统。 报告指出，二维码基础的钓鱼攻击是主要威胁之一。今年第一季度，二维码钓鱼攻击较上季度增长了146%。1月份的攻击约为760万次，3月份增至1870万次，创下近一年来的最高规模。 攻击者通过在电子邮件正文或PDF文件中插入图像形式的二维码，引导用户访问恶意网站。尤其是，企业安全解决方案优化了文本基础URL的检测，攻击者利用这一点诱导用户通过未管理的个人移动设备进行访问。 实际上，二维码攻击的传播方式也在变化。过去以PDF附件为主的攻击方式，最近逐渐增加直接在电子邮件正文中插入二维码的方式。微软表示，截至3月份，电子邮件正文插入型二维码攻击较上月增长了336%。 利用安全认证程序的验证码基础钓鱼攻击也急剧增加。3月份的验证码基础攻击约为1190万次，创下近一年来的最高记录。攻击者诱导用户认为这是正常的认证程序，从而绕过自动检测，诱导用户访问恶意网站或输入登录信息。 多重认证（MFA）绕过攻击也成为主要威胁。一个典型的案例是服务型钓鱼（PhaaS）平台“Tycoon2FA”。该平台利用中间人（AiTM）攻击方式绕过抗钓鱼能力较低的MFA认证。 微软追踪“Tycoon2FA”组织为“Storm-1747”，并在3月份与欧洲刑警及行业合作伙伴合作实施了相关基础设施的封锁措施。此后，相关电子邮件攻击规模减少了约15%，钓鱼页面的可访问性也大幅限制。 然而，攻击者迅速转向基于俄罗斯（.RU）域名的替代基础设施。攻击者从原有的Cloudflare中心结构转向多样化的托管平台。业内人士认为，钓鱼攻击也在向SaaS形式的平台产业结构演变，攻击工具的获取门槛正在迅速降低。 商业电子邮件欺诈（BEC）攻击也持续增加。今年第一季度BEC攻击规模总计1070万次。初始接触的电子邮件中超过80%是诱导建立关系的对话型消息，直接的汇款请求逐渐被信任建立后的金钱要求所取代。 尤其是，工资账户变更请求和礼品卡请求等社会工程学基础的攻击也在持续增加。攻击者利用人类心理和组织信任结构，提升了攻击策略的复杂性。 安全行业预计，电子邮件攻击正从单纯的恶意软件传播转向认证绕过和账户劫持的结构，企业的安全体系也将不可避免地进行重组。仅凭现有的电子邮件安全解决方案已难以应对，用户认证、终端安全、浏览器保护和网络综合应对体系的重要性正在增加。 尤其是，基于密码的认证结构的局限性日益显著，密码无关认证、条件访问政策和基于AI的异常行为检测技术的引入也在迅速扩大。最近，企业加强了对扩展检测与响应（XDR）和综合安全平台的引入，这与这一趋势密切相关。 微软在报告中指出：“作为应对电子邮件威胁的措施，我们建议加强基于微软Defender for Office 365和Exchange Online Protection（EOP）的安全设置，同时进行用户意识培训、链接和附件保护、网络和浏览器基础的阻断政策。”并表示：“此外，通过AI基础的安全解决方案‘微软安全副驾驶’和‘微软Defender XDR’等，正在加强威胁分析和自动响应体系。”※ 本报道经人工智能（AI）系统翻译与编辑。
2026-05-14 17:55:13
