一封看起来很像公司 IT、财务、银行客服发来的钓鱼邮件，不是随手写几句话就能完成，它是社会工程学、域名仿冒、网页克隆、邮件投递、反垃圾绕过整套流水线的产物；黑灰产的目标不是单纯发一封邮件，而是利用信任、紧迫感，诱骗收信人点击链接交出账号密码，或是打开附件执行恶意代码。普通广撒网钓鱼成本低、精度差；针对企业员工的鱼叉钓鱼，前期情报收集的比重会大幅提高，每一处细节都在降低收件人的警惕，绕过企业邮箱网关、沙箱和反垃圾规则。整套流程分为目标摸底、基础设施准备、邮件诱饵制作、落地陷阱、测试免杀、分批投递、回传窃取数据这几个环节。
第一步：情报摸底，选定目标与说辞
攻击者先用公开渠道搜集信息，企业官网、社交平台、泄露数据库、公开通讯录，拿到一批邮箱、姓名、岗位、近期业务，用来定制话术。
- 广撒钓鱼：大批量邮箱列表，通用主题：账号过期、发票、快递、网盘文件。
- 鱼叉钓鱼：定向给某部门员工，模仿直属领导、财务、运维口吻，带上对方真实姓名、项目名称，可信度大幅上升。
- 鲸钓（高级定向）：瞄准高管，模仿董事会、外部审计、投资人，内容贴合近期真实会议、合同、财报。
然后确定 “借口（前置文本）”：账户异常验证、工资条、合同审批、安全升级、待签署文件、报销回执，核心是制造压力，常用 “24 小时内不操作将冻结账号”“紧急，请今天下班前完成”，压缩收件人冷静核对的时间。
第二步：搭建钓鱼基础设施（最关键的伪装底座）
- 注册形近域名（Typosquatting）
- 搭建钓鱼落地页
- 投递通道
用视觉近似字符替换，比如把 l 换成数字 1、m 写成 rn；在品牌前后增加单词，例如 office-verfiy.com、alipay-secure-notice.com，一眼扫过去很像官方域名。攻击者会提前配置 SPF、DKIM，尽量降低被反垃圾标记的概率。
直接克隆官方登录页面，把提交表单的后端改成自己的接收脚本；用户输入账号密码、验证码，数据会直接保存到攻击者后台。进阶方案使用 Evilginx 这类中间人代理，甚至尝试绕过 MFA 二次验证。
准备干净的 VPS、SMTP 发信中继、批量钓鱼框架（GoPhish 是最常见），避免用个人邮箱直接群发，防止 IP 快速拉黑；每个 campaign 会分配独立追踪链接，记录谁点开、什么时候打开、提交了哪些信息，还会嵌入 1×1 透明追踪像素，判断邮件是否被阅读。
第三步：制作邮件模板，把伪装做到像素级
模板大多直接导出真实官方邮件的 HTML，保留原版 Logo、配色、字体、签名、印章，再替换里面的跳转链接。
- 发件人伪装：显示名称可以写成 “公司信息安全部”，信封地址和显示名分离，很多人只看显示名字，不仔细检查真实邮箱域名。
- 链接伪装：按钮文字写 “前往微软登录”“查看发票”，实际 href 指向仿冒站；也会用短链接、多层 302 跳转、可信域名开放重定向来掩盖真实地址。
- 两种主流陷阱二选一
- 链接型（最多）：点击跳转仿登录页，窃取账号、短信验证码。
- 附件型：伪装成 doc、pdf、压缩包，里面是带宏 Office 文档、HTML Smuggling、ISO、js 文件，打开之后释放木马、远控、勒索程序。
- 个性化变量：框架支持模板变量，自动填充收件人姓名、部门，每一封看起来都像单独发送，不是群发垃圾邮件。
第四步：免杀与内测，绕过邮箱安全网关
正式群发前，攻击者会先拿企业同款邮箱系统做测试。
- 反复调整主题、正文文本、图片比例，规避关键词特征、哈希特征。
- 附件做混淆、加壳，绕过沙箱静态扫描；图片化文字、空白填充、编码变形都是常见手段。
- 小批量试发，观察是否进垃圾箱、是否触发告警；如果被拦截，就更换域名、发信 IP、模板文本，直到能正常抵达收件箱。
第五步：分批投递、追踪、收割数据
不会一次性把全部邮件轰出去，而是分批、限速发送，拉长时间窗口，防止短时间爆发流量被风控识别。
后台看板可以看到：哪些邮件被打开、哪些人点击链接、哪些提交账号密码。一旦拿到凭据，攻击者会立刻登录业务系统，横向渗透内网、导出数据、植入勒索程序，或者把账号打包倒卖。
常见钓鱼邮件对比
- 广撒网：量大、粗糙、主题通用，命中率低；多用于盗社交、网盘账号。
- 鱼叉钓鱼：定向、带真实业务信息，欺骗性强，是企业数据泄露头号来源。
- 附件载荷型：偏重投毒、植入木马，一旦中招，主机控制权直接丢失。
- 链接窃取型：优先拿账号，适合接管邮箱、OA、VPN、云平台。
普通人 / 企业自查要点
- 不要只看发件显示名称，点开详情核对完整邮箱域名。
- 鼠标悬停链接，查看真实地址，不要只看按钮文字。
- 凡是邮件要求在外部网页输入验证码、账号密码，一律高度警惕。
- Office 默认禁用宏；不要打开来源不明的 iso、js、hta 附件。
- 企业侧：开启 DMARC、网关沙箱、链接隔离、异常登录告警，定期全员钓鱼演练。
【相关 FAQ】
问题 1：制作一封钓鱼邮件，鱼叉钓鱼和普通广撒网钓鱼最大差别在哪？
回答 1：普通广撒网钓鱼只拿到邮箱列表，话术通用；鱼叉钓鱼前期会搜集目标姓名、岗位、近期业务，邮件内容高度贴合当事人场景，信任门槛更低，也是企业内网入侵最常用的方式。
问题 2：钓鱼邮件里的仿冒域名是怎么做到看起来和官网几乎一模一样？
回答 2：攻击者使用形近字符替换、在品牌域名前后增加修饰词、利用子域名视觉混淆；很多人快速浏览时只认品牌单词，忽略后缀和隐藏字符，同时攻击者会配置邮件签名和 SPF 来提高可信度。
问题 3：钓鱼邮件的透明像素追踪是什么，它能拿到哪些信息？
回答 3：是一个 1×1 看不见的图片，收件人邮箱加载图片时，服务器会记录打开时间、IP、浏览器；配合专属追踪链接，攻击者就能精准知道谁打开邮件、谁点击陷阱，用来筛选高价值目标继续后续攻击。
问题 4：带宏的附件钓鱼邮件现在还常用吗，为什么？
回答 4：依然在用，只是现在默认宏被 Office 阻止；攻击者会配合话术，诱导用户手动启用宏，一旦启用，恶意脚本就会执行，下载远控木马，适合目标不愿意点击外部链接、警惕链接的场景。
问题 5：企业邮箱网关为什么有时候拦不住精心制作的钓鱼邮件？
回答 5：如果域名干净、IP 无黑历史、邮件 HTML 直接复刻官方样式、文本没有高危关键词、分批低速投递，静态规则很难识别；很多高级钓鱼依靠社会工程学，特征很少，属于 “看起来合法” 的内容，沙箱动态检测和员工意识才是最后防线。
【参考资料】
[2026-08-10]（Phishing Template Guide）Phishing Tackle
[2025-11-14]（网警揭秘钓鱼邮件套路）光明网
[2026-05-19]（GoPhish 钓鱼平台工作原理）Mobile Hacker For Hire
[2026-08]（Microsoft Defender 钓鱼攻击文档）Microsoft Learn
[2024-07-12]（红队钓鱼演练流程）长亭百川云
【免责声明】
本文仅用于安全科普、攻防原理学习，帮助识别和防范钓鱼邮件；制作、发送钓鱼邮件属于违法犯罪行为，会触犯《网络安全法》《刑法》，造成损失需要承担刑事责任；企业如需演练，务必在获得书面授权的红队合规场景下开展。