钓鱼邮件少了，被盗账号却多了：2026 Q1邮箱安全报告揭示AI”内鬼式”攻击新趋势

这是一组反直觉的数据。

2026年第一季度，企业邮箱收到的钓鱼邮件总量环比下降了30.1%。但同一时期，被盗账号数量非但没有下降，反而逆势上涨了10%。

这意味着什么？

攻击者不再”广撒网”，而是学会了”精准制导”。

Coremail旗下CACTER邮件安全实验室近日发布的《2026年第一季度企业邮箱安全性报告》，揭示了一个正在发生的范式转变：AI正在重塑钓鱼攻击的形态，传统的”垃圾邮件过滤器”正在失效。

2.97亿封钓鱼邮件：数量降了，威胁没降

先看总量。

2026年Q1，企业邮箱共收到钓鱼邮件2.97亿封。虽然环比下降了30.1%，但这个数字仍然高得惊人——平均每天有超过3000万封钓鱼邮件涌向企业邮箱。

这些钓鱼邮件不再是千篇一律的”尼日利亚王子”式诈骗。它们呈现出明显的AI生成特征：

• 内容高度本地化：针对不同企业定制，不再是模板化文本
• 语境自然化：语气、措辞与真实业务场景高度吻合
• 格式标准化：邮件排版、签名档模仿企业官方风格
• 几乎无语法错误：AI生成的文本流畅自然，不再有”机翻感”

报告指出，攻击主题排行榜首位是”启动职级薪资核对手续办理“，仅这一个主题就发送了273.5万封钓鱼邮件。

攻击者利用AI分析不同企业的薪资结构、职级体系，生成针对性极强的邮件。员工收到后，往往以为是HR发来的内部通知，点击链接后账号瞬间被盗。

哪里来的？越南占71.2%

钓鱼邮件的来源也发生了变化。

报告显示，境外来源占比超过七成，跨境攻击特征显著。

境外头号来源地是越南，占比高达71.2%。这意味着，每10封境外钓鱼邮件中，就有7封来自越南。

为什么是越南？

• 成本低：黑产基础设施成熟，攻击成本极低
• 隐蔽性强：跨境攻击难以追溯，本地执法鞭长莫及
• 语言无障碍：AI翻译工具让语言不再是障碍

境内主要来源则集中在香港、广东、上海三地，这些区域企业密集、网络基础设施发达，也更容易成为攻击跳板。

谁最受罪？教育行业占55.6%

从行业分布来看，教育行业是钓鱼邮件的重灾区，占比高达55.6%。

原因不难理解：

1. 账号体系开放：高校师生数量庞大，账号管理松散
2. 安全意识薄弱：学生群体对钓鱼邮件警惕性不足
3. 数据价值高：科研成果、学生信息、教职工数据都是高价值目标
4. IT预算有限：高校安全防护投入往往不如企业

紧随其后的是互联网、金融、制造等行业。

最危险的威胁：AI”内鬼式”攻击

报告中最值得警惕的发现，是“内鬼式”攻击的崛起。

数据很反常：

• 域内钓鱼邮件（攻击者用被盗账号向域内同事发送钓鱼邮件）环比下降了82%
• 但被盗账号数却逆势上涨了10%

为什么攻击量下降，被盗账号反而增加？

答案在于攻击手法的升级。传统的”广撒网”式钓鱼效率越来越低，安全网关的拦截率不断提高。于是攻击者改变了策略：

不再向外发送大量钓鱼邮件，而是用AI分析被盗账号的历史邮件往来，生成模仿员工本人语言风格的钓鱼内容，只在域内精准投放。

攻击场景包括：

• “待办事项处理”——模仿上级语气，要求点击链接查看
• “个税汇算清缴”——伪装财务通知，诱导输入账号密码
• “福利发放通知”——冒充HR，诱导点击钓鱼页面

这种攻击的可怕之处在于：员工看到发件人是同事，往往会直接信任，不再验证。

一封”内鬼”邮件，可能只发给十个人，但成功率和危害远超一万封垃圾钓鱼邮件。

为什么传统防护失效了？

传统的邮件安全网关，主要依赖以下技术：

• 规则匹配：关键词、发件人黑名单
• SPF/DKIM/DMARC验证：校验域名伪造
• URL黑名单：拦截已知恶意链接

但这些技术面对AI生成的”内鬼式”攻击时，几乎全部失效：

报告指出，传统防护手段面临严峻挑战，企业需要升级到”AI认知安全中枢”——用AI对抗AI。

防御建议

1. 部署AI原生邮件安全网关
   从”规则匹配”升级为”语义行为意图识别”，可精准拦截AI生成的高仿真钓鱼邮件

2. 监控账号异常行为
   被盗账号往往会有异常登录、大量外发、异常附件等行为，需实时监控

3. 开展反钓鱼演练
   定期向员工发送模拟钓鱼邮件，统计中招率，针对性培训

4. 封堵高危地区攻击流量
   结合威胁情报，精准封堵越南等攻击策源地的异常SMTP连接

5. 建立”家庭暗号”机制
   在企业内部约定验证方式（如”问一句只有内部人员知道的答案”），避免被AI模仿欺骗

写在最后

2026年Q1的邮箱安全报告，揭示了一个残酷的现实：

钓鱼攻击正在从”数量战”升级为”质量战”。

当AI能模仿员工的语气、风格、甚至思维习惯时，传统的”员工培训”和”安全意识”正在变得杯水车薪。

被盗账号增加10%，意味着企业内部正在潜伏更多”内鬼”。这些账号可能已经在静静地观察、分析、等待下一次攻击时机。

越南成为境外钓鱼攻击头号策源地，意味着跨境黑产正在从”流量生意”升级为”精准服务”。

2.97亿封钓鱼邮件，只是冰山一角。水面之下，AI正在悄悄改写攻防规则。

信息来源

• 2026 Q1邮箱安全预警：被盗账号逆势涨10%，AI”内鬼式”攻击防不胜防 - 搜狐
• 2026年第一季度企业邮箱安全性报告 - Coremail CACTER
• CACTER邮件安全网关产品介绍