网络钓鱼：研究人员与攻击者之间的猫鼠游戏

世界各地的研究人员设计出能分析数百万封邮件的算法。然而，一封平平无奇、文笔流畅、在恰当时机到达的邮件，仍然可能骗到人。为什么有了这么多技术，一封简单的邮件依然奏效？一起走进这场永不停歇的赛跑。

悖论：我们会识别陷阱……为什么它们依然有效？

场景很简单。一封邮件到了，看起来来自银行、老板、朋友或某个知名服务。它写得无懈可击、可信度高，而且来得正是时候。既然算法能筛查数百万封邮件，这封是怎么漏网的？

部分答案在实际一线，远离实验室：

• 研究人员使用尖端技术，但许多企业和政府机构只能将就着使用老旧的基础设施；
• 有些邮件服务器只做了最低限度的配置；
• 各种检测工具之间并不总是互联互通；
• 最重要的是，必须有人去监控、更新和解读警报。没人看的工具，起不了多大保护作用。

“裸奔”的服务器：不读信的分拣中心

邮件服务器有点像邮局的分拣中心：它会收信、分拣，并转发到正确的地址。但如果没有额外的工具，它认不出一封藏着陷阱的信。它只负责让邮件流转，仅此而已。（邮件的完整旅程见指南一封电子邮件如何从发件人到达收件人。）

这些“分拣中心”名叫 Postfix、Sendmail 或 Exim。为了让它们更聪明，人们给它们配上专门的助手：

• Amavis 扮演调度员：把每封邮件送去过一遍杀毒软件和反垃圾邮件过滤器；
• SpamAssassin 或 Rspamd 根据数百条线索给邮件打一个可疑分数：内容、链接、发送服务器的信誉、SPF、DKIM 和 DMARC 的结果……

没有这些助手，也没有人去调校它们，服务器就一直处于“裸奔”状态：交给它什么，它就投递什么。

研究人员打造数字侦探

从问题转向解决方案。在实验室里，检测技术已经发生了很大变化：不再只是寻找违禁词。

1. AI 学会读懂言外之意

过去的问题是：“邮件里有没有钱这个字？”如今，借助自然语言处理（NLP）和人工智能，问题更像是侦探会问的：

• 这个人为什么这样写？
• 他为什么要求做这件事，而且偏偏是现在？
• 这封邮件符合真正发件人的习惯吗？

检测器不再只看字词，而是看上下文：语气、紧迫感，以及与以往邮件是否一致。

2. 发现异常行为

某位员工从不发起转账请求。突然，凌晨 3:17，他的账户发出了一个紧急请求，登录地点还在地球另一端。只是个小故障……还是有人刚刚接管了这个账户？

这就是行为分析：系统先学习某个人或某项服务的“正常”状态，然后标记出偏离常态的情况。好处非常大：即使一封写得完美的邮件，也可能暴露出异常行为。

3. 让机器替我们点击

某个链接看起来完全正常？绝不能让人去冒这个险。由一台机器在隔离环境，也就是沙箱（sandbox）中打开它，并观察：

• 经过所有跳转之后，它最终通向哪里？
• 它加载了什么？
• 它是否试图窃取登录凭据？
• 它是否下载了可疑的东西？

攻击者当然也知道这一点：有些人会在陷阱页面前安排一个“门卫”，只让机器人看到无害的页面。这种伎俩在指南网络钓鱼：诈骗者如何让邮件成功送达中有详细解释。而 Baitback 会跟踪邮件中链接的跳转并显示每一步，让您无需点击就能看清它们真正通向哪里。

但攻击者明白了：有时只需“黑进”我们的大脑

悖论在于：机器越聪明，攻击就越“像人”。

过滤器很擅长发现可疑链接或带陷阱的附件。但要识别下面这种邮件就难多了：

小王你好，我是你们总监。我正在开会，
不方便打电话。你能在下午 4 点前
把这笔款转出去吗？很急，就靠你了。

这封邮件也许没有病毒、没有链接、没有错别字、没有可疑词语。但它可能造成巨大损失：这就是冒充老板诈骗（又称 CEO 诈骗）的原理。一切都建立在权威、紧迫和保密之上。从技术上看，没有任何东西像是攻击。

AI 对 AI……人对人

研究人员改进检测器，攻击者改进邮件。生成式 AI 更是帮了他们大忙：它能帮助写出更可信、更个性化、毫无错误、贴合每个目标的职业和语言的文字。

因此，研究必须回答一个越来越难的问题：如何识别一次看起来和真实邮件一模一样的攻击？研究思路是综合多种信号，而不是只看一种：文字、发件人的行为、服务器的信誉、链接的去向……以及用户的举报。

那我们能做什么？

检测器靠样本学习。每一封被举报的钓鱼邮件都是一份新样本：它帮助过滤器识别下一波攻击，也让关停发送它的服务器成为可能。举报不是徒劳之举，它是在“喂猫”。

这正是 Baitback 的初衷：粘贴可疑邮件，自动找出发送服务器及其托管商，只需几次点击，就能把一份清晰的举报发到正确的地方。

真正的问题也许并不在于电子邮件

归根结底，电子邮件只是一扇入口。在它背后，有算法、服务器、研究人员、攻击者……更重要的是人。这正是网络安全的特别之处：每当一项技术学会识别一种陷阱，就有人试图发明一种它还不认识的陷阱。

当诡计直接瞄准人时，后果可能相当惊人。指南一条简单的消息如何击倒巨头通过四个真实故事说明了这一点。