2026年的钓鱼攻击已经和过去完全不同：AI生成的邮件没有错别字、语气能模仿你公司的行文风格，还会结合短信、即时通讯、伪造浏览器报错页面多渠道配合。有安全分析指出，传统防御依赖的“异常”正在消失——错别字没了、通用称呼没了、发件人也能伪装，单靠“看一眼识破”已经不够。更麻烦的是“ClickFix”这类手法：它不直接骗你点链接，而是诱导你自己动手执行操作，绕过安全软件的拦截。
为什么老办法集体失效
垃圾邮件过滤靠模式匹配，AI每次生成的变体都不一样；安全培训教的“看语法、看称呼”在AI面前全部失效；新注册的域名本身没有信誉记录，黑名单还没来得及收录，攻击已经结束了。防御的假设必须改成“第一次接触就可能成功”，重点放在成功之后能不能拦住。
真正管用的三层防御
第一层是身份：尽可能用抗钓鱼的多因素认证（FIDO2硬件密钥类），而不是只靠短信验证码。第二层是执行层：严格限制来路不明的远程协助软件，浏览器里弹出的“修复”指令一律不要照做。第三层是核实习惯：凡是涉及付款、改银行信息、交账号密码的请求，换一个渠道单独核实，哪怕对方语气再像你的领导。
企业和个人各补哪块短板
企业要补的是流程：付款、改账号这类高风险操作必须有双人复核和线下确认通道，不能只靠邮件说了算。个人要补的是习惯：公开信息越少，被AI用来“量身定制”钓鱼内容的素材就越少；陌生来电、视频里的“熟人”要求转账时，先挂断、再通过已知号码回拨。
写在最后
AI让骗子写得更像真人，也让“眼力”这个防线贬值了。最后真正管用的，永远是那句老话：重要的事，换个渠道再确认一次。
