安全术语解析——钓鱼家族图谱:钓鱼、鱼叉式钓鱼、鲸钓、BEC、VEC、Quishing

“钓鱼(Phishing)”常被当作一个笼统的用词,但其下的术语各自指涉着意义上截然不同的攻击。理解这个家族的一个有用方式是:目标越窄,载荷就越淡薄,由信任取而代之。

从广泛到精准

• 钓鱼(Phishing) — 最广泛的用词。不分对象、大量撒出的诱饵:假的登录页面、假的物流通知、假的账单。投入的心力少,单一目标的成功率低,但数量极为庞大。
• 鱼叉式钓鱼(Spear Phishing) — 针对性钓鱼攻击。利用真实信息(职位、项目、近期事件),为特定人物或团队量身打造消息,说服力远胜大量撒网的诱饵。
• 鲸钓(Whaling) — 专门瞄准“大鱼”的鱼叉式钓鱼,锁定高层管理者等权限庞大的目标,一次成功就价值不菲。
• BEC(商业邮件诈骗, Business Email Compromise) — 冒充受信任的对象(高层管理者、供应商)以诱导业务行为的诈骗,例如汇款、变更账户信息、购买礼品卡。经常完全没有链接或附件,攻击靠的是语言与权威。
• VEC(供应商邮件诈骗, Vendor Email Compromise) — BEC 中格外尖锐的一个亚种。攻击者从真实供应商真正遭盗用的邮箱,在真实的对话串中发送邮件。由于没有任何东西被伪造,认证会通过。(我们在周报 #4 中讨论过这个主题。)
• Quishing(二维码钓鱼) — 以二维码图片传递链接的钓鱼攻击,绕过 URL 扫描器,并把点击行为转移到个人手机上。(周报 #2。)

值得认识的近亲还有:短信钓鱼(smishing)——通过短信(SMS)进行的钓鱼;语音钓鱼(vishing)——语音钓鱼,如今越来越常使用 AI 克隆的声音。

贯穿整个家族的模式

由上而下读下来,有一个趋势十分清楚:攻击越精准,**技术指标就越少。**大量钓鱼邮件还有恶意链接与可疑附件可以抓。到了 BEC 与 VEC,几乎没有东西可供扫描——只剩下真实对话中,一个看似值得信赖的请求。

这正是检测必须从匹配载荷,转向调查上下文的原因。这个家族中造成最大伤害的成员,恰恰是可供匹配的东西最少的成员。

---

不确定一封可疑邮件属于哪一个分支?把它放进分析控制台,阅读各代理的分析结果。