钓鱼攻击案例最可怕的地方，不是邮件写得多高明，而是它们常常只需要一个人点错一次。FBI 2024 年互联网犯罪报告显示，按投诉数量看，phishing/spoofing 仍是最常见的前三类互联网犯罪之一，全年互联网犯罪报告损失超过 160 亿美元。［1］

这篇不是猎奇榜单。我们用 10 个真实事件拆解：攻击者骗的是什么、为什么能成功、普通人和组织该从哪里补防线。

如果你想先补基础概念，可以先读什么是网络钓鱼？。

你可以把这篇数字隐私保护指南作为更完整的排查清单，顺手检查账号、设备、标识符和数据经纪人暴露面。

关键要点

钓鱼攻击不只针对普通用户，也会击穿公司财务、竞选团队和关键基础设施。

成功钓鱼通常围绕三件事：假身份、紧迫感、假登录页或恶意附件。［2］

邮件语法是否完美已经不能作为主要判断标准，AI 让钓鱼文本更像真人。［2］

最稳的防线是密码管理器、MFA、异常转账复核和不通过邮件链接登录。

什么样的事件算典型钓鱼攻击案例？

典型钓鱼攻击不一定规模最大，但一定能说明一种攻击模式。

攻击模式	常见目标	主要后果
假登录页	邮箱、云盘、社媒账号	凭据泄露、账号接管
商务邮件诈骗	财务、人事、供应商	错误付款、发票欺诈
恶意附件	员工电脑、企业内网	木马、勒索软件、横向移动
社媒诱导	记者、活动人士、名人	私密资料泄露、监控风险

CISA 把钓鱼拆成两个核心目的：窃取登录凭据，或诱导下载恶意软件。［3］后面的 10 个案例基本都能归到这两类。

10 个钓鱼攻击案例给我们什么教训？

1. Google 和 Facebook 供应商冒充诈骗

美国司法部披露，一名攻击者伪装成硬件供应商，向 Google 和 Facebook 发送虚假发票与邮件，骗走超过 1 亿美元。［4］

教训很简单：公司名够大、流程够复杂时，攻击者反而更容易混在真实供应商沟通里。

2. Crelan 银行 CEO 诈骗

比利时 Crelan 银行在 2016 年年报中披露，曾遭遇“假总裁”式欺诈，金额接近 7000 万欧元。［12］攻击者利用“高层授权”的心理压力，让财务流程绕开正常怀疑。

这类攻击的重点不是技术，而是权威感。任何大额转账都应该有邮件外的二次确认。

3. Sony Pictures 入侵

Sony Pictures 事件常被记作大型数据泄露和破坏性攻击，但入口之一被认为与定向钓鱼有关：攻击者针对有系统权限的员工发起诱导。［5］

教训是：被钓鱼的不是“普通员工”，而是拥有关键权限的人。

4. 乌克兰电网攻击

2015 年乌克兰电力公司遭遇网络攻击，约 22.5 万用户断电。美国 CISA 的复盘资料指出，攻击链中包含针对办公网络的钓鱼邮件和恶意文档。［6］

这是钓鱼从“偷账号”升级为“影响现实世界”的代表案例。

5. Colonial Pipeline 勒索事件

Colonial Pipeline 事件让美国东海岸燃油供应受到冲击。公开复盘显示，单个被盗 VPN 账号与缺少 MFA 是重要风险点。［7］

它提醒我们：被盗凭据不一定来自一封新邮件，也可能来自历史泄露和重复密码。

6. Hillary Clinton 竞选团队邮件泄露

2016 年美国总统竞选期间，John Podesta 的 Gmail 账号被钓鱼邮件诱导，邮件内容随后被公开传播。［8］

这类案例最适合普通人警醒：一个“改密码”链接，就可能变成整个邮箱的入口。

7. 名人 iCloud 照片泄露

2014 年多名名人私密照片泄露。美国司法部后续起诉文件显示，攻击者通过钓鱼邮件获取用户名和密码，再进入受害者账号。［9］

这不是云服务“自动泄露”，而是账号凭据被诱骗。

8. 冒充 Apple 支持的名人账号诈骗

美国司法部也曾披露，攻击者冒充 Apple 客服，向运动员和艺人索要账号信息、安全问题答案，并接管账号。［10］

安全问题答案本质上也是密码，不应通过邮件或私信提供。

9. Locky 勒索软件邮件

Locky 勒索软件曾通过假发票、假物流通知和 Office 附件大规模传播；中国香港 HKCERT 当时也把它列为极高风险，并提醒恶意附件可能是宏文档或压缩包。［13］

这类攻击的关键词是“附件”。不认识来源、没预期的附件，不要为了“看一眼”而打开。

10. 活动人士与记者的社交钓鱼

部分针对记者、活动人士的攻击会先建立社交关系，再发送云文档链接或假登录页。Amnesty Tech 曾披露，中东和北非地区的人权工作者、记者遭遇过针对 Google 与 Outlook 账号的复杂钓鱼。［14］

它说明钓鱼不总是粗糙群发，也可能是缓慢、定制、带背景调查的诱导。

为什么这些钓鱼攻击会成功？

不是因为受害者“笨”。

攻击者通常同时压中这些按钮：

时间压力：账号异常、订单失败、领导催款；
身份可信：银行、老板、同事、云服务、客服；
路径逼真：假域名、短链接、相似登录页；
后果吓人：不处理就封号、罚款、错过付款；
权限过大：一个账号能访问邮箱、网盘、财务或内网。

CISA 明确提醒：过去常见的语法错误已经不是可靠信号，AI 时代的钓鱼邮件可能写得很自然。［2］

普通人如何从这些案例里自保？

先把日常动作做硬。

不通过邮件里的链接登录银行、邮箱、云盘。
给邮箱、社媒、支付和云盘开启 MFA。
用密码管理器生成每站不同的长密码。
对“紧急转账”“验证码”“安全问题答案”保持默认怀疑。
看到可疑邮件，先通过官网、App 或已知电话核实。［2］
如果已经点了链接，马上改密码、退出所有设备、检查转发规则。

更多误点后的处理步骤，可以看点了钓鱼链接怎么办？。

公司和团队该补哪几条线？

企业防钓鱼不能只靠“培训大家小心”。

防线	作用
强制 MFA	降低被盗密码直接登录的风险
付款双人复核	拦截 CEO 诈骗和假发票
邮件安全网关	过滤恶意链接、附件和伪造域名
最小权限	减少一个账号被攻破后的影响范围
演练和报告通道	让员工敢上报，而不是怕背锅

CISA、NSA、FBI 和 MS-ISAC 的联合指南也强调，要同时处理凭据盗取和恶意软件投递两类钓鱼路径。［3］

总结

钓鱼攻击案例的共同点，是利用信任突破技术防线。
大型公司、政府团队、名人、普通用户都可能成为目标。
最容易被忽略的是“邮件外复核”：转账、改密、提供验证码前都要换渠道确认。
对个人来说，密码管理器和 MFA 是性价比最高的两步。
对团队来说，最小权限、付款复核和快速上报机制同样关键。

常见问题

钓鱼攻击只发生在邮件里吗？

不是。钓鱼可以发生在短信、社交媒体私信、电话、二维码、搜索广告和假客服聊天里。CISA 也把短信、社媒私信和电话列为常见形式。［2］

为什么大公司也会被钓鱼？

大公司流程多、供应商多、权限层级复杂。攻击者只要找到一个人、一个流程空隙或一个未启用 MFA 的账号，就可能继续扩大影响。

收到可疑邮件应该回复确认吗？

不要直接回复。应通过官网、通讯录里的已知电话、企业内部系统或面对面渠道确认。

MFA 能完全阻止钓鱼吗？

不能完全阻止，但能显著降低密码被偷后的直接登录风险。更稳的是使用更抗钓鱼的认证方式，如硬件安全密钥或 passkey。［11］

点了钓鱼链接但没输入密码，要紧吗？

仍然要小心。链接可能记录设备、IP、浏览器信息，也可能尝试下载恶意文件。建议关闭页面、清理下载项、运行安全扫描，并留意账号异常。

钓鱼邮件语法很正规，还可能是假的吗？

可能。AI 工具让攻击者更容易生成流畅文本，所以不要只靠错别字判断真假。［2］

不能。VPN 主要保护网络连接和 IP 暴露，不能替你判断假登录页。它适合作为隐私和公共 Wi-Fi 防护的一层，但账号安全还要靠 MFA、密码管理器和谨慎核实。

免责声明 本文用于网络安全教育，不构成法律、取证或事故响应意见。若企业已发生入侵，请联系专业安全团队和执法/监管渠道。

本文由 AethoVPN 发布，但 VPN 无法替代处理“钓鱼攻击案例”所需的核验。

来源

［1］FBI Internet Crime Report 2024 ［2］CISA Recognize and Report Phishing ［3］CISA Phishing Guidance ［4］U.S. DOJ Google and Facebook fraud case ［5］FBI Sony Pictures update ［6］CISA Ukraine power grid cyberattack analysis ［7］CISA Colonial Pipeline ransomware advisory ［8］U.S. DOJ GRU indictment ［9］U.S. DOJ celebrity phishing case ［10］U.S. DOJ Apple support impersonation case ［11］NIST SP 800-63B Authentication ［12］Crelan 2016 Annual Report ［13］HKCERT Locky Ransomware Encrypts Victim Data ［14］Amnesty International phishing attacks targeting journalists and activists

Sources checked 2026 年 5 月 8 日。

延伸阅读：

史上最典型的钓鱼攻击案例：10 个真实事件和防范启示（2026）