钓鱼利用的是你的反应速度，而不是纯技术漏洞。一封带紧迫语气的邮件、一条伪基站短信，目的都是让你在核实前交出凭据或验证码。
渠道与话术
邮件附件宏、伪造发票 PDF、伪装客服的 IM 与「领导催款」社交工程都属于广谱钓鱼。商务邮件妥协（BEC）则会冒充真实域名相近的地址。
识别锚点
- 发件人域名与 Reply-To 是否一致。
- 链接悬停显示的 URL 是否与文字相符。
- 是否索取 OTP、恢复码或远程桌面。
响应流程
不在邮件内点登录；改用官方 App。若已输入密码，立即改密并下线会话。付款指令变更务必用第二条渠道确认。
深度伪造语音
AI 合成老板声音催转账已登上新闻。大额仍要回拨已知座机或当面确认，不听指令就转账。
日历邀请垃圾
自动接受会议邀请会把钓鱼链接塞进日程，手机通知比邮件更醒目。关闭自动添加未知邀请。
附件宏与 OneNote
攻击链利用笔记内嵌脚本绕过邮件网关。陌生附件直接在隔离虚拟机打开，或干脆不打开。
礼物卡话术
「老板让你买苹果卡」是 BEC 经典剧本。公司采购不会通过即时通讯索要卡号密码。
附件二维码
PDF 内含二维码绕过邮件链接扫描。手机扫码前先核对预期收件人是否真发过这份文件。
招聘钓鱼
假猎头索要身份证与银行卡开工资户，实为洗钱。正规流程在背调通过后才收证件，且走加密入职门户。
「税务局」语音电话要立刻回拨官方 12366 核实，勿回电来电显示号码。
快递「到付」
短信称快件需付费扫码实为钓鱼站。正规快递在官方 App 查状态，不扫陌生二维码付款。
奖学金诈骗
准留学生收到「教育部奖学金链接」要求填银行卡，语义官方细节可疑。对照教育局官网名单，不点泛码推送。
高校邮箱「奖学金发放」钓鱼在开学季激增。款项走学校财务系统，不会要求微信扫码付「手续费」。财务窗口电话确认后再操作。
HR 背景调查真机构会用座机来电并给官网验证流程，不会要求 Telegram 传身份证。陌生 IM 自称背调一律先挂。
语音留言自称「顺丰补款」时，用独立 App 查物流单号即可判断。别让紧迫感催促你在嘈杂地铁里输卡号。
企业邮箱外发敏感附件时，改用加密门户链接并电话口头核对一次性口令。
善待好奇：多点一次鼠标悬停检查无害。
伪造「公安」来电称你洗钱时，到就近派出所窗口当面核实。
延伸阅读：网络安全误区。