邮件威胁态势：2026 年第三季度趋势与洞察

来源机构：Microsoft Threat Intelligence　|　原文：Email threat landscape: Q3 2026 trends and insights　|　原文发布：2026-11-05　|　页面性质：中文翻译与摘录（非原创综述）

第二季度回顾

Microsoft 在 2026 年第二季度观察到邮件威胁持续演变，并给出 1 月至 9 月的检测量趋势图。文章指出，发件人身份（sender identity）与安全例外（security overrides）策略会显著影响检测之后的实际威胁结果——一封已被检测为恶意的邮件，若被租户级或用户级的安全例外放行，仍会抵达用户收件箱。

TYCOON2FA 钓鱼即服务平台的持续瓦解

3 月对 Tycoon2FA（钓鱼即服务，PhaaS）平台的破坏行动持续显效。与 2 月约 890 万封的关联钓鱼邮件相比，7 月降至约 2.1 万封，降幅达 99.8%。

冒充发件人域名

Q3 Microsoft 检测到约 1.29 亿封冒充合法商业服务域名的恶意邮件。9 月，其中 63% 因租户级或用户级安全例外（overrides）覆盖而绕过了认证检查，暴露出过于宽泛的例外策略削弱防护的风险。被冒充最多的服务包括 DocuSign（占 9 月冒充量的 29%）、Adobe、SurveyMonkey、Barracuda 等真实商业服务品牌。

二维码钓鱼攻击

Q3 二维码钓鱼攻击量降至 1210 万次，较 Q2 下降 67%，较 3 月峰值下降 86%。PDF 仍是主流载体（7–8 月占 78%，9 月降至 61%），DOC 载体从 14% 升至 20%，邮件正文直接嵌入二维码的占比从 5% 升至 12%。

CAPTCHA 门控钓鱼战术

CAPTCHA 门控钓鱼在 9 月反弹至 310 万次（约为 7 月低点的两倍）。SVG 附件在 8 月激增六倍成为主导交付方式，终结了此前数月的下降趋势。SVG 文件内嵌 CAPTCHA 挑战以拖延自动化分析，使防御工具更难在投递前抽取恶意内容。

恶意载荷

Q3 中 94%–96% 的载荷攻击以凭证窃取（credential theft）为目标，而非恶意软件安装。HTML 与 PDF 合计占 56%–62%；SVG 文件在 8 月达到 1010 万份峰值后于 9 月回落。

商业联系人冒充

商业联系人冒充（BCI）攻击 Q3 总量降至约 620 万次。通用外联话术占 79%–82%，但发票付款等明确的财务请求占比逆势上升——9 月环比增长 89%。

Microsoft Teams 威胁

Q3 观察到约 14.1 万次恶意 Teams 呼叫尝试。攻击者改用普通个人姓名作显示名（9 月达 88%，而冒充帮助台的显示名从 17% 降至 2%），利用实时语音与屏幕共享进行社工钓鱼。

值得注意的钓鱼战役

薪资审查诱饵投递个性化二维码附件，针对法律组织实施设备码凭证窃取

8 月 19 日战役借伪造 Word 文档中的二维码将用户导向 splace[.]co[.]za 仿冒 OneDrive 页面，展示从微软设备认证服务预取的代码，诱导用户在 microsoft.com/devicelogin 输入，从而无声获取有效的 Microsoft 365 会话令牌（设备码钓鱼，device code phishing），精准针对 4800+ 法律组织，影响超过 1 万用户。

西班牙语采购单与工资单战役投递 Agent Tesla 木马

9 月 21 日战役经通过 SPF/DKIM/DMARC 认证的 carloxmextos[.]org 发送 RAR 伪装附件（.uu/.001 双扩展名）。采购单诱饵解压得 .js 下载器，从 Firebase Storage 拉取 Lincoln.ps1 后投递 Agent Tesla 信息窃取木马；工资单诱饵解压得 .xml.exe 直接执行 Agent Tesla。显示名伪装为收件方 HR/销售，发送基础设施经 Amazon Simple Email Service 从 smtp@wekash[.]net 发出，影响超过 5.6 万用户、8100 组织（哥伦比亚 15%、美国 12%、墨西哥 12%）。

防御邮件与协作威胁

文章给出分层防御建议：用户培训、Safe Links / Safe Attachments、Zero-hour Auto Purge（ZAP）、network protection、无密码（passwordless）MFA、automatic attack disruption，以及 Microsoft Defender XDR 高级狩猎查询。文章提供针对两起战役发件人地址（smtp@wekash.net 与 contacto06@carloxmextos.org）的 EmailEvents KQL 查询示例，并列出了相关域名、邮箱、文件名、URL 与 SHA-256 哈希等妥协指标（IOC）。

常见问题（答案均取自上述人类原文章节）

2026 年第三季度整体邮件钓鱼威胁规模如何？

Microsoft 在 7–9 月检测到约 73 亿封邮件钓鱼威胁；9 月接近 30 亿封，较 8 月增长 41%。

二维码钓鱼是否在下降？

是。Q3 二维码钓鱼降至 1210 万次，较 Q2 降 67%，较 3 月峰值降 86%；但 CAPTCHA 门控钓鱼在 9 月反弹至 310 万次，需同时关注。

安全例外（overrides）策略为何危险？

约 1.29 亿封冒充商业服务域名的恶意邮件中，9 月 63% 因租户级或用户级例外覆盖而绕过认证抵达收件箱，过于宽泛的例外会显著削弱防护。

企业应优先部署哪些邮件威胁防御能力？

无密码 MFA、Safe Links / Safe Attachments、ZAP、network protection，以及对异常 Teams 呼叫与设备码钓鱼的监测，并配合 Defender XDR 狩猎查询（KQL）。