Sophos 官方数据显示邮件威胁在入侵链中占多大比重？

Sophos 官方博客援引 X-Ops 反威胁部门数据：上一年度的紧急事件响应处置中，钓鱼是 43% 案例的初始访问途径；在 Sophos MDR（托管检测与响应）的调查中，钓鱼在 65% 的案例里扮演了角色。同时 Sophos《2025 State of Ransomware》报告显示，19% 的勒索软件受害组织把恶意邮件列为根因，另有 18% 归因于钓鱼——后者较上一年度的 11% 明显上升。这组数字说明：勒索软件很少独立到达，邮件仍是最主要的送达管道。

Sophos 指出攻击者正在用生成式 AI 提升钓鱼质量：部分威胁行为体自建 GPT 用于批量生成钓鱼邮件与恶意代码。大模型能产出语法正确、且逐个目标变化的文本，这直接削弱了依赖签名与固定特征的内容过滤器。Sophos AI 团队在 2024 年 10 月演示过：结合目标社交资料，可用 AI 编排流程自动化生成一整套定向邮件活动。结论是单靠传统过滤器已不足，需要能同步演进的自适应检测。

Sophos X-Ops 还记录了两类明显的规避趋势。一是二维码钓鱼（quishing）：把恶意 QR 码嵌入邮件或 PDF 附件，诱导用户改用手机摄像头扫码，从而绕开桌面端的 URL 审阅与链接改写。二是 SVG 附件滥用：SVG 是含类 XML 文本指令的图形格式，可内嵌链接或 JavaScript，附件默认在浏览器打开后即跳转到钓鱼工具包站点，常伪装成 DocuSign、Dropbox、SharePoint 文档或语音留言提示。研究还发现近半数被分析的 SVG 仅投递给单一目标，且目标邮箱或姓名被嵌入文件内部，说明其被用于定向攻击。

Sophos 案例中同样值得注意的是社会工程学的形态变化：攻击者转向服务台人员与人性弱点，甚至 Sophos 自身也曾有员工在钓鱼页输入凭据并被绕过 MFA。对应到部署上，邮件安全需要覆盖 URL 与二维码的实际渲染检测、对 SVG 等可执行型图形附件设置策略、把 MDR 级别的行为分析接入邮件事件，并配合抗钓鱼的多因素认证（如通行密钥）而非仅靠一次性验证码。