CACTER邮件安全2026年第二季度企业邮箱安全性报告-CACTER邮件安全

I CACTCorporateEmailSecurityReport: g220262026Œ7@ćg@«CACTERCACTER邮件安全 2026年第二季度企业邮箱安全性研究报告摘要202612.904.0，同比增33.4，企业通信规模仍保持高位运行。6.224.04亿封，占全部邮件的26.78和17.38。10.389.42；其中境外来源占62.62，跨境投递仍是治理重点。4.0435.74，同比增长87.76；境外来源占比64.38，环比增幅高于境内。外垃圾邮件与钓鱼邮件来源均以越南最为突出。2.10.01；被盗账号数升至个，内部信任链被滥用的风险进一步凸显。7.31243.9行业仍面临较高账号安全压力。增强邮件内容、页面及交互环节的伪装能力。2896.27待办等社工话术成为主要攻击方式。企业需加强邮件入口防护、账号行为分析、安全运营及人员安全意识建设。目录第章整邮件况 1一、企邮箱件类分布 1第章垃邮件钓鱼件概况 2一、垃邮件况分析 2（）垃邮件体概况 2（）境境外圾邮趋势 2（）TOP100垃邮件业分分析 3二、钓邮件况分析 4（）钓邮件体概况 4（）境境外鱼邮趋势 5（）钓邮件TOP100行分布析 6（）域钓鱼件现状 6三、钓邮件击案例 7（）垃邮件题榜TOP10 7（）钓邮件题榜TOP10 8（）垃钓鱼件典案例本 8第章暴破解观态势 14一、全破解击趋势 14（）暴破解况 14（）高账号被攻账号名分析 15第章银黑产骗邮分析 16一、银诈骗量及势 16二、银诈骗心特征 17（）银诈骗件主榜TOP10 17（）典案例 17三、发维度析 18（）发人名仿冒（fromname） 18（）发方式析 18（）发信IP分析 19四、关结论 20第章邮安全决方及建议 21一、关境外件风，强邮件口防护 21二、加账号全防，降被盗号滥风险 21三、加域内件检，防内部任攻击 21四、聚重点业与键账，推分层营 22五、提人员全意，应高仿钓鱼击风险 22第一章整体邮件概况一、企业邮箱邮件类型分布2026年第二季度，企业邮箱用户共接收正常邮件12.90亿封，较2026年第一季度下降4.0，但较2025年第二季度增长33.4。从近五个季度走势看，企业通信规模仍保持高位运行，二季度回落更接近阶段性波动。图12026年第二季度正常邮件数量统计202655.5526.78，钓鱼邮件占比17.38；病毒邮件、谣言反动及色情赌博类邮件占比较低。图22026年第二季度企业邮箱邮件类型分布第二章垃圾邮件及钓鱼邮件概况一、垃圾邮件概况分析2026年第二季度，垃圾邮件攻击总量为10.38亿封，较2026年第一季度9.4220256.7262.62，境内占比37.38，境外来源仍高于境内。图32026年第二季度境内外垃圾邮件攻击趋势（二）境内境外垃圾邮件趋势2026年第二季度，国内垃圾邮件攻击源中，北京以6099.0万封居首，2.13TOP1076.912026图42026年第二季度国内十大垃圾邮件攻击源头省份8831.62390.981.57，较2026图52026年第二季度境外垃圾邮件攻击源来源TOP10（三）TOP100垃圾邮件行业分布分析从TOP1004.69TOP10082.58TOP10058.83。相较2026持绝对高位；IT互联网行业接收量上升至3159.4万封，占比提升至5.56。该变化说明垃圾邮件投递已不再只围绕传统“大账号池”行业，也开始向拥有注册通知、协作邀请、工单提醒等高频数字触点的互联网业务场景渗透。图62026年第二季度TOP100垃圾邮件域名行业分布分析二、钓鱼邮件概况分析20264.04202635.74202587.7664.38，境内占比35.62图72026年第二季度境内外钓鱼邮件攻击趋势（二）境内境外钓鱼邮件趋势2026年第二季度，国内钓鱼邮件攻击源中，山东以558.5万封位居第一，481.0471.7TOP1053.2。与2026图82026年第二季度国内十大钓鱼邮件攻击源头省份境外钓鱼邮件来源中，越南以9322.1万封远高于其他国家和地区，美国220.4TOP1091.48，较2026图92026年第二季度境外钓鱼邮件攻击来源TOP10（三）钓鱼邮件TOP100行业分布分析从TOP1001.15TOP100接收总量64.06，发送侧教育行业894.1万封，占TOP100发送总55.91，均排名第一。整体看，教育行业仍是钓鱼邮件重点投递目标，也图102026年第二季度TOP100钓鱼邮件域名行业分布分析（四）域内钓鱼邮件现状2026年第二季度，监测到域内钓鱼邮件2.1万封，较2026年第一季度增长30.35；非域内钓鱼邮件40377.0万封，环比增长35.74；被盗账号数由165个升至717个，增幅334.55。尽管域内钓鱼在全部钓鱼邮件中的占比仍约0.01，但被盗账号增长表明内部账号失陷风险仍在上升。图232026年第二季度域内钓鱼邮件数量统计从主题榜看，域内钓鱼以“安全警告！”“你有待办事项未处理”“你有待办Q1Q2内钓鱼更强调即时处置和系统异常。图112026年第二季度域内钓鱼邮件主题榜TOP10三、钓鱼邮件攻击案例（一）垃圾邮件主题榜TOP102026图122026年第二季度热门垃圾邮件主题榜TOP10（二）钓鱼邮件主题榜TOP102026图132026年第二季度热门钓鱼邮件主题榜TOP10（三）垃圾钓鱼邮件典型案例样本2026补贴奖金申领、订单付款确认、电子账单、协作邀请”等高频办公场景展开，HRHTML考勤/工资单/辞职信等工作流程钓鱼类下完成点击、下载或回复。14工作流程类垃圾钓鱼邮件案例样本-115工作流程类垃圾钓鱼邮件案例样本-2图16工作流程类垃圾钓鱼邮件案例样本-3补贴奖金类记页面。图17补贴奖金类垃圾钓鱼邮件案例样本-1冒充订单或询盘信息针对外贸、物流和采购相关岗位，攻击者常以“BlockedOrder”“PaymentConfirmation”“QuotationNeeded”等订单、付款或询盘内容作为诱饵，并伪绕过经验判断，对财务确认、附件下载和链接访问形成连续风险。18冒充订单或询盘信息类垃圾钓鱼邮件案例样本-119冒充订单或询盘信息类垃圾钓鱼邮件案例样本-2图20冒充订单或询盘信息类垃圾钓鱼邮件案例样本-3虚假电子发票图21虚假电子发票类钓鱼邮件案例样本-1诱导加群或二次投递。图22诱导加群类钓鱼邮件案例样本-1在线文档分享钓鱼Microsoft365“文件待查看”“签字审批”“报价单”“待办文件”等名义诱导点击。由于页面与正泄露。图23在线文档类钓鱼邮件案例样本-1第三章暴力破解宏观态势一、全域破解攻击趋势（一）暴力破解情况2026年第二季度，全域暴力破解攻击为7.31亿次，较第一季度小幅下0.84；被成功破解243.97.69。总体看，攻击尝试次数2025说明弱口令、重复口令和长期不变更口令问题仍在为攻击者提供可乘之机。图242024年第三季度至2026年第二季度全域破解攻击趋势图252024年第三季度至2026年第二季度全域暴力被破解成功次数（二）高危账号及被攻击账号域名分析2026年第二季度，从高危账号TOP100域名行业看，教育行业1604个，44.40，位居第一；其他行业105029.06；IT430TOP1001.721.621.1032.79、30.96和21.06。与2026IT击行业分布则由教育更突出的结构，转向“其他行业”与教育并列靠前。图262026年第二季度高危账号TOP100域名行业分析图272026年第二季度被攻击TOP100域名行业分析第四章银狐黑产诈骗邮件分析一、银狐诈骗数量及趋势2026年第二季度，银狐黑产诈骗邮件活动保持较高活跃度，共监测到相2896.271250.11323.57，64月增长7.0。图282026年第二季度银狐诈骗邮件月度统计149.85（2026422图292026年第二季度银狐诈骗邮件日均统计二、银狐诈骗核心特征（一）银狐诈骗邮件主题榜TOP10员工自身密切相关的话术，同时会紧随时事进行调整。图302026年第二季度银狐诈骗邮件主题榜TOP10（二）典型案例站。近年来，攻击手法进一步多样化，包括：采用加密压缩、officeURL2026416.50IP信息泄露和财产损失。图312026年第二季度银狐诈骗邮件案例三、发信维度分析（一）发信人名称仿冒（fromname）部、补贴中心等。此外，盗号发信时也经常会修改被盗账号的姓名或昵称（fromname），模拟真实员工身份进行邮件传播。图322026年第二季度银狐诈骗邮件发信人名称TOP10（二）发信方式分析银狐发送诈骗邮件主要有三种方式：47.0.1110,71920.3。FIJNKGH96.70636.24619等随机字符串的xmailer，说明攻击者使用自己开发的发信软件，通过随机字符混淆发信工具识别。CACTER2026年第二季度，共监测到盗号后域内发送的银狐诈骗邮件24,240封，虽然数量仅占总数的0.084，但危害巨大，许多实际造成资金损失的事件案例都是这种情况导致。贴诈骗邮件进行“定制”，提高可信度。银狐诈骗邮件使用的发信域名中，排名前四的域名均为盗取账号后用来批量发送诈骗邮件，相关域名为中小企业邮箱域名。（三）发信IP分析从发信IP归属地来看，银狐诈骗邮件发信IP绝大多数来自国内。图332026年第二季度银狐诈骗邮件发信IP归属地TOP10四、关键结论206邮件安全人工智能实验室得出以下关键结论：鱼、盗号、木马等攻击数量也同样庞大。其“恶意软件即服务（MaaS）模式使其规模进一步扩张，形成了一个庞大而复杂的黑色产业群。银狐诈骗邮件规模持续扩大，共监测银狐诈骗邮件2896.27攻击活动保持较高活跃度，企业邮件入口仍是黑产攻击的重要渠道。定向化、精准化攻击趋势进一步增强。本季度开始出现较多针对目fromnameTOP103季节性社工话术成为银狐诈骗的重要手段。“高温津贴/高温补贴”等441，4-5天气转热后集中出现，说明黑产话术紧跟时令政策。OAOA228诱导，而是利用“待办未处理”的紧迫感诱导点击，比传统补贴话术更具欺骗性，是本期出现的新型社工模式。自动化投递与技术规避手段持续升级。银狐常用的批量发信工具是Supmailer0.38FIJNKGH96.70636.24619低发信工具识别效果。IP第五章邮件安全解决方案及建议化治理。一、关注境外邮件风险，强化邮件入口防护针对境外占比持续偏高且来源分布更集中的垃圾邮件与钓鱼邮件，建议优先在网关侧建立分级拦截策略，对高风险来源国家或地区、异常发信URLCACTERURLAI过隔离、标记、告警等机制降低管理员人工排查压力。二、加强账号安全防护，降低被盗账号滥用风险本季度银狐诈骗邮件分析显示，攻击者逐渐利用被盗企业邮箱账号开展内部传播和定向诈骗。由于邮件来自真实账号，其可信度更高，更容易突破员工防范意识，并造成进一步风险扩散。企业应加强邮箱账号安全治理，重点关注异常登录、异常发信、短时间大量外发、非常用地区访问等CACT