本文对现代钓鱼邮件内容开展了大规模实证测量研究。研究背景是：钓鱼邮件长期是最普遍的互联网威胁之一，而邮件内容既是受害者实际阅读的对象，也是自动防御系统所检查的攻击面，但学界对其构成一直缺乏大规模量化。既有工作虽然刻画了主题、行动号召（CTA）、仿冒对象等维度，却受限于语料规模小、来源单一、使用词袋主题模型且仅关注纯文本，各维度之间的关联以及随时间的变化趋势仍不清楚。方法上，作者与反钓鱼工作组（APWG）合作，收集了 13 个月（2025 年 6 月至 2026 年 6 月）内 290 万封真实钓鱼邮件，并把每封邮件视为由正文与附件共同构成的复合样本，其中包含 27.2 万张图片、14.3 万个 PDF 与 5.7 万份日历邀请。作者使用经人工标注样本校验的 LLM 流水线，沿主题、CTA、仿冒对象三个维度分析这些组成部件，考察三者之间的关联，并与历史数据集对比以衡量更长时间跨度的变化。主要发现包括：攻击者在“用什么来欺骗”上高度多样化，但在“要求受害者怎么做”上高度趋同——没有任何单一主题的占比超过 21.3%，而 URL 跳转这一单一 CTA 就占 73.0%；CTA 与仿冒对象的选择以主题为条件。附件承担三种不同角色：图片用于补充正文，PDF 通过承载 pretext 替代正文，日历邀请则把交互端点复制到持久化媒介中从而强化正文。长期来看，发票类钓鱼邮件的主导 CTA 从 URL 跳转转向线下沟通，占比从 2015 年的 6.7% 上升到 2025 年的 46.9%。