该论文研究了用户对基于QR码的攻击（Quishing）的易感性和意识。随着QR码在日常生活中的普及（如支付、登录、信息获取），攻击者开始利用QR码将用户重定向到恶意网站或触发恶意操作。然而，用户对此类威胁的认知和防御能力尚不明确。研究通过在线问卷调查（N=500+）和受控实验室实验，测量了用户在不同情境下扫描陌生QR码的意愿、对QR码攻击的识别能力以及安全行为。结果显示，大部分用户对QR码攻击缺乏警惕性，容易在信任场景（如停车场、餐厅）中扫描未知QR码，且很难区分合法与恶意QR码。用户普遍高估了自己的检测能力，实际表现远低于自我评估。研究还发现，安全提示（如警告标签）对减少扫描行为有一定效果，但并非万无一失。论文贡献在于首次系统性地量化了QR码攻击的用户漏洞，为设计针对性的安全教育和更安全的QR码交互提供了实证依据。

该论文系统性地分析了导致钓鱼域名注册的各种因素。作者收集了14,500个恶意域名和15,400个良性域名，提取了涵盖注册属性、主动验证和被动安全实践三类共73个特征。通过广义线性模型（GLM）回归，发现注册费用每降低1美元，恶意域名注册量增加49%；免费捆绑服务（如虚拟主机）导致钓鱼活动激增88%；严格的注册限制可减少63%的滥用；而提供API接口的注册商，其恶意域名数量增加401%。研究揭示了经济利益与安全之间的平衡，为域名注册商和TLD运营商制定反滥用策略提供了数据驱动的依据。

本文针对英国近年来激增的“Hi Mum and Dad”短信诈骗（又称亲情诈骗）进行了系统研究。该类诈骗通过冒充子女向父母发送短信（如“妈妈，我手机掉马桶了”），利用紧急情境诱导受害者转账。研究团队收集了英国境内公开报告的诈骗短信样本及受害者投诉数据，采用混合方法：一方面通过自然语言处理技术分析诈骗短信的语言模式、社会工程学技巧和战术演变；另一方面结合犯罪学理论解释诈骗者的策略选择。实验表明，诈骗短信往往包含制造紧迫感的语句、请求隐私（如“不要告诉爸爸”）、以及提供非正规转账渠道等特征。研究还发现，诈骗者会针对不同年龄段和地区的受害者调整话术，且诈骗高峰与学校假期、考试季等时间节点相关。主要贡献包括：首次对英国该类诈骗进行大规模实证分析，揭示了诈骗者使用的心理操纵机制；提出了基于文本特征的自动检测模型原型；并为执法机构和电信运营商提供了阻断建议。该工作对理解社交媒体时代下的社会工程攻击有重要启示，适合安全从业人员、反诈骗研究人员及政策制定者阅读。

本文针对亚马逊Alexa等语音助手环境下的网络钓鱼社会工程学攻击（pretexting）进行了实证评估。研究通过设计模拟攻击场景，测试用户在语音交互中对钓鱼 pretexting 的敏感性。实验招募了参与者，在受控环境中与Alexa互动，并施加以不同借口（如账户验证、促销活动等）的钓鱼诱导。结果显示，相当比例的用户被成功欺骗，提供了敏感信息或执行了不安全的操作。研究还分析了用户的人口统计学特征、技术素养与易感性之间的关系。论文的主要贡献在于首次系统性地量化了语音助手环境下的钓鱼攻击风险，并提出了防御设计建议。适合安全研究人员、语音助手产品安全团队以及社会工程学防御从业者阅读。

本文是一篇系统化知识综述（SoK），针对钓鱼攻击中面向用户的干预措施进行了全面的分类学研究。钓鱼攻击作为普遍的网络安全威胁，不仅针对个人也针对组织。以往的反钓鱼措施开始认识到用户的核心作用：用户作为攻击目标的最前沿，同时也是最后一道防线。然而，现有面向用户的钓鱼干预措施分散于不同的研究领域，缺乏系统化的整理，导致难以全面把握已有工作的各种方法。本研究通过系统性文献分析，构建了一个钓鱼干预措施的分类法。该分类法从四个维度对现有干预措施进行归类：干预类型（如警告、培训、检测辅助）、应对的钓鱼攻击向量（如电子邮件、短信、语音钓鱼）、干预发生的时间（实时或事后）以及所需的用户交互水平（主动、被动或无交互）。此外，论文还揭示了文献样本及先前元分析中暴露的不足与挑战，并结合可用安全领域的最新动向进行讨论。本文旨在为未来钓鱼干预措施的研究提供有益的方向指引，适合安全研究员、可用性工程师及反钓鱼产品设计者阅读。

本文提出一种针对钓鱼攻击（多模态威胁）的混合多层级检测管道。该管道为每种模态独立构建引擎，最后进行融合决策。具体包括三个引擎：1）四阶段URL检测栈：包含域名守卫、词法模型、威胁情报以及一个非对称L2融合侧车；2）鲁棒性增强的DistilBERT NLP分类器，其在真实钓鱼邮件召回率上从0.8%提升至87.3%；3）具备端到端OpenTelemetry可观测性的威胁情报同步器，确保消息1:1守恒。决策级融合阶段在10,677封邮件的全系统基准测试上，通过校准的URL、邮件头和钓鱼概率三个通道的OR融合，达到F1=0.914，同时将真实垃圾邮件的误报率降至3.6%。由于该基准采用了代理URL和邮件头通道，且操作点仍需重新校准，因此结果被视为初步集成结果。作者指出，实际部署的约束在于泛化能力而非同分布精度。

Phishpedia 是一种基于混合深度学习的方法，用于视觉上识别钓鱼网页。传统钓鱼检测通常只输出二分类结果（钓鱼或正常），缺乏解释性；而钓鱼识别方法通过将网页与预定义的合法参考进行视觉对比，能同时报告钓鱼结果及其仿冒的目标品牌，从而提供可解释的结果。然而，现有技术在视觉分析方面面临两大挑战：（1）准确识别网页截图中的品牌标识（logo）；（2）匹配同一品牌不同变体的logo。Phishpedia 设计了一个混合深度学习系统来解决这些问题：它使用一个高效的 logo 检测器定位网页中的 logo，并采用一个基于度量学习的匹配器将检测到的 logo 与已知品牌参考库中的 logo 进行比对，从而确定该网页所仿冒的品牌。与常见方法不同，Phishpedia 无需任何钓鱼样本进行训练，仅依赖于合法网站的参考信息。实验使用真实钓鱼数据，结果表明 Phishpedia 在识别准确率和运行效率上显著优于基线方法（EMD、PhishZoo、LogoSENSE）。此外，作者将 Phishpedia 与 CertStream 服务集成并部署，在 30 天内发现了 1,704 个新的真实钓鱼网站，其中 1,133 个未被 VirusTotal 中的任何引擎报告，证明了其实际效果和增量价值。

本论文针对钓鱼URL检测中的规避问题提出了一种基于网络的方法。现有基于机器学习的检测方法容易受到攻击者的规避：攻击者可以通过使用良性域名、IP地址、URL字符串模式，或利用共享托管服务等方式伪装钓鱼URL，使其看起来像合法的。作者观察到攻击者的一些行为特征：例如，他们会重复使用钓鱼网页，选择便宜的托管商，以及使用共享托管以节省成本。受此启发，论文构建了一个URL关系网络，其中节点表示URL，边表示它们之间的关联（如共享同一IP、域名或托管商）。该方法的核心思想是：即使攻击者对单个URL进行规避，只要网络中大多数邻居节点没有被同时规避，该URL仍可被识别为钓鱼。实验使用了大规模真实数据集，与多种先进方法（包括基于特征的机器学习方法和现有的网络方法）进行了对比。结果显示，所提方法在F1分数（0.89）上显著优于最好的基于特征的方法（0.84），并且对各类规避策略具有鲁棒性。论文还分析了不同网络构建策略的影响，证明了基于多关系融合的网络能有效提升检测性能。该研究为钓鱼URL检测提供了新的视角，尤其适合安全运维团队和研究人员关注。

该论文针对移动短信钓鱼（SMiShing）攻击的用户易感性开展研究。作者通过在美国进行的半结构化访谈，探索手机用户如何判断文本信息的真伪，以及哪些因素影响其决策过程。研究发现，用户主要依赖内容线索（如拼写错误、链接域名）、上下文（如与已知联系人的对话历史）以及直觉（如“感觉不对”）来识别钓鱼短信。同时，用户普遍存在过度自信和低估威胁的倾向。该工作揭示了用户认知与攻击者策略之间的差距，为设计更有效的反钓鱼培训和工具提供了实证基础。

该论文针对传统钓鱼URL检测方法（黑名单、规则匹配）对新出现的钓鱼URL反应迟缓的问题，提出了一种轻量级混合实时检测框架。框架结合黑名单预筛选与多层感知机（MLP）分类器，MLP仅利用URL的结构特征（如长度、域名层级、特殊字符统计等）进行分类，无需访问网页内容、调用第三方API或进行视觉渲染，大幅降低计算开销。模型基于PhiUSIIL数据集（含235,795条标记URL）训练，提取了16维轻量特征。实验结果显示，MLP分类器在准确率（99.24%）、精确率（98.74%）、召回率（99.95%）、F1分数（99.34%）和ROC-AUC（99.65%）上均优于随机森林、逻辑回归、XGBoost、LightGBM和CatBoost。混合架构下，单URL推理平均延迟仅1.2毫秒，并发处理峰值吞吐量达4,200 URL/秒。论文还开发了名为CyberGuard的原型桌面应用，验证了实际部署可行性。该工作证明，仅利用URL结构特征的轻量MLP模型即可在资源受限环境中实现高精度实时钓鱼检测，为终端设备或网络边界的安全防护提供了高效方案。

该论文提出了CrawlPhish框架，旨在自动检测和分类钓鱼网站中的客户端伪装（cloaking）技术。客户端伪装通过JavaScript实现复杂交互，以逃避自动检测系统，但其普遍性和影响此前未被深入研究。研究者在2018至2019年间部署CrawlPhish14个月，收集并分析了112,005个真实钓鱼网站。采用静态和动态代码分析，发现其中35,067个网站使用了1,128种不同的客户端伪装实现技术。攻击者对伪装的使用率从初始的23.32%增长到研究结束时的33.70%。CrawlPhish的检测假阳性率为1.45%，假阴性率为1.75%。研究者对检测到的技术进行了语义分析，提出了包含三大类（用户交互、指纹识别、机器人行为）共八种逃避类型的分类体系。通过150个模拟钓鱼网站的实证实验，证明每类逃避技术都能有效避免基于浏览器的钓鱼检测。用户研究进一步证实这些技术通常不会阻止受害者访问。论文最后提出了改进生态防御能力的方法，以及持续识别新型伪装技术的建议。该研究为蓝队和安全从业者理解钓鱼攻击的逃避机制提供了重要参考，有助于开发更有效的检测和防御策略。

该论文研究了用户对网络钓鱼攻击的脆弱性，重点关注心理和行为因素。研究基于Spamley数据集，包含1086名参与者在真实钓鱼检测任务中的表现。通过探索性因子分析（EFA），识别出五个潜在因子：经验（Seniority）、专业知识（Expertise）、创造力（Creativity）、稳定性（Stability）和脆弱性（Vulnerability）。行为分析发现，决策速度与自我报告的冲动性呈负相关，且快速决策显著区分了脆弱用户与抗性用户。使用K-Means聚类，基于经验（F1）和创造力（F3）两个维度，揭示了两种用户画像：意识型用户（Aware User）和高风险型用户（High-Risk User）。结果表明，仅靠技术知识不足以保证抗钓鱼能力，操作成熟度、决策速度与认知方法的相互作用才是关键。研究发现大多数用户属于高风险类别，其特点是评估过程仓促且批判性分析能力较低。论文强调需要从“一刀切”的培训转向个性化、适应性的网络安全教育，以应对认知偏差和行为倾向。

本文提出一种名为 PhishPrint 的新方法，旨在通过预先分析钓鱼检测爬虫的行为特征，生成针对性的规避策略，从而绕过基于爬虫的钓鱼检测系统。研究背景是当前钓鱼网站广泛采用各种技术逃避检测，尤其是针对自动爬虫的识别与屏蔽。核心问题在于如何有效地绕过主流钓鱼检测爬虫的探测机制。PhishPrint 方法首先对目标爬虫进行 profiling，收集其请求模式、IP 范围、User-Agent、行为时间等特征，然后利用这些信息生成与正常访问无异的请求，同时调整页面内容或响应策略，使得爬虫无法准确识别钓鱼页面。论文通过实验评估了 PhishPrint 在多个真实钓鱼检测爬虫上的表现，证明其能够显著降低检测率，并分析了不同 profiling 策略的有效性。主要贡献包括：提出了基于 prior profiling 的规避框架，量化了多种规避技术的效果，以及揭示了当前钓鱼检测爬虫的脆弱性。该研究适合安全防御者和钓鱼检测系统开发者阅读，以改进爬虫的鲁棒性。

本文首次系统性地研究了以太坊上基于载荷的交易钓鱼（PTXPHISH）攻击。该攻击通过恶意载荷操纵智能合约交互来欺骗用户，相比早期简单交易钓鱼更为高级。研究者首先进行了长期数据收集，构建了包含5000笔钓鱼交易的真实数据集，并将钓鱼策略分为四大类、十一个子类。其次，提出了一种基于规则的多维检测方法，F1分数超过99%，平均每个区块处理时间390毫秒。然后，在300天的大规模检测中发现了130637笔钓鱼交易，造成超过3.419亿美元损失。深入分析揭示：诈骗者每天消耗约13.4 ETH（占以太坊总Gas的12.5%）用于地址投毒；发现了洗钱模式；前五大钓鱼组织造成了40.7%的损失。实际贡献包括向社区报告1726个钓鱼地址（占同期社区贡献的42.7%），发送2539条链上预警消息，帮助了1980名受害者。本研究为对抗新兴PTXPHISH和保护用户资产提供了重要参考。

本文提出了一种名为 PhishSigma++ 的恶意邮件检测方法，旨在解决现有检测器过度依赖易变的文本特征、在对抗性文本操纵下性能急剧下降的问题。研究背景是随着 AI 生成内容（AIGC）的发展，攻击者具备了更丰富的语言能力和逃避技术。核心洞察是：即使攻击者修改表面文本，功能意图仍会约束实体间的关系，这些关系是相对不变的信号。方法上，PhishSigma++ 借鉴了 Sigma 规则的思想，但将其推广到基于实体关系的检测。它从 RFC822 邮件中提取 40 种类型的实体类，计算 5 种跨类型关系以构建类型化邮件图，并使用粒子群优化（PSO）选择稀疏判别掩码，支持分类和类型级证据总结。在 29,142 条消息上，PhishSigma++ 在干净数据上达到 0.9675 F1 分数，在非自适应 Good Word 填充攻击（rho=0.8）下保持 0.9579 F1，而基于 token 的贝叶斯过滤器崩溃至 0.0243，DistilBERT 钓鱼检查点降至 0.7284。相比传统 Sigma 规则，PhishSigma++ 提供了更高的检测率、更广泛的 relational invariance 覆盖和数据驱动的特征选择。此外，阈值化的类型关系分数编码了 Sigma 风格字段条件的有效片段，将手工规则逻辑和学习到的关系掩码统一到单邮件框架中。

该论文提出了PhishLang，一个基于MobileBERT的实时、全客户端钓鱼检测框架。传统钓鱼检测方法通常依赖服务器端分析或黑名单，存在延迟、隐私泄露和无法检测新钓鱼站点的问题。PhishLang通过在客户端设备上直接运行轻量级MobileBERT模型，实现对URL和网页内容的实时分析，无需网络请求，保护用户隐私。框架通过优化模型大小和推理速度，能够在移动设备上高效运行，同时保持高检测准确率。实验结果表明，PhishLang在真实世界数据集上达到了99.2%的准确率和0.7%的误报率，推理时间低于10毫秒。此外，该框架支持可解释性，通过注意力机制提供分类依据。主要贡献包括：首次将MobileBERT应用于客户端钓鱼检测、设计高效的模型压缩与蒸馏策略、以及在多个基准测试上的全面评估。该研究为移动端安全防护提供了轻量级、隐私保护的解决方案。

本文介绍了CtPhishCapture，一个专门检测针对加密货币钱包的凭证盗窃钓鱼诈骗的系统。研究背景是随着加密货币的普及，攻击者通过仿冒钱包登录页面、虚假空投或客服钓鱼等手段窃取用户助记词或私钥。核心问题在于现有反钓鱼方案难以有效识别针对加密货币生态的定制化钓鱼页面。CtPhishCapture的方法结合了视觉相似度分析（网页截图与已知合法钱包UI对比）、URL特征工程（检测域名乱真模式）以及行为分析（检测页面动态加载的凭证提交行为）。系统采用多阶段流水线：首先通过爬虫收集疑似钓鱼URL，然后利用轻量级视觉哈希与OCR提取页面文本，再通过机器学习分类器判断是否具钓鱼特征。实验基于真实钓鱼样本和合法钱包页面数据集，证明系统在低误报率下达到高检测率，尤其能发现隐藏的凭证窃取逻辑。主要贡献包括构建了首个专攻加密货币钱包钓鱼的检测框架、开源了标注数据集，并揭示了攻击者常用的CSS混淆与动态表单注入技术。适合安全研究人员、加密货币交易所防御团队以及关注Web3安全的读者。

本研究深入探讨了电子邮件别名机制引发的身份混淆问题。电子邮件别名允许用户使用同一个邮箱账户生成多个不同地址，但接收方或服务提供商可能无法正确区分这些别名背后的真实身份，从而产生安全风险。论文系统分析了一类攻击场景：攻击者可以利用别名间的视觉或逻辑相似性，伪装成用户的不同身份进行社会工程攻击或绕过访问控制。研究方法包括构建大规模数据集（覆盖主流邮件服务商）、设计身份混淆检测算法，并实验评估现有防护措施的不足。主要贡献包括：量化了别名身份混淆的普遍性与危害性，提出了基于邮件元数据和发送行为的身份区分方法，并给出了改进建议。该工作有助于邮件安全防护、防钓鱼策略的设计。