本文对现代钓鱼邮件内容开展了大规模实证测量研究。研究背景是：钓鱼邮件长期是最普遍的互联网威胁之一，而邮件内容既是受害者实际阅读的对象，也是自动防御系统所检查的攻击面，但学界对其构成一直缺乏大规模量化。既有工作虽然刻画了主题、行动号召（CTA）、仿冒对象等维度，却受限于语料规模小、来源单一、使用词袋主题模型且仅关注纯文本，各维度之间的关联以及随时间的变化趋势仍不清楚。方法上，作者与反钓鱼工作组（APWG）合作，收集了 13 个月（2025 年 6 月至 2026 年 6 月）内 290 万封真实钓鱼邮件，并把每封邮件视为由正文与附件共同构成的复合样本，其中包含 27.2 万张图片、14.3 万个 PDF 与 5.7 万份日历邀请。作者使用经人工标注样本校验的 LLM 流水线，沿主题、CTA、仿冒对象三个维度分析这些组成部件，考察三者之间的关联，并与历史数据集对比以衡量更长时间跨度的变化。主要发现包括：攻击者在“用什么来欺骗”上高度多样化，但在“要求受害者怎么做”上高度趋同——没有任何单一主题的占比超过 21.3%，而 URL 跳转这一单一 CTA 就占 73.0%；CTA 与仿冒对象的选择以主题为条件。附件承担三种不同角色：图片用于补充正文，PDF 通过承载 pretext 替代正文，日历邀请则把交互端点复制到持久化媒介中从而强化正文。长期来看，发票类钓鱼邮件的主导 CTA 从 URL 跳转转向线下沟通，占比从 2015 年的 6.7% 上升到 2025 年的 46.9%。

该论文研究大型语言模型(LLM)在域名威胁判定中受到域名自身“自我声称”词汇操纵的现象,作者将其命名为 ClaimMirage:待检域名本身声称自己安全或已获授权。研究构建了品牌仿冒风格的域名集合,覆盖 64 个品牌与 5 个 LLM,共分析 622,080 条判定结果,将十类自我声明词与在长度和连字符数量上严格匹配的对照词进行比较,以排除单纯字符串特征的影响。核心发现是:自我声明既能显著降低告警,也能提高告警,方向取决于具体 LLM 和输入设置。在一种设置中,可注册域名内出现“否认风险”类词汇(如 not-phishing),即便提示中已提供可能被仿冒的品牌及其官方域名作为参照,告警仍下降 45.3 个百分点;而在不提供这些参照时,同一 LLM 中该位置的“背书”类词汇(如 official)反而使告警上升 65.6 个百分点。作者进一步测试了提供参照与域名组件标注两种缓解手段,发现它们能消除部分告警下降,但另一些仍然存在,甚至被放大。该工作揭示 LLM 在域名钓鱼/恶意判定中对名字内自我声称的脆弱性,且攻击者无需显式提示注入指令即可影响结论。论文呼吁在将待检域名视为安全或已授权之前,必须测试模型对自我声明的抵抗能力并寻求独立证据。适合 LLM 安全、钓鱼检测、域名风控与 SOC 自动化研判人员阅读。

该论文面向尼日利亚金融科技（fintech）场景的钓鱼邮件问题，提出并实现了一个基于 Gmail 的浏览器扩展原型。研究背景是：冒充尼日利亚本土金融科技服务商的钓鱼邮件往往同时具备三类特征——伪造或高度相似的发件人地址、与官方域名近似的仿冒链接（lookalike），以及使用当地人熟悉的措辞与话术，这使得仅依赖单一规则的邮件过滤难以有效识别。作者的核心思路是把「基于确定性规则的元数据核验」与「基于内容的机器学习分类」结合，并将判定结果直接呈现在用户打开邮件的时刻。系统由两部分组成：（1）发件人域名与 URL 校验模块，将邮件中可见的发件人地址和链接与预先构建的 8 家金融科技平台的官方配置档案逐一比对；（2）双向长短期记忆网络（BiLSTM）文本分类器，部署在本地 Flask 服务上，接收邮件文本并输出一个钓鱼概率值。扩展综合两部分结果，向用户展示「合法 / 警告 / 钓鱼」三档判定。在实验中，作者从一个经过清洗、包含 59,622 封钓鱼与正常邮件的语料集中抽取 8,943 封作为测试集，BiLSTM 分类器取得混淆矩阵为 4,308 个真阴性、0 个假阳性、1 个假阴性、4,634 个真阳性，对应准确率 99.99%、精确率 100.00%、召回率 99.98%、F1 值 99.99%。作者同时进行了自我审查：通过分词序列分析发现训练集与测试集之间存在 5.79% 的 token 重叠，这可能导致对独立邮件的性能估计被高估。此外，作者在 Gmail 中做了功能演示，确认集成扩展能够正常产生用户可见的判定结论，但完整系统并未在带标注的测试集上进行端到端评测。论文的结论是该原型在工程上可行，而其端到端检测能力以及对未见攻击手法的泛化性仍待进一步评估，作者对此保持开放态度。

恶意域名是钓鱼、恶意软件分发、身份冒充与欺诈交易的核心基础设施。域名注册成本低、易于大规模部署，使其成为跨行业网络犯罪中最常用、破坏性最强的工具之一。传统检测方案大多依赖域名解析后的网页内容、HTTP 响应或被动 DNS 记录等特征，只能在域名已经「上线」之后才做判断，从而留下数天量级的暴露窗口。本文提出 COBRA：一个与内容无关（content-agnostic）、在注册时刻（registration-time）即可工作的检测框架，目标是在域名被填充任何内容之前完成可疑性判定。COBRA 不使用任何基于内容的特征，而是直接分析新注册域名的名称字符串，采用聚类技术依据词法（lexical）与结构（structural）相似性对域名分组，把同一批量注册活动产生的域名聚合为簇，以簇为单位进行异常判定，从而在降低单域名误报的同时提升召回。作者使用包含 150 万个新创建域名的真实数据进行评估，结果显示 COBRA 检测可疑域名的精确率达到 98.5%，共识别出超过 4.7 万个不同的新注册可疑域名；此外，域名名称聚类带来的早期检测能力，使其对约 80% 的可疑或恶意域名能够比一款被广泛使用的威胁情报服务更早发现，而后者在某些情况下需要长达 7 天才能完成标注。该工作表明，在零日（day-zero）阶段仅凭域名名称的结构信息即可获得高精度检测信号，对威胁情报生产、域名信誉评分与主动防御具有实际价值。适合威胁情报、DNS 安全、SOC 检测工程与域名信誉方向的研究者和工程师阅读。

该论文聚焦以太坊上的「地址投毒转账」（Address-Poisoning Transfer, APT）这一区块链钓鱼骗局。攻击者并不需要攻破任何密码学机制，而是利用用户的操作习惯：当受害者曾与某个良性地址发生过交易后，攻击者会生成一笔金额极小（通常为 0 或尘埃金额）的转账，其发送方地址在首尾若干字符上与受害者地址簿中的良性地址高度相似。受害者日后从交易历史中复制地址时，极易误选这条伪造地址，从而把大额资金转入攻击者控制的钱包。作者指出，尽管手法简单，APT 近年已造成用户数百万美元损失，并已被学术界关注，此前工作包括 Ye 等（WWW'24）、Guan-Li（CCS'24）、Chen 等（NDSS'25）以及 Tsuchiya 等（USENIX'25），但这些研究主要停留在检测层面。本文明确「超越检测」，系统性地研究 APT 三个此前被忽视的维度：一是诈骗资金的来源与资助机制（攻击者如何为其操作提供初始资金）；二是诈骗指纹（scam signatures），作者提出五个指纹族，用以刻画 APT 运营的关键特征，可直接服务于地址聚类与团伙归因；三是诈骗所得的洗钱路径，尤其是通过公共服务的变现环节。论文声称完成了首个针对「利用 Tornado Cash 为 APT 提供资金并清洗诈骗所得」的系统性调查，把钓鱼诈骗的检测问题延伸为一条涵盖资助、执行、洗钱的完整资金流分析链路。对安全从业者而言，其价值在于提供了可迁移到地址聚类、交易图谱分析和加密犯罪资金追踪的特征体系，而非单点检测规则。因仅有摘要，具体数据集规模、标注方法、指纹定义细节与量化评估指标（如精确率、召回率、涉及金额统计）均无法确认。

在通信受限的分布式系统中，周期性传输 Bloom filter 会带来可观的带宽与能耗开销。已有的两类思路各有取舍：无损压缩能完整保留成员性语义，但传输尺寸是固定的、无法按需缩减；OR 折叠（OR folding）可以生成更小的表示并保持“无假阴性”这条关键性质，代价是假阳性率（FPR）上升。本文研究的核心问题是：既然折叠后的表示存在多个可选的“保真度—尺寸”工作点，发送方能否根据当下可用的通信资源动态挑选其中一个？作者提出信道感知（channel-aware）的折叠选择框架：发送方始终保留一份未修改的规范过滤器（canonical filter），预先构造出一个满足给定最大 FPR 约束的候选表示目录，并在每一次报告机会上，依据当时可用的通信条件，在满足 FPR 门槛的候选中选择“保留长度最大”（即保真度最高、体积最大但可被承载）的那个表示进行传输。与以往主要受基数规模与假阳性约束驱动的折叠策略不同，这里的决策由随时间变化的信道状况驱动。评估使用两个钓鱼 URL 数据集作为成员集合，并在三种信道模型下进行：五状态马尔可夫容量模型（Five-State Markov Capacity）、Gilbert–Elliott 突发错误模型以及 Rayleigh 块衰落模型。结果表明：当通信机会在时间上波动明显时，信道感知折叠相比“发送完整过滤器”和“无损压缩”两种基线，能同时提升通信效率与接收端状态的新鲜度（freshness）；在条件更友好的 Gilbert–Elliott 模型下，它在效率上仍具竞争力，并能让接收端维持最新的过滤状态。作者由此得出结论：满足 FPR 约束的折叠视图构成了一类有价值的传输工作点，尤其适用于“接收一份较新但保真度略低的更新”优于“延迟等待一个更大表示”的场景。该工作属于理论建模与仿真验证性质，未涉及真实部署或对抗环境下的实测。

本研究针对网络钓鱼页面中利用浏览器指纹识别技术来提升攻击隐蔽性和针对性的新型威胁展开调查。论文标题以“带激光的鱼竿”为隐喻，暗示攻击者不再使用传统钓鱼手法，而是借助精确的浏览器指纹识别‘激光’来锁定受害者。研究团队系统性地分析了大量真实钓鱼页面，通过动态内容提取与追踪脚本检测，识别出其中嵌入的指纹识别代码，并分类了其使用的技术手段，如Canvas指纹、WebGL指纹、AudioContext指纹以及HTTP头信息收集等。进一步地，论文评估了这些指纹识别技术在钓鱼攻击中的实际功能：一方面，通过识别用户设备类型、浏览器版本或地理位置，攻击者可以定制更具迷惑性的钓鱼页面；另一方面，指纹信息可能被用于跟踪用户多次访问，甚至绕过基于频率的安全防护。研究还对比了钓鱼页面与合法页面中指纹识别代码的分布差异，发现钓鱼页面中此类技术的使用率显著高于普通网站，且部分代码高度混淆。通过特征工程和机器学习分类，作者构建了能够自动识别钓鱼页面中指纹识别行为的检测模型，并验证了其在真实流量中的有效性。该工作首次从攻击者视角量化阐述了浏览器指纹识别在钓鱼生态中的滥用现状，为防御方提供了新的检测思路和缓解建议。适合浏览器安全、反钓鱼系统设计及网络犯罪分析领域的研究者和安全工程师阅读。

本论文聚焦社会工程学（Social Engineering, SE）攻击中心理因素（Psychological Factors, PFs）与攻击类型之间的匹配关系。长期以来，网络钓鱼（phishing）被广泛认知，但随着语音钓鱼（vishing）、短信钓鱼（smishing）等新型攻击手段的兴起，攻击者可以结合不同心理诱因与媒介实施攻击。然而，哪些攻击类型对特定心理因素更有效，以及哪些心理因素在特定攻击类型中更能发挥作用，仍缺乏系统性的实证研究。作者开展了一项实验室研究，招募12名参与者，向每名参与者展示全部25种刺激组合（5种心理因素×5种SE攻击类型），记录成功/失败结果。探索性研究结果表明：在权威（authority）、信任（trust）和贪婪（greed）三种心理因素下，鱼叉式钓鱼（spear-phishing）是最有效的攻击类型；整体上最成功的组合是“贪婪+鱼叉式钓鱼”；而“弹窗+权威”“短信钓鱼+权威”“语音钓鱼+好奇心”三组组合完全失败。该研究为理解社会工程学中人类心理弱点与攻击媒介的交互作用提供了初步证据，并为后续更大规模、更细分场景的研究奠定了基础。适合关注安全意识、反钓鱼策略以及社会工程学攻击机理的研究人员和安全培训设计者阅读。

本文针对人工智能（包括智能体和深度伪造技术）的快速发展导致的网络钓鱼攻击门槛降低、攻击频率和复杂度显著上升的问题，提出了一种两阶段反钓鱼框架 CyberGLA。该框架的核心设计理念是结合技术防御与以用户为中心的安全教育，以应对现代钓鱼攻击融合社会工程、URL 欺骗和 AI 深度伪造等多重策略的现状。第一阶段为检测阶段，引入了名为 EmailKnight 的欺骗检测工具，该工具对电子邮件进行多层级分析，以识别潜在的钓鱼特征。第二阶段为培训阶段，利用基于大型语言模型（LLM）的安全教练，根据检测阶段的结果动态选择个性化培训模块，旨在提升用户的网络安全意识和识别能力。这种双重目的的设计哲学使系统能够有效抵御现代电子邮件钓鱼攻击的演变威胁。文章主要贡献在于提出了一个将自动检测与个性化培训相结合的统一框架，并强调了在 AI 增强攻击面前增强用户适应力的重要性。该研究适合关注网络钓鱼防御、安全意识培训、LLM 应用以及人与 AI 交互安全的研究人员、安全工程师和安全教育工作者阅读。

该论文研究了多云环境中跨租户通知工作流的安全设计缺陷。云应用经常通过提供商运营的邮件身份发送通知，这提高了投递率，但使通知参数的提供者与服务主体权限分离。论文通过三个负责任披露的案例，展示了一种被称为'信任工作流中继'的攻击模式：经过身份验证的行为者可以控制一份由受信任提供商服务发送的消息，涵盖跨租户收件人，并可能控制HTML内容。三个案例分别涉及绕过UI长度限制、缺少收件人租户验证、批准应用中的弱访问控制和令牌验证缺陷。作者将此类比为传统SMTP开放中继，但失败点已上升到应用层：行为者已认证，提供商是合法发件人，但应用层授权未能约束谁能触发发送。论文定义了'信任工作流中继'的形式化条件，提供了测试矩阵，映射到MITRE ATT&CK的免附件钓鱼技术，并关联到设备代码钓鱼（RFC 8628）。最后提出了租户绑定、类型化模板、对象级授权、令牌受众验证和身份遥测等防御措施。

本文研究社交媒体平台上的品牌冒充攻击（Brand Impersonation Attacks），这类攻击中，恶意行为者创建与知名品牌高度相似的账号、页面或内容，利用用户对品牌的信任实施钓鱼、诈骗、传播虚假信息等活动，严重威胁品牌声誉与用户安全。该研究由多个学术和工业机构的安全专家合作完成，旨在系统性揭示品牌冒充攻击的规模、特征、策略与影响。文中可能提出一种基于多维度特征的检测框架，融合账号元数据（如账号年龄、名称相似度、头像）、内容特征（如提及频率、链接指向）与社交图谱信息（如粉丝分布、互动模式），以区分真实品牌与冒充账号。作者可能通过对多个主流社交平台的大规模数据采集和机器学习分类模型进行实证评估，证明所提方法能有效识别冒充行为，并探讨攻击者在检测面前的对抗策略及防御改进方向。该研究对安全运营中心（SOC）、平台安全团队及品牌保护部门理解威胁态势、设计主动防御措施具有重要参考价值。注意：由于原始摘要未提供，本摘要基于论文标题和作者背景进行合理推断，实际技术细节与实验结论需查阅原文确认。

该论文介绍 GuardLens 系统，旨在为视觉障碍人士提供更安全的在线浏览体验。视觉障碍用户在浏览网页时常依赖屏幕阅读器等辅助技术，但这些工具往往缺乏针对网络威胁（如钓鱼、恶意链接、诈骗内容）的有效警示机制，导致该群体更容易遭受网络攻击。GuardLens 设想通过集成到浏览器或辅助技术中的安全层，以可访问的方式（如语音提示、触觉反馈或增强的屏幕阅读器输出）向用户实时传递安全信号，帮助其识别和规避潜在风险。论文可能涉及用户研究、系统设计、可用性评估等多方面内容，但当前仅提供题录信息，无法获取详细的方法论和实验数据。该研究填补了网络安全与无障碍交叉领域的空白，提出了面向特定弱势群体的安全防护设计思路。由于没有完整摘要，具体技术实现、实验结论和评估指标均无法确认，建议读者查阅原文获取细节。

本文对2020年至2023年间收集的1300个真实世界中的钓鱼工具包（Phishkits）进行了深度分析，旨在揭示其架构和操作动态。钓鱼攻击一直是攻击者绕过现代防御、渗透关键系统的常用手段，而Phishkits在其中扮演了关键角色，它们通常用于快速生成具有迷惑性的钓鱼页面、执行逃避策略，并与远程攻击者建立后门以窃取数据。研究团队从架构设计、源代码实现、通信通道以及泄露数据的性质等多个维度对样本进行了剖析。他们识别出两类主要的逃避机制：动态重定向和针对来访流量的属性分析，用于伪装和辨别爬虫与真实受害者。同时，研究发现这些工具包高度依赖现有的即时通讯服务（如Telegram等）来传输窃取到的数据，而非使用传统C2基础设施。尽管存在这些高级功能，但分析表明，真正具备复杂功能的Phishkits占比很小，有284个（占21.8%）甚至没有任何逃避机制。此外，虽然各工具包在具体实现细节上存在差异，但维持钓鱼页面正常功能的核心组件高度相似甚至完全相同。这种高水平的代码复用和对已知技巧的依赖，使得大量钓鱼工具包的行为模式可预测，这为安全团队在大规模场景下自动检测和防御此类攻击提供了便利。该研究为理解现代Phishkits的演化提供了宝贵的数据支撑，并指出了防御方可以利用的共性弱点。

本论文聚焦于Android平台上的状态推断攻击（state inference attacks），这类攻击旨在确定其他应用程序的当前状态，并与UI欺骗（UI Spoofing）技术相结合，构成严重的钓鱼攻击威胁。论文核心研究如何防止和检测此类状态推断攻击。攻击者通常会伪装成合法应用的用户界面，诱导用户输入敏感信息，而状态推断则用于在更精确的时机发起攻击或提高说服力。由于仅获得摘要，具体方法细节和实验验证尚不明确，但可推测论文提出了某种防御机制或检测方案，可能涉及应用状态隔离、UI真实性验证、运行时行为监控等维度。该研究对移动安全领域具有重要意义，为蓝队和SOC团队理解此类威胁并提供潜在的防护思路。

本文首次系统性地研究了交易模拟钓鱼（Transaction Simulation Phishing）这一新型攻击方式。加密货币钱包（如 MetaMask）的交易模拟功能能够在链上执行前预览余额变化，以帮助用户识别恶意交易。然而，攻击者利用动态区块链状态依赖的智能合约，让模拟结果呈现良性或高收益假象，而真实链上执行却将用户资金转移到攻击者地址。作者首先提出了一套用于构建此类钓鱼合约的分类法，然后设计并实现了 SIMGUARD，一种在字节码层面结合静态与动态分析的检测系统。SIMGUARD 通过识别合约中对动态状态（如区块信息、时间戳、调用深度等）的条件分支，以及模拟与真实执行间的差异，来标记可疑合约。在以太坊、币安智能链、Avalanche 和 Polygon 四条链上，作者从2024年8月至2025年6月间检测出超过4000个钓鱼合约，涉及超过5700名受害者，累计损失约348万美元，其中91.5%发生在以太坊上。聚类分析显示，最大的钓鱼合约集群贡献了约83%的损失。实验结果揭示了当前钱包防御机制的严重缺陷，证明了现有交易模拟在面对此类攻击时的不可靠性，并强调了开发更稳健模拟机制（如使用真实执行环境或引入不依赖单点模拟的验证协议）的紧迫性。该研究为区块链安全社区提供了新的攻击面认知、检测工具和防御改进方向，对钱包开发者、安全审计人员和区块链安全研究者均具有重要参考价值。

该论文研究了用户对基于QR码的攻击（Quishing）的易感性和意识。随着QR码在日常生活中的普及（如支付、登录、信息获取），攻击者开始利用QR码将用户重定向到恶意网站或触发恶意操作。然而，用户对此类威胁的认知和防御能力尚不明确。研究通过在线问卷调查（N=500+）和受控实验室实验，测量了用户在不同情境下扫描陌生QR码的意愿、对QR码攻击的识别能力以及安全行为。结果显示，大部分用户对QR码攻击缺乏警惕性，容易在信任场景（如停车场、餐厅）中扫描未知QR码，且很难区分合法与恶意QR码。用户普遍高估了自己的检测能力，实际表现远低于自我评估。研究还发现，安全提示（如警告标签）对减少扫描行为有一定效果，但并非万无一失。论文贡献在于首次系统性地量化了QR码攻击的用户漏洞，为设计针对性的安全教育和更安全的QR码交互提供了实证依据。

该论文系统性地分析了导致钓鱼域名注册的各种因素。作者收集了14,500个恶意域名和15,400个良性域名，提取了涵盖注册属性、主动验证和被动安全实践三类共73个特征。通过广义线性模型（GLM）回归，发现注册费用每降低1美元，恶意域名注册量增加49%；免费捆绑服务（如虚拟主机）导致钓鱼活动激增88%；严格的注册限制可减少63%的滥用；而提供API接口的注册商，其恶意域名数量增加401%。研究揭示了经济利益与安全之间的平衡，为域名注册商和TLD运营商制定反滥用策略提供了数据驱动的依据。

本文针对英国近年来激增的“Hi Mum and Dad”短信诈骗（又称亲情诈骗）进行了系统研究。该类诈骗通过冒充子女向父母发送短信（如“妈妈，我手机掉马桶了”），利用紧急情境诱导受害者转账。研究团队收集了英国境内公开报告的诈骗短信样本及受害者投诉数据，采用混合方法：一方面通过自然语言处理技术分析诈骗短信的语言模式、社会工程学技巧和战术演变；另一方面结合犯罪学理论解释诈骗者的策略选择。实验表明，诈骗短信往往包含制造紧迫感的语句、请求隐私（如“不要告诉爸爸”）、以及提供非正规转账渠道等特征。研究还发现，诈骗者会针对不同年龄段和地区的受害者调整话术，且诈骗高峰与学校假期、考试季等时间节点相关。主要贡献包括：首次对英国该类诈骗进行大规模实证分析，揭示了诈骗者使用的心理操纵机制；提出了基于文本特征的自动检测模型原型；并为执法机构和电信运营商提供了阻断建议。该工作对理解社交媒体时代下的社会工程攻击有重要启示，适合安全从业人员、反诈骗研究人员及政策制定者阅读。

本文针对亚马逊Alexa等语音助手环境下的网络钓鱼社会工程学攻击（pretexting）进行了实证评估。研究通过设计模拟攻击场景，测试用户在语音交互中对钓鱼 pretexting 的敏感性。实验招募了参与者，在受控环境中与Alexa互动，并施加以不同借口（如账户验证、促销活动等）的钓鱼诱导。结果显示，相当比例的用户被成功欺骗，提供了敏感信息或执行了不安全的操作。研究还分析了用户的人口统计学特征、技术素养与易感性之间的关系。论文的主要贡献在于首次系统性地量化了语音助手环境下的钓鱼攻击风险，并提出了防御设计建议。适合安全研究人员、语音助手产品安全团队以及社会工程学防御从业者阅读。

本文是一篇系统化知识综述（SoK），针对钓鱼攻击中面向用户的干预措施进行了全面的分类学研究。钓鱼攻击作为普遍的网络安全威胁，不仅针对个人也针对组织。以往的反钓鱼措施开始认识到用户的核心作用：用户作为攻击目标的最前沿，同时也是最后一道防线。然而，现有面向用户的钓鱼干预措施分散于不同的研究领域，缺乏系统化的整理，导致难以全面把握已有工作的各种方法。本研究通过系统性文献分析，构建了一个钓鱼干预措施的分类法。该分类法从四个维度对现有干预措施进行归类：干预类型（如警告、培训、检测辅助）、应对的钓鱼攻击向量（如电子邮件、短信、语音钓鱼）、干预发生的时间（实时或事后）以及所需的用户交互水平（主动、被动或无交互）。此外，论文还揭示了文献样本及先前元分析中暴露的不足与挑战，并结合可用安全领域的最新动向进行讨论。本文旨在为未来钓鱼干预措施的研究提供有益的方向指引，适合安全研究员、可用性工程师及反钓鱼产品设计者阅读。

本文提出一种针对钓鱼攻击（多模态威胁）的混合多层级检测管道。该管道为每种模态独立构建引擎，最后进行融合决策。具体包括三个引擎：1）四阶段URL检测栈：包含域名守卫、词法模型、威胁情报以及一个非对称L2融合侧车；2）鲁棒性增强的DistilBERT NLP分类器，其在真实钓鱼邮件召回率上从0.8%提升至87.3%；3）具备端到端OpenTelemetry可观测性的威胁情报同步器，确保消息1:1守恒。决策级融合阶段在10,677封邮件的全系统基准测试上，通过校准的URL、邮件头和钓鱼概率三个通道的OR融合，达到F1=0.914，同时将真实垃圾邮件的误报率降至3.6%。由于该基准采用了代理URL和邮件头通道，且操作点仍需重新校准，因此结果被视为初步集成结果。作者指出，实际部署的约束在于泛化能力而非同分布精度。

Phishpedia 是一种基于混合深度学习的方法，用于视觉上识别钓鱼网页。传统钓鱼检测通常只输出二分类结果（钓鱼或正常），缺乏解释性；而钓鱼识别方法通过将网页与预定义的合法参考进行视觉对比，能同时报告钓鱼结果及其仿冒的目标品牌，从而提供可解释的结果。然而，现有技术在视觉分析方面面临两大挑战：（1）准确识别网页截图中的品牌标识（logo）；（2）匹配同一品牌不同变体的logo。Phishpedia 设计了一个混合深度学习系统来解决这些问题：它使用一个高效的 logo 检测器定位网页中的 logo，并采用一个基于度量学习的匹配器将检测到的 logo 与已知品牌参考库中的 logo 进行比对，从而确定该网页所仿冒的品牌。与常见方法不同，Phishpedia 无需任何钓鱼样本进行训练，仅依赖于合法网站的参考信息。实验使用真实钓鱼数据，结果表明 Phishpedia 在识别准确率和运行效率上显著优于基线方法（EMD、PhishZoo、LogoSENSE）。此外，作者将 Phishpedia 与 CertStream 服务集成并部署，在 30 天内发现了 1,704 个新的真实钓鱼网站，其中 1,133 个未被 VirusTotal 中的任何引擎报告，证明了其实际效果和增量价值。

本论文针对钓鱼URL检测中的规避问题提出了一种基于网络的方法。现有基于机器学习的检测方法容易受到攻击者的规避：攻击者可以通过使用良性域名、IP地址、URL字符串模式，或利用共享托管服务等方式伪装钓鱼URL，使其看起来像合法的。作者观察到攻击者的一些行为特征：例如，他们会重复使用钓鱼网页，选择便宜的托管商，以及使用共享托管以节省成本。受此启发，论文构建了一个URL关系网络，其中节点表示URL，边表示它们之间的关联（如共享同一IP、域名或托管商）。该方法的核心思想是：即使攻击者对单个URL进行规避，只要网络中大多数邻居节点没有被同时规避，该URL仍可被识别为钓鱼。实验使用了大规模真实数据集，与多种先进方法（包括基于特征的机器学习方法和现有的网络方法）进行了对比。结果显示，所提方法在F1分数（0.89）上显著优于最好的基于特征的方法（0.84），并且对各类规避策略具有鲁棒性。论文还分析了不同网络构建策略的影响，证明了基于多关系融合的网络能有效提升检测性能。该研究为钓鱼URL检测提供了新的视角，尤其适合安全运维团队和研究人员关注。

该论文针对移动短信钓鱼（SMiShing）攻击的用户易感性开展研究。作者通过在美国进行的半结构化访谈，探索手机用户如何判断文本信息的真伪，以及哪些因素影响其决策过程。研究发现，用户主要依赖内容线索（如拼写错误、链接域名）、上下文（如与已知联系人的对话历史）以及直觉（如“感觉不对”）来识别钓鱼短信。同时，用户普遍存在过度自信和低估威胁的倾向。该工作揭示了用户认知与攻击者策略之间的差距，为设计更有效的反钓鱼培训和工具提供了实证基础。

该论文针对传统钓鱼URL检测方法（黑名单、规则匹配）对新出现的钓鱼URL反应迟缓的问题，提出了一种轻量级混合实时检测框架。框架结合黑名单预筛选与多层感知机（MLP）分类器，MLP仅利用URL的结构特征（如长度、域名层级、特殊字符统计等）进行分类，无需访问网页内容、调用第三方API或进行视觉渲染，大幅降低计算开销。模型基于PhiUSIIL数据集（含235,795条标记URL）训练，提取了16维轻量特征。实验结果显示，MLP分类器在准确率（99.24%）、精确率（98.74%）、召回率（99.95%）、F1分数（99.34%）和ROC-AUC（99.65%）上均优于随机森林、逻辑回归、XGBoost、LightGBM和CatBoost。混合架构下，单URL推理平均延迟仅1.2毫秒，并发处理峰值吞吐量达4,200 URL/秒。论文还开发了名为CyberGuard的原型桌面应用，验证了实际部署可行性。该工作证明，仅利用URL结构特征的轻量MLP模型即可在资源受限环境中实现高精度实时钓鱼检测，为终端设备或网络边界的安全防护提供了高效方案。

该论文提出了CrawlPhish框架，旨在自动检测和分类钓鱼网站中的客户端伪装（cloaking）技术。客户端伪装通过JavaScript实现复杂交互，以逃避自动检测系统，但其普遍性和影响此前未被深入研究。研究者在2018至2019年间部署CrawlPhish14个月，收集并分析了112,005个真实钓鱼网站。采用静态和动态代码分析，发现其中35,067个网站使用了1,128种不同的客户端伪装实现技术。攻击者对伪装的使用率从初始的23.32%增长到研究结束时的33.70%。CrawlPhish的检测假阳性率为1.45%，假阴性率为1.75%。研究者对检测到的技术进行了语义分析，提出了包含三大类（用户交互、指纹识别、机器人行为）共八种逃避类型的分类体系。通过150个模拟钓鱼网站的实证实验，证明每类逃避技术都能有效避免基于浏览器的钓鱼检测。用户研究进一步证实这些技术通常不会阻止受害者访问。论文最后提出了改进生态防御能力的方法，以及持续识别新型伪装技术的建议。该研究为蓝队和安全从业者理解钓鱼攻击的逃避机制提供了重要参考，有助于开发更有效的检测和防御策略。

该论文研究了用户对网络钓鱼攻击的脆弱性，重点关注心理和行为因素。研究基于Spamley数据集，包含1086名参与者在真实钓鱼检测任务中的表现。通过探索性因子分析（EFA），识别出五个潜在因子：经验（Seniority）、专业知识（Expertise）、创造力（Creativity）、稳定性（Stability）和脆弱性（Vulnerability）。行为分析发现，决策速度与自我报告的冲动性呈负相关，且快速决策显著区分了脆弱用户与抗性用户。使用K-Means聚类，基于经验（F1）和创造力（F3）两个维度，揭示了两种用户画像：意识型用户（Aware User）和高风险型用户（High-Risk User）。结果表明，仅靠技术知识不足以保证抗钓鱼能力，操作成熟度、决策速度与认知方法的相互作用才是关键。研究发现大多数用户属于高风险类别，其特点是评估过程仓促且批判性分析能力较低。论文强调需要从“一刀切”的培训转向个性化、适应性的网络安全教育，以应对认知偏差和行为倾向。

本文提出一种名为 PhishPrint 的新方法，旨在通过预先分析钓鱼检测爬虫的行为特征，生成针对性的规避策略，从而绕过基于爬虫的钓鱼检测系统。研究背景是当前钓鱼网站广泛采用各种技术逃避检测，尤其是针对自动爬虫的识别与屏蔽。核心问题在于如何有效地绕过主流钓鱼检测爬虫的探测机制。PhishPrint 方法首先对目标爬虫进行 profiling，收集其请求模式、IP 范围、User-Agent、行为时间等特征，然后利用这些信息生成与正常访问无异的请求，同时调整页面内容或响应策略，使得爬虫无法准确识别钓鱼页面。论文通过实验评估了 PhishPrint 在多个真实钓鱼检测爬虫上的表现，证明其能够显著降低检测率，并分析了不同 profiling 策略的有效性。主要贡献包括：提出了基于 prior profiling 的规避框架，量化了多种规避技术的效果，以及揭示了当前钓鱼检测爬虫的脆弱性。该研究适合安全防御者和钓鱼检测系统开发者阅读，以改进爬虫的鲁棒性。

本文首次系统性地研究了以太坊上基于载荷的交易钓鱼（PTXPHISH）攻击。该攻击通过恶意载荷操纵智能合约交互来欺骗用户，相比早期简单交易钓鱼更为高级。研究者首先进行了长期数据收集，构建了包含5000笔钓鱼交易的真实数据集，并将钓鱼策略分为四大类、十一个子类。其次，提出了一种基于规则的多维检测方法，F1分数超过99%，平均每个区块处理时间390毫秒。然后，在300天的大规模检测中发现了130637笔钓鱼交易，造成超过3.419亿美元损失。深入分析揭示：诈骗者每天消耗约13.4 ETH（占以太坊总Gas的12.5%）用于地址投毒；发现了洗钱模式；前五大钓鱼组织造成了40.7%的损失。实际贡献包括向社区报告1726个钓鱼地址（占同期社区贡献的42.7%），发送2539条链上预警消息，帮助了1980名受害者。本研究为对抗新兴PTXPHISH和保护用户资产提供了重要参考。

本文提出了一种名为 PhishSigma++ 的恶意邮件检测方法，旨在解决现有检测器过度依赖易变的文本特征、在对抗性文本操纵下性能急剧下降的问题。研究背景是随着 AI 生成内容（AIGC）的发展，攻击者具备了更丰富的语言能力和逃避技术。核心洞察是：即使攻击者修改表面文本，功能意图仍会约束实体间的关系，这些关系是相对不变的信号。方法上，PhishSigma++ 借鉴了 Sigma 规则的思想，但将其推广到基于实体关系的检测。它从 RFC822 邮件中提取 40 种类型的实体类，计算 5 种跨类型关系以构建类型化邮件图，并使用粒子群优化（PSO）选择稀疏判别掩码，支持分类和类型级证据总结。在 29,142 条消息上，PhishSigma++ 在干净数据上达到 0.9675 F1 分数，在非自适应 Good Word 填充攻击（rho=0.8）下保持 0.9579 F1，而基于 token 的贝叶斯过滤器崩溃至 0.0243，DistilBERT 钓鱼检查点降至 0.7284。相比传统 Sigma 规则，PhishSigma++ 提供了更高的检测率、更广泛的 relational invariance 覆盖和数据驱动的特征选择。此外，阈值化的类型关系分数编码了 Sigma 风格字段条件的有效片段，将手工规则逻辑和学习到的关系掩码统一到单邮件框架中。

该论文提出了PhishLang，一个基于MobileBERT的实时、全客户端钓鱼检测框架。传统钓鱼检测方法通常依赖服务器端分析或黑名单，存在延迟、隐私泄露和无法检测新钓鱼站点的问题。PhishLang通过在客户端设备上直接运行轻量级MobileBERT模型，实现对URL和网页内容的实时分析，无需网络请求，保护用户隐私。框架通过优化模型大小和推理速度，能够在移动设备上高效运行，同时保持高检测准确率。实验结果表明，PhishLang在真实世界数据集上达到了99.2%的准确率和0.7%的误报率，推理时间低于10毫秒。此外，该框架支持可解释性，通过注意力机制提供分类依据。主要贡献包括：首次将MobileBERT应用于客户端钓鱼检测、设计高效的模型压缩与蒸馏策略、以及在多个基准测试上的全面评估。该研究为移动端安全防护提供了轻量级、隐私保护的解决方案。

本文介绍了CtPhishCapture，一个专门检测针对加密货币钱包的凭证盗窃钓鱼诈骗的系统。研究背景是随着加密货币的普及，攻击者通过仿冒钱包登录页面、虚假空投或客服钓鱼等手段窃取用户助记词或私钥。核心问题在于现有反钓鱼方案难以有效识别针对加密货币生态的定制化钓鱼页面。CtPhishCapture的方法结合了视觉相似度分析（网页截图与已知合法钱包UI对比）、URL特征工程（检测域名乱真模式）以及行为分析（检测页面动态加载的凭证提交行为）。系统采用多阶段流水线：首先通过爬虫收集疑似钓鱼URL，然后利用轻量级视觉哈希与OCR提取页面文本，再通过机器学习分类器判断是否具钓鱼特征。实验基于真实钓鱼样本和合法钱包页面数据集，证明系统在低误报率下达到高检测率，尤其能发现隐藏的凭证窃取逻辑。主要贡献包括构建了首个专攻加密货币钱包钓鱼的检测框架、开源了标注数据集，并揭示了攻击者常用的CSS混淆与动态表单注入技术。适合安全研究人员、加密货币交易所防御团队以及关注Web3安全的读者。

本研究深入探讨了电子邮件别名机制引发的身份混淆问题。电子邮件别名允许用户使用同一个邮箱账户生成多个不同地址，但接收方或服务提供商可能无法正确区分这些别名背后的真实身份，从而产生安全风险。论文系统分析了一类攻击场景：攻击者可以利用别名间的视觉或逻辑相似性，伪装成用户的不同身份进行社会工程攻击或绕过访问控制。研究方法包括构建大规模数据集（覆盖主流邮件服务商）、设计身份混淆检测算法，并实验评估现有防护措施的不足。主要贡献包括：量化了别名身份混淆的普遍性与危害性，提出了基于邮件元数据和发送行为的身份区分方法，并给出了改进建议。该工作有助于邮件安全防护、防钓鱼策略的设计。