Coremail邮件安全人工智能实验室、CACTER邮件安全研究团队发布《2026年第二季度企业邮箱安全性报告》。报告基于企业邮箱安全大数据，对Q2垃圾邮件、钓鱼邮件、账号安全风险及银狐黑产诈骗邮件等安全趋势进行了分析。

01

攻击格局剧变：

国内“多点开花”，境外持续高压

2026 年第二季度，国内格局正从“香港单点突出”转向“多省份并行活跃”。山东（558.5万封）首次超越香港（481万封）位居第一，江苏（471.7万封）紧随其后，北京、浙江、广东等地也保持高位。攻击资源分散到全国多个省份，企业全域邮件防护难度大幅提升。

2026年第二季度国内十大钓鱼邮件攻击源头省份

境外发来的钓鱼邮件占全部钓鱼邮件的 64.38%，跨境邮件一直是企业防护的难点。境外源头里，越南以 9322 万封攻击量遥遥领先，占境外前十攻击源总量近六成，美国、德国分列二、三位。越南当地数据泄露频发、网络安全监管薄弱，现已成为全球钓鱼邮件核心发源地。

本季度出现了一种隐蔽性极强的钓鱼方式：攻击者仿冒Microsoft 365或各类协作平台，以“文件待查看”“签字审批”“报价单”“待办文件”等名义发送文件分享通知，诱导员工点击。

这类攻击的隐蔽性在于：邮件不携带恶意附件或明显可疑链接，看起来就是普通的文档协作邀约。对于经常处理跨部门、跨公司文档的员工来说，几乎无法凭直觉分辨真伪，只要输入账号密码，企业邮箱账号、内部资料会直接泄露。

本季度银狐诈骗邮件总量达2896万封，单日峰值高达149.85万封（4月22日）。有三个明显的新特征值得重点关注：

银狐团伙开始利用企业部门名称、业务角色信息增强邮件可信度。根据监测数据：发信人fromname TOP10中有3个仿冒了收信人域名。与此同时，黑产的投递手段不断更新，从早期邮件内嵌二维码，逐步演化出加密压缩包、Office 加密文档、图片正文、信息写入附件等多种方式，刻意规避文本、链接类基础检测。

第二季度天气转热后，“高温津贴”“高温补贴”等相关主题邮件集中爆发，合计达441万封。攻击者对政策的敏感度和响应速度已经和正规企业相当，能精准把握“什么时间点说什么话题最容易被打开”。

为了提高投递效率并规避安全检测，黑产持续更新发信工具和投递方式。本季度既监测到常见批量发信工具，也发现通过随机字符串命名的自研发信软件。攻击者通过工具变化、内容伪装和投递策略调整，不断提升邮件攻击的隐蔽性。