【CACTER邮件安全洞察】Q3钓鱼暴涨172.5%，“退信”变钓饵
Coremail CACTER邮件安全人工智能实验室最新发布《2026 年第三季度企业邮箱安全性报告》。报告依托海量企业邮箱安全数据，梳理了本季度垃圾邮件、钓鱼邮件、账号风险、银狐黑产诈骗邮件的整体趋势，里面有几个新变化值得所有企业留意。
数据显示，2026第三季度：
钓鱼邮件总量达到 4.66亿封，同比增长172.5%，境内来源占比首次超过境外。
出现冒充邮件网关的退信通知钓鱼邮件，利用用户担心邮件丢失的心理诱导点击。
银狐黑产诈骗邮件累计达到 2358.68万封，人事补贴类邮件仍是主要诈骗热点。
以下为报告摘取内容
点击【下载】即可获取完整版
攻击来源在变、钓鱼套路在迭代，老牌黑产诈骗也还在持续活跃，我们一起来拆解本季度邮件安全的几大风险动向。
2026年第三季度，企业邮箱面临的钓鱼邮件风险进一步上升。
本季度钓鱼邮件一共 4.66 亿封，环比涨了 15.5%，同比更是飙升 172.5%。还有一个关键性变化：境内来源钓鱼邮件占比 51.52%，境外占比 48.48%，近五个季度里境内攻击占比首次超过境外。
境内攻击源里，中国香港以 4773.9万封的攻击量遥遥领先，约是第二名湖北的 15.5倍，北京、山东紧随其后；境外侧，越南依旧是头号攻击源，攻击量 7048.4 万封，为第二名美国的 11.1倍。
这份攻击源分布数据，也折射出攻击链路的变化趋势：攻击者利用境内网络资源、被盗账号做中转发起攻击，这个手段并不新颖，只是随着占比抬升，风险进一步凸显。
以往大多企业习惯重点防范境外邮件，现在要意识到：仅仅依靠 IP 属地来判断邮件风险，已经很难守住防线，来自境内的邮件同样需要审慎核验。
本季度检测到一种迷惑性极强的钓鱼玩法：攻击者伪装成邮件网关的系统通知，提示有多封邮件被拦截，附带 “恢复邮件” 按钮，诱导员工跳转至仿冒页面。
不同于账号过期、账号停用这类传统钓鱼，它高度贴合日常办公场景。攻击者不用高额福利引诱，也不制造紧急指令施压，而是利用大家对邮件系统的固有信任，以及担心错过合同、客户消息、审批文件的焦虑感设下圈套。
对于天天对接业务邮件的员工来说，看到 “邮件被拦截”，本能就会想去看看是什么内容。再配上做得以假乱真的系统界面，很容易就放下防备。
这也说明，钓鱼攻击已经盯上了日常办公里的信任场景。除了传统的账号登录、文件分享、财务通知，像邮件隔离、退信提醒这类系统消息，同样要多加留心。
如果说网关退信钓鱼代表着攻击玩法的新花样，那银狐黑产的表现就印证了一件事：老套路，照样能骗到人。
本季度银狐诈骗邮件总量 2358.68 万封，人事补贴类主题依旧大行其道，其中《关于开展 2026 年度高温津贴发放工作的通知》发送量最高，达到 87.20 万封。
早在第二季度津贴相关诈骗邮件就已经大规模爆发，合计 441 万封。进入第三季度，黑产还在持续拿这个话题做文章，足以看出和员工切身利益挂钩的补贴话题，是攻击者的“流量密码”。
不光改邮件标题，攻击者还可以模仿企业人事身份。本季度银狐诈骗邮件里，发件人显示为 “人力资源部” 占比 58.97%，带上 “人力”“HR”“人事” 这类关键词的发件名称合计占到 75.73%。
这里也提醒各位员工：就算发件人显示是人力资源部，碰到津贴申领、要填个人和银行卡信息的邮件，千万别直接点链接，走公司内部渠道核实清楚再说。
综合第三季度的风险情况：钓鱼邮件数量暴涨，境内攻击占比首次反超境外；网关退信钓鱼成为新威胁；银狐黑产靠补贴诱饵+被盗账号。
可见邮件仿冒程度越来越高，还存在内部扩散的可能，企业需要搭建多层防护体系。
技术层面
管理层面
意识层面
钓鱼藏在日常办公细节中，技术防护、账号管控、安全培训协同落地，才能从容应对不断演变的邮件攻击。
