Coremail CACTER 邮件安全人工智能实验室最新发布《2026 年第三季度企业邮箱安全性报告》。报告依托海量企业邮箱安全数据，梳理了本季度垃圾邮件、钓鱼邮件、账号风险、银狐黑产诈骗邮件的整体趋势，里面有几个新变化值得所有企业留意。

数据显示，2026年第三季度：

1. 钓鱼邮件总量达到 4.66亿封，同比增长172.5%，境内来源占比超过境外。

2. 出现冒充邮件网关的退信通知钓鱼邮件，利用用户担心邮件丢失的心理诱导点击。

3. 银狐黑产诈骗邮件累计达到 2358.68万封，人事补贴类邮件仍是主要诈骗热点。

攻击来源在变、钓鱼套路在迭代，老牌黑产诈骗也还在持续活跃，我们一起来拆解本季度邮件安全的几大风险动向。

一、境内钓鱼邮件占比反超，攻击格局出现新变化

2026年第三季度，企业邮箱面临的钓鱼邮件风险进一步上升。

本季度钓鱼邮件一共 4.66 亿封，环比涨了 15.5%，同比更是飙升 172.5%。还有一个关键性变化：境内来源钓鱼邮件占比 51.52%，境外占比 48.48%，近五个季度里境内攻击占比第一次超过境外。

境内攻击源里，香港以 4773.9 万封的攻击量遥遥领先，约是第二名湖北的 15.5 倍，北京、山东紧随其后；境外侧，越南依旧是头号攻击源，攻击量 7048.4 万封，为第二名美国的 11.1 倍。

这份攻击源分布数据，也折射出攻击链路的变化趋势：攻击者利用 境内 网络资源、 被盗账号 做中转 发起攻击 ，这个手段并不新颖 ，只是随着占比抬升，风险进一步凸显。以往 大多 企业习惯重点防范境外邮件，现在要意识到：仅仅依靠 IP 属地来判断邮件风险，已经很难守住防线，来自境内的邮件同样需要审慎核验。

二、警惕 “网关退信通知”，熟悉的邮件流程也可能暗藏陷阱

本季度检测到一种迷惑性极强的钓鱼玩法：攻击者伪装成邮件网关的系统通知，提示有多封邮件被拦截，附带 “恢复邮件” 按钮，诱导员工跳转至仿冒页面。

不同于账号过期、账号停用这类传统钓鱼，它高度贴合日常办公场景。攻击者不用高额福利引诱，也不制造紧急指令施压，而是利用大家对邮件系统的固有信任，以及担心错过合同、客户消息、审批文件的焦虑感设下圈套。

对于天天对接业务邮件的员工来说，看到 “邮件被拦截”，本能就会想去看看是什么内容。再配上做得以假乱真的系统界面，很容易就放下防备。这也说明，钓鱼攻击已经盯上了日常办公里的信任场景。除了传统的账号登录、文件分享、财务通知，像邮件隔离、退信提醒这类系统消息，同样要多加留心。

三、银狐黑产持续盯上人事补贴：熟悉的套路仍然有效

如果说网关退信钓鱼代表着攻击玩法的新花样，那银狐黑产的表现就印证了一件事：老套路，照样能骗到人。

本季度银狐诈骗邮件总量 2358.68 万封，人事补贴类主题依旧大行其道，其中《关于开展 2026 年度高温津贴发放工作的通知》发送量最高，达到 87.20 万封。

早在 第二季度 津贴相关诈骗邮件就已经大规模爆发，合计 441 万封。 进入第三季度 ，黑产还在持续拿这个话题做文章，足以看出和员工切身利益挂钩的补贴话题，是 攻击者 的 “流量密码”。

不光改邮件标题， 攻击者 还 可以 模仿企业人事身份。本季度银狐诈骗邮件里，发件人显示为 “人力资源部” 占比 58.97%，带上 “人力”“HR”“人事” 这类关键词的发件名称合计占到 75.73%。

这里也提醒各位员工：就算发件人显示是人力资源部，碰到津贴申领、要填个人和银行卡信息的邮件，千万别直接点链接，走公司内部渠道核实清楚再说。

四、防护建议

综合 第三季度 的风险情况：钓鱼邮件数量暴涨，境内攻击占比反超境外；网关退信钓鱼成为新威胁；银狐黑产靠补贴诱饵+被盗账号 。邮件仿冒程度越来越高，还存在内部扩散的可能，企业需要搭建多层防护体系。

Ø 技术层面：别单纯依赖关键词规则，针对性识别仿冒网关、人事类诈骗钓鱼，依托 CACTER 邮件安全网关拦截威胁；

Ø 账号层面：盯紧账号异常行为，排查异常登录、私自修改转发规则等风险，借助 CACTER 邮件安全管理中心及时处置风险账号；

Ø 意识层面：围绕 “邮件被拦截”“高温津贴申领” ，利用 CACTER反钓鱼演练平台进行 钓鱼演练，补齐员工安全意识短板。

钓鱼藏在日常办公细节中，技术防护、账号管控、安全培训协同落地，才能从容应对不断演变的邮件攻击。

以 上 为报告摘取内容

关注【 CACTER 邮件安全】公众号 即可获取完整版