过去识别钓鱼，靠的是几样老经验：满屏错别字、语气生硬、地址古怪。这两年这套越来越不管用。借助生成式 AI，攻击者能写出语法地道、贴着公司内部口吻的邮件，甚至配上伪造的老板语音、视频。Verizon 2024 年数据泄露调查报告（DBIR）显示，约 68% 的泄露和人为因素有关，钓鱼和商业邮件诈骗（BEC）仍是高频入口。关键不是记套路，而是掌握几个不靠文笔的判断动作。
先看域名，再看显示名
AI 能把正文写得无懈可击，却很难改变发件真实域名。点开收件人详情看 @ 后的地址：仿冒常用形近替换，把 l 换成 1、o 换成 0，或用近似域名加无关后缀。显示名写"总经理""财务部"不代表真是，显示名可随便填；同事却用着 gmail、163 或陌生后缀，基本可判定可疑。
制造紧迫感、要你绕流程的，先停手
AI 伪造邮件惯用"急"和"权"做杠杆：老板开会、客户催款、马上转账、保密别声张，只靠你来不及核对。凡涉及转账、改收款账号、要密码验证码、点链接、下附件，无论多像本人，都要换一条已留存的渠道二次确认——打已知电话或用公司 IM 找本人，别直接回复。
链接、附件、音视频都要防
写着"点击查看工资条"，真实链接可能指向别处。鼠标悬停（手机长按预览）看真实网址和显示文字是否一致；带宏的 Office 文件、exe、压缩包里套文件都是高危载体。深度伪造能克隆人声、生成口型视频，接到"领导"视频要求紧急转账，可让对方转头、挡脸，或问一个只有真人才答得上的问题。大额转账、账号变更一律走多渠道复核，单一邮件、电话、视频都不能作为付款指令。
技术兜底不能少
员工再细心也会失手，要靠技术把收尾这道关补上：邮件网关做 SPF、DKIM、DMARC 校验拦截仿冒域名，可疑附件进沙箱；账号强制多因素验证（MFA），微软公开数据显示 MFA 能拦截约 99.9% 的自动化账号攻击；再配定期钓鱼演练。
蓝讯智能科技长期为企业做邮件安全规划，会把网关、身份验证、防泄密和员工演练结合设计，而不是只靠员工自觉。文笔可以伪造，域名、流程和二次核对伪造不了，遇到钱、账号、链接，慢一步核实总比快一步中招强。
