近日，中睿天下联合CAC邮件安全大数据中心（以下简称CAC中心）发布《2022年第四季度企业邮箱安全报告》，对当前企业邮箱的应用状况和安全风险进行了分析。

1.垃圾邮件同比下降22.16%

日前，CAC（Coremail Anti Spam）邮件安全大数据中心（以下简称CAC中心）发布《2022年第四季度企业邮箱安全报告》，对当前企业邮箱的应用状况和安全风险进行了分析。

根据CAC中监测，2022,Q4 Coremail服务企业邮箱用户共收到5.88亿垃圾邮件，环比下降14.92%，同比下降达22.61%。

图：2021,Q4~2022,Q4垃圾邮件数量走势

图：2022,Q4 CAC中心识别邮件类型分布

CAC中心监测Q4正常邮件收发量占比53.42%，数量为6.58亿，色情赌博类邮件、谣言反动类邮件、钓鱼邮件数量分别为990.3万、507万、6662.4万。维护良好的邮件安全生态环境，离不开对威胁邮件的综合治理，综合提升网络安全系数，保障人民财产安全。

垃圾邮件总量继续出现同比和环比下降，第四季度CAC中心针对失陷账号（失陷账号指Coremail对邮件账号监测与分析判定为异常，已被黑产团伙控制的账号）的处置使得Coremail服务客户外发垃圾邮件的数量下降，平均每周的外发垃圾邮件数量减少了1000万封，治理效果初见成效。

2.垃圾邮件发送源及接收源分析

图：Q4 2022 境外垃圾邮件攻击IP来源 TOP 10国家

企业用户收到来自美国的垃圾邮件从2021,Q3~2022,Q3连续4个季度登顶发送源榜首后，于2022,Q4下跌至第二位，向中国境内发送超过816.9万垃圾邮件。

罗马尼亚上升至首位，垃圾邮件发送量为1017.6万；法国、印度尼西亚、印度、俄罗斯紧跟美国其后，发送量分别为458.3万、428.8万、408.1万。此处的数据应引起警惕，攻击者开始逐步扩大和转移用于攻击的IP池，这里的罗马尼亚IP的高频利用属于IP池轮动的一种表现，下一季度可能又会更换成其他地区的IP。从数据的趋势预判来看，我们防范攻击IP的手段，应该逐步从黑名单（即被动式的拉黑攻击IP）过渡到白名单（即主动式地允许信誉在合理范围内的IP进行交互）进行转变。

来自中国归属地的垃圾邮件数量来源TOP10分析中，来自北京、浙江、江苏的发送量占据前三，发送量分别为935.2万、591.6万、336.4万。由于国内的服务器资源主要集中北京、浙江、江苏，所以被利用作国内发起攻击的IP是在预料之内的。但被利用的频率过高，也足以说明国内对IP资源的管控力度有待加强。

3.钓鱼邮件攻击环比上升 48.12%

图：2021，Q4~2022，Q4钓鱼邮件数量走势

钓鱼邮件社会危害性较大，黑产团伙会根据社会热点新闻、如人才补贴、银行年审、外贸快递、财务结算确认等多种主题诱使用户点击邮件中的钓鱼链接，进而窃取敏感数据、个人银行账户和密码等信息。

对比“Q3 CAC中心识别钓鱼邮件数量”，Q4钓鱼邮件攀升至6662.4万，环比上升13.9%，同比上升21.8%。

从全年数据而言，2021年CAC识别钓鱼邮件1.81亿，2022年上升至2.25亿，增幅高达24.1%，这表明2022年平均每天有61万7088封钓鱼邮件被接收及发出，企业用户面临潜在经济损失不可估量。

4.Q4恶意邮件案例分析

【国家下发劳务/人才补贴】主题诈骗邮件

1.诈骗邮件详情

Coremail从2021年12月开始披露关于黑产团伙冒充国家相关部门下发补贴的钓鱼邮件，主题基本为【工资补贴通知】【《2022财务补贴声明》】等，该组织通过诱导受害者输入银行卡及密码进行实时诈骗，中睿天下该邮件进行了深度溯源，邮件正文是工资补贴通知，在正文中放置了一张二维码图片，诱导收件人扫描正文中二维码，邮件附件的内容和邮件正文一样，并未携带病毒和可执行文件。

在过去的2022年，此类补贴诈骗钓鱼邮件不仅日益猖獗，攻击手法也不断变种。2022,Q2~Q3攻击手法转变为先盗号，使用被盗账号伪装为公司“财务部”“人事部”等公司内部相关人员，向域内大量传播诈骗邮件，利用域内邮箱的高信用度躲避反垃圾反钓鱼检测、骗取“同事”的信任。主题也发展为【XX月份补贴发放通知】【XXX+补贴】【XXX集团财务部-关于发布最新补贴通知】,此诈骗邮件在5月份甚至导致了某门户邮箱网站员工受骗，引发了广泛讨论。

而Q4，黑产团伙偏向使用不同的文案逃避邮件系统厂商反钓鱼检测。Q4常见的钓鱼主题有【2022年末（补贴）补贴须知】、【重要通知】、【2022薪资调整】等，同时正文更多使用图片形式插入，对邮件厂商的反垃圾反钓鱼图片OCR引擎产生极大考验。