46、如何调查无传统钓鱼线索的钓鱼邮件

如何调查无传统钓鱼线索的钓鱼邮件

1. 研究背景与数据收集

在研究用户如何调查无传统钓鱼线索的钓鱼邮件时，为确保邮件不含钓鱼的技术线索，我们采取了一系列措施。首先购买了四个域名，用新的公共 IP 地址进行注册，并直接从这些域名发送邮件。为提高邮件送达率，在发送正式研究邮件前，先从新域名向各网络邮件提供商的收件箱发送了几百封邮件，最终将送达率提高到了 99.70%。

我们获取了两个数据集：调查回复数据和四轮钓鱼活动的跟踪数据。跟踪数据涵盖了钓鱼邮件交互漏斗的四个阶段：
1. 送达 ：使用商业网关发送邮件，并记录每封邮件的送达时间。
2. 打开 ：通过动态元素跟踪邮件的打开情况。
3. 点击 ：点击邮件中的钓鱼链接，使用 HTTPS 打开网站。
4. 提交 ：钓鱼网站要求用户输入个人数据（用户名、密码或地址），提交后显示说明页面。

服务器会记录点击和提交阶段的时间戳、请求页面、IP 地址和用户代理等信息。网站包含基于 JavaScript 的跟踪元素，可记录加载和卸载时间戳、屏幕和窗口尺寸、滚动、鼠标和触摸行为、窗口可见性变化、输入模糊和焦点事件等。

为了准备后续分析，我们对跟踪数据进行了清理，将纳入进一步分析的网页请求从 6881 个减少到 5275 个，具体操作如下：
1. 过滤自动化流量 ：使用基于 ASN 和用户代理的过滤方法，清理自动化邮件沙箱和安全系统的流量，排除运营商、托管和安全服务提供商网络的流量，以及非浏览器（