语音钓鱼是一种通过电话或语音消息进行的网络钓鱼攻击——它可以是语音留言、视频通话或电话通话。它针对企业和个人，用来窃取数据和金钱，或发起进一步的诈骗。

一个人的声音已不再可信。借助 AI 语音克隆，攻击者可以轻松冒充家庭成员或亲密朋友，其声音听起来足够熟悉，不会引起任何怀疑。

AI 语音克隆使得企业比以往任何时候都更有必要加强对语音钓鱼诈骗的防御。一段以假乱真的伪造声音可被用来冒充高管、员工、供应商或客户，从而增加欺诈性付款、凭证窃取、帐户接管、数据泄露以及内部运营中断的风险。

由于这些攻击可以利用正常的业务流程和已信任关系，组织需要建立不依赖于来电者听起来是否熟悉或令人信服的验证程序。

什么是语音钓鱼？

语音钓鱼是一种通过电话或语音消息进行的网络钓鱼。骗子会冒充银行、雇主、政府机构或家庭成员等已信任的人或组织，诱骗受害者分享敏感信息、发送钱财或采取其他行动。

这一名称来自“voice”与“phishing”。它与短信钓鱼密切相关，后者使用短信或文字消息而非语音通话来实施类似诈骗。

如今，语音钓鱼还可能结合 AI 语音克隆技术，让骗子能够模仿真人的声音，使来电听起来更具说服力。

语音钓鱼的运作原理是什么？

语音钓鱼通常将冒充身份、社会工程学和紧迫感结合在一起。它利用实时会话的压力，促使对方在来不及核实请求之前就采取行动。来电者可能自称 IT 人员，要求确认登录；也可能冒充银行员工，声称正在核查可疑交易；或者假扮急需批准付款的高级高管。

与网络钓鱼电子邮件不同，语音钓鱼可能没有可疑链接、附件或陌生的发件人地址可供检查。来电者的声音可能听起来平静、令人信服，甚至十分熟悉，尤其是在涉及 AI 语音克隆的情况下。

其目的通常是诱骗受害者透露凭证或一次性代码、批准转账、重置帐户访问权限，或绕过正常的安全流程。在企业环境中，这可能意味着诱骗财务人员授权付款、冒充 IT 支持人员收集登录详细信息，或诱导员工让攻击者访问公司帐户。

AI 让语音钓鱼更难被发现

传统的语音钓鱼诈骗往往因脚本拙劣、威胁露骨、呼叫中心背景嘈杂，或来电者的声音根本无法令人信服而露出马脚。有些至今仍然如此。但企业再也不能把语音质量、自信程度或熟悉感当作来电真实可靠的标志。

AI 语音克隆使得对真人的模仿能够逼真到编造出可信请求的程度。攻击者可以将克隆语音与来电显示欺骗相结合，并利用从LinkedIn、公司网站、公开访谈、社交媒体或以往数据泄露中收集到的详细信息。

这使得熟悉的声音作为信任信号尤其危险。人们习惯于通过语气、自信程度、迟疑，或声音是否像自己认识的人来判断来电者。AI 能够再现其中许多线索，让被冒充的高管、同事、供应商或 IT 员工听起来平静、匆忙、权威或忧心忡忡。

2025 年，FBI 警告（新窗口）称，恶意行为者正在利用短信钓鱼和 AI 生成的语音消息冒充美国高级官员，建立信任，并试图获取个人帐户的访问权限。

对企业而言，攻击者并不需要完美的模仿。他们只需要一通足以促成行动的可信来电，例如批准付款、分享验证码、重置密码或更改帐户访问权限。

这就是为什么敏感请求应通过另一个已信任的频道进行核实，即使来电者的声音听起来与员工认识的人一模一样。

针对企业的常见语音钓鱼示例

当请求听起来合情合理时，语音钓鱼最容易得逞。攻击者通常会选择符合正常业务日常的场景，然后再施加紧迫感。以下是常见的语音钓鱼示例：

冒充 IT 支持

一种常见场景是冒充 IT 支持。员工接到自称来自公司服务台、软件提供商或安全团队的来电。来电者可能声称存在登录问题、紧急更新、可疑活动或需要迁移，要求员工确认凭证或读出一次性代码。

冒充财务人员

冒充财务人员是另一种高风险套路。来电者假扮 CEO、CFO、高级经理或已信任的供应商，要求尽快处理一笔付款。这种压力可能被包装成机密事宜、时间紧迫，或与某笔交易、发票、税务问题或供应商问题相关。

银行欺诈来电

银行欺诈来电也很常见。来电者自称来自公司的开户银行，并就可疑交易发出警告。员工被要求确认详细信息、批准安全操作、转移资金，或提供让攻击者日后得以访问帐户的信息。

冒充政府机构

冒充政府机构同样会影响企业。涉及英国税务海关总署 (HMRC) 的来电十分常见，以至于 HMRC 专门提供了举报可疑电话的渠道（新窗口）。来电者可能提及报税截止日期、增值税 (VAT)、工资单、罚款、退税或调查，以制造紧迫感。

冒充供应商和客户

还有冒充供应商和客户的来电。骗子可能假扮要更改付款详细信息的供应商、请求访问门户的客户，或索要文档链接的合作伙伴。这类来电可能不会立即索要钱财，而只是旨在收集信息以便日后发起攻击。

凭证关联

语音钓鱼往往最终指向凭证，即使它以会话开场。攻击者可能直接索要密码，但许多语音钓鱼企图更为隐蔽。来电者可能要求员工确认用户名、读出验证码、批准双因素身份验证 (2FA) 提示，或在来电者不挂断电话的情况下登录虚假门户。

凭证一旦泄露，造成的损害取决于这些凭证能解锁什么。例如，重复使用的密码可以让攻击者访问不止一项服务；共享登录会让追查帐户使用者变得更加困难；缺少双重验证 (2FA) 要求则可能使密码成为唯一的防线；权限过大的帐户可以让一通得逞的来电换来更广泛的访问权限。

凭证卫生是防范语音钓鱼攻击的重要一环。为每项服务使用唯一密码可以限制被盗密码的扩散范围。企业密码管理器减少了员工记忆或重复使用密码的需要，而内置的密码生成器⁠让为每个帐户创建强而唯一的密码变得轻松许多。安全分享可确保凭证不出现在通话、聊天和文档中。当密码已泄露时，双重验证 (2FA) 可增加又一道防线。

为什么泄露数据让语音钓鱼更具说服力

当攻击者已经掌握企业的一些信息时，语音钓鱼来电会更具说服力。这些信息可能来自公开来源：职位头衔、供应商、高管、公司架构、新闻稿、社交媒体帖子、会议视频、播客或员工资料。

这些信息也可能来自泄露或被盗的数据，包括电子邮件地址、电话号码、帐户详细信息、已暴露的凭证或内部文档。

我们的数据泄露观测站⁠显示了泄露数据如何在最初泄露事件之外制造风险。骗子只需要一个电话号码、一个职位头衔、一个供应商名称和一个旧密码，就足以显得可信。

员工可能已在其他地方重复使用过相同信息，供应商可能已遭泄露，或者攻击者可能综合多个公开和泄露的来源来编造可信的说辞。实际上，企业应将暴露的数据视为未来诈骗的燃料。攻击者知道得越多，来电听起来就越不像随机行骗。

如何核实可疑来电

如有疑虑，请结束通话，并自行核实请求是否属实。语音钓鱼依赖的是让您保持在线，诱使您立即回应、立即行动。只有当员工能够暂停、摆脱这种压力，并通过企业已信任的频道再次核实时，验证才会有效。

对于任何涉及凭证、付款、双重验证 (2FA) 代码、远程访问、银行信息、帐户恢复或权限变更的请求，请结束通话，另行核实该请求。这可能是通过公司通讯录回拨对方电话、通过银行官方网站上的号码联系银行、提交内部 IT 工单，或核对已存储在公司记录中的供应商详细信息。

回拨号码绝不应来自来电者本人。来电显示也不足以采信，因为号码可以被欺骗。关键在于回到已信任的来源，而不是继续一段可能正被攻击者操控的会话。

正当的高管、供应商、银行和 IT 团队应当能够接受对敏感请求的核实。如果来电者变得咄咄逼人、要求保密或拒绝回拨，这只会让员工更有理由停下来，而不是加快行动。

围绕攻击手法而非脚本建立语音钓鱼防范意识

针对语音钓鱼的防范意识培训不应只教大家识别一组诈骗话术。脚本会迅速变化，而操控套路则更为稳定。

员工应学会识别来电背后的攻击手法，而不仅仅是脚本。他们还需要掌握自己的应对策略，以便在拿不准时有所依循：

  • 如果来电者让他们感到被催促、焦虑，或觉得必须立即解决问题，这就是一种攻击手法，而非紧迫性的证明。来电者可能自称高级高管、银行欺诈调查员、税务机关、供应商或安全团队成员。说辞可以千变万化，但施加的压力往往如出一辙：立即行动、保密此事、相信我的职权、跳过常规检查。
  • 培训还需要涵盖 AI 语音克隆。传递的信息应当清晰而不制造恐慌：熟悉的声音不足以授权有风险的操作。应让员工明白，他们有权暂停。如果来电者要求付款、提供凭证、代码、更改访问权限或采取紧急变通办法，安全的应对方式是终止会话，请求几分钟时间，并通过已知号码或其他已信任的频道核实该请求。
  • 安全口令、回拨规则或书面审批流程，比试图判断对方的声音是否“不对劲”更可靠。任何正当的紧急请求都不应因为为核实而进行的短暂延迟而无法完成。

疑似语音钓鱼来电后的应对措施

疑似电话网络钓鱼诈骗应尽快上报，即使没有发送钱款、没有分享密码。未遂事件很有价值，因为它们能显示攻击者可能正在针对哪些员工、供应商或流程。

第一步是记录详细信息：

  • 来电时间
  • 显示的号码
  • 来电者声称的身份
  • 要求执行的操作
  • 提及的姓名
  • 涉及的系统
  • 是否分享了任何信息。

请确保不要再联系来电者提供的号码。

如果分享了凭证、一次性代码、付款详细信息或远程访问权限，请按紧急情况处理：

  • 重置受影响的密码
  • 尽可能撤销会话
  • 检查帐户活动
  • 强制启用双重验证 (2FA)
  • 检查相同的密码是否也在其他地方使用。

Proton Pass for Business 如何帮助降低凭证风险

语音钓鱼是针对人的攻击，但其造成的损害往往取决于凭证管控，例如密码、共享访问权限和帐户保护。像 Proton Pass for Business 这样的企业密码管理器可以帮助团队降低一通得逞的来电演变为更广泛访问权限的风险。

员工可以通过 Proton Pass 内置的密码生成器⁠为每项服务生成强而唯一的密码，将其存储在已加密的保险库中，使用自动填充、安全分享凭证、管理通行密钥，并使用内置的双因素身份验证

这对防范语音钓鱼很有价值，因为即使攻击者在通话中获取了您的密码，没有第二重验证因素也无法进入帐户。Proton Pass 还提供带有暗网监测的Pass Monitor，如果您的电子邮件出现在已知数据泄露事件中，它会向您发出提醒，让您知道凭证可能何时已经泄露。

Proton Pass 还为企业日常访问提供了更安全的默认方式。当员工拥有经过认可的方式来存储和分享凭证时，如果有来电者要求他们读出密码或通过聊天发送访问权限，应当立即引起警觉。

让语音请求默认可核实

语音钓鱼之所以奏效，是因为声音给人即时而亲切的感觉。来电者可以听起来自信、熟悉、乐于助人或权威十足。AI 语音克隆让这种信任更加不可靠。企业需要养成一种不依赖于来电者听起来多么令人信服的核实习惯。

最重要的规则很简单：不要在通话中分享凭证，不要仅凭电话请求就批准异常付款，也不要将来电显示当作身份证明。挂断电话，通过已知频道进行核实，并记录任何可疑情况。

对中小企业而言，流程可以保持简单。敏感请求应有回拨规则，付款和权限变更应要求通过另一频道确认，员工应了解让语音钓鱼显得可信的职权施压和制造紧迫感等手法。凭证还应保存在企业密码管理器中，使密码保持唯一、得到安全分享，并且一旦因通话而泄露也更易于轮换。

语音网络钓鱼将持续演变，尤其是随着 AI 让冒充成本更低、更具说服力。防御之道在于让每个敏感请求在任何人采取行动之前都可核实。

使用企业密码管理器⁠保护您的企业凭证免受语音网络钓鱼的侵害。