根据《2023年网络钓鱼状况报告》显示，自2022年第四季度至2023年第三季度，网络钓鱼电子邮件数量激增了1265%。其中，利用ChatGPT等生成式人工智能工具和聊天机器人的形式尤为突出。
除了数量上的激增外，网络钓鱼攻击模式也在不断进化，变得愈发难以检测和防御。为了最大限度降低网络钓鱼的影响，组织有效的网络钓鱼模拟无疑是一项有效办法。而这其中，免费的网络钓鱼模拟器绝对是预算有限公司的首选。
一般来说，如果您正在为公司寻找一款免费的网络钓鱼模拟器，通常有以下三个选择：
1.简单的工具。允许您制作一个简单的电子邮件消息，并通过使用指定的邮件服务器将其发送给一个或多个收件人。它们通常不具备报告或活动管理等功能，更像是渗透测试工具，而不是网络钓鱼模拟器。
2.开源网络钓鱼平台。这个类别占据了此次榜单的大部分。您可以获得开源的所有一般性优势，例如功能丰富的免费版本和社区支持等。但是所有常见的缺点也都存在：像这样的工具通常需要一些重要的技术技能来安装、配置和运行。此外，它们大多数都是基于linux的。所以，技能有限的人可能对此并不感兴趣。
3.商业产品的演示版本。大多数商业网络钓鱼模拟器都以软件即服务（SaaS）的形式提供。它们的优势是易于使用，丰富的功能（包括报告），技术支持等。随着网络钓鱼成为网络安全的最大风险之一，商业网络钓鱼模拟器如雨后春笋般冒出来，找到一个免费的演示通常很容易，但仍需仔细甄别。
9款顶级网络钓鱼模拟器
- Infosec IQ
Infosec的Infosec IQ包括免费的网络钓鱼风险测试，允许自动启动模拟网络钓鱼活动，并会在24小时内收到有关组织的网络钓鱼率信息。
还可以访问Infosec IQ的全面网络钓鱼模拟工具PhishSim，为整个企业提供运行复杂的模拟。PhishSim包含1000多个钓鱼模板，且每周都会更新新的模板，为员工了解最热门的网络钓鱼诈骗技术提供了渠道。如果您想建立自己的网络钓鱼邮件，PhishSim还有一个拖放式模板构建器，允许您根据自己的实际需求构建网络钓鱼活动。
只需简单注册一个免费的Infosec IQ帐户，就可以完全访问PhishSim模板库和教育工具。不过，需要与Infosec IQ的代表沟通，以便启动免费的PhishSim活动。
Infosec还提供了Infosec IQ模拟网络钓鱼和安全意识平台的免费个性化演示，方便用户更好、更快地上手。
传送门：https://www.infosecinstitute.com/
- Gophish
作为一个开源的网络钓鱼平台，Gophish实现了很多优势：大多数操作系统都支持它，安装就像下载并提取ZIP文件夹一样简单；界面简单直观；功能虽然有限，可满足大部分需求；无论是手动或通过批量CSV导入，都
主要缺点：没有意识教育组件，没有活动安排选项。
传送门：https://getgophish.com/
- LUCY
LUCY提供了该平台免费（社区）版本的无障碍下载。Web界面很吸引人（有些人可能觉得有点混乱），并且有很多功能值得探索：LUCY被设计为一个超越网络钓鱼的社会工程平台。
意识培训元素通过交互式模块和测验来解决，但是LUCY的社区版本有太多限制，无法在企业环境中有效使用。在社区许可下，某些重要功能不可用，例如导出活动统计信息、执行文件（附件）攻击，以及最重要的活动调度选项。如果想体验这些功能，可能需要升级至付费版本。
传送门：https://wiki.lucysecurity.com/doku.php?id=lucy_pricing
- SpeedPhish框架（SPF）
Adam Compton创建的这款SPF包含许多功能，可快速配置和执行有效的网络钓鱼攻击，包括数据输入攻击向量（包括3个网站模板，也可以使用自定义模板）。虽然精通技术的安全专业人员可以从SPF中获得很多乐趣，并且能够针对多个目标运行网络钓鱼活动，但它仍然主要是一个渗透测试工具，许多功能（如电子邮件地址收集）对于执行内部网络钓鱼测试的人来说并不重要。
传送门：https://github.com/tatanus/SPF
- Social-Engineer Toolkit（SET）
SET由TrustedSec开发，旨在执行各种社会工程攻击。对于网络钓鱼，SET允许发送鱼叉式网络钓鱼电子邮件，运行大量邮件活动，以及一些更高级的选项，例如将您的消息标记为高度重要，并从文件中添加目标电子邮件列表。SET是基于Python的，没有GUI。作为一种渗透测试工具，它是非常有效的。但作为一个网络钓鱼模拟工具，它是非常有限的，不包括报告或活动管理功能。
传送门：https://www.trustedsec.com/tools/the-social-engineer-toolkit-set/
- Phishing Frenzy
虽然这个开源Ruby on Rails应用程序被设计为渗透测试工具，但它有许多特性可以使其成为内部网络钓鱼活动的有效解决方案。最重要的功能是能够查看详细的活动统计信息，并轻松地将信息保存为PDF或XML文件。然而，Phishing Frenzy是一个基于linux的应用程序，其安装和操作并不适合新手。
传送门：https://github.com/pentestgeek/phishing-frenzy
- Usecure - uPhish
uPhish是Usecure套件的一个组件，专注于解决日益增长的网络钓鱼攻击威胁。免费的网络钓鱼模拟是uPhish平台为期14天免费试用体验的一部分，该平台由一系列可定制的网络钓鱼模板组成，以模拟现实世界的攻击场景。这些模拟的网络钓鱼活动可以帮助评估其面对此类攻击的脆弱性，并确定需要改进的领域。此外，uPhish还提供详细的分析和报告来衡量员工的进步情况。
传送门：https://www.usecure.io/en/uphish/phishing-software
- Sophos - Sophos Phish Threat
Sophos Phish Threat是一种安全解决方案，可以帮助组织保护自己免受网络钓鱼攻击，用户必须设置一个免费试用，来了解更多关于模拟网络钓鱼活动的内容。Sophos Phish Threat提供实时报告和分析，使企业能够跟踪其进展，并识别网络钓鱼攻击的趋势。企业可以利用这些见解来加强自身的安全措施，并跟上不断变化的威胁形势。
传送门：https://www.sophos.com/en-us/products/phish-threat
- King Phisher
King Phisher的功能非常丰富，可同时运行多个活动、钓鱼用户的地理定位和网页克隆功能。单独的模板存储库包含消息和服务器页面的模板，用户界面干净简单。然而，安装和配置并没有那么简单。King Fisher服务器仅在Linux上受支持，根据风格和现有配置需要额外的安装和配置步骤。
传送门：https://github.com/rsmusllp/king-phisher
其他选择
- SafeTitan-安全意识和网络钓鱼培训
SafeTitan安全意识和网络钓鱼培训是一项全面的计划，旨在为人们提供保护自身免受网络威胁的知识和技能。此培训涵盖各种主题，包括识别网络钓鱼企图，了解常见的网络钓鱼技术以及保护在线个人信息的最佳实践。该课程使用互动模块和现实生活场景来吸引学习者并强化关键概念。
传送门：https://www.titanhq.com/safetitan-phishing-master-lp/
- Phished. Io-网络钓鱼和欺骗模拟
Phished. Io是一个全面的网络钓鱼和欺骗模拟平台，旨在帮助企业加强网络安全防御能力。它提供了一系列模拟攻击，包括网络钓鱼电子邮件和短信，以测试员工的意识和脆弱性。这些模拟攻击旨在模仿现实世界的网络钓鱼和欺骗企图，提供逼真的培训体验。此外，该平台还提供详细的分析和报告。
传送门：https://phished.io/phishing-simulations
- Phishingbox-网络钓鱼模拟器
Phishingbox是一个专业提供网络钓鱼模拟器的品牌。网络钓鱼模拟器是一种工具，可以帮助测试和加强对网络钓鱼攻击的防御能力。它会在一个受控和安全的环境中模拟不同类型的网络钓鱼攻击，如电子邮件，链接或附件等。该网络钓鱼模拟器提供了一系列的功能和选项，以满足不同组织的需求。它们提供用户友好的界面、可定制的模板和详细的报告。
传送门：https://www.phishingbox.com/platform/phishing-simulator
结语
网络钓鱼模拟工具在任何企业的网络安全战略中都是必不可少的。它们有多重用途：首先，它们可测试员工对真实的网络钓鱼邮件的反应，从而可以深入了解到企业面对此类威胁的脆弱性；其次，公司可以通过将正在进行的网络钓鱼活动的结果与初始基线性能进行比较，来衡量防御的成功性；第三，它们为遭受这些模拟攻击的个人提供即时培训，以提高他们在未来识别和报告真实网络钓鱼威胁的能力；最后，定性观察和定量数据对于评估项目的有效性和向利益相关者传达结果都是至关重要的。
开启网络钓鱼模拟可能看起来令人难以进行，但有了一个简单的计划和正确的工具，就有可能快速建立一个有效的网络钓鱼培训计划。上述网络钓鱼模拟工具通常提供示例和额外资源，以促进学习和提高网络安全意识。
