你有沒有在趕 deadline 的時(shí)候，隨手點(diǎn)開一封“系統(tǒng)升級(jí)通知”郵件？或者看到同事都點(diǎn)了某個(gè)“內(nèi)部福利鏈接”，自己也跟著點(diǎn)進(jìn)去？最新一項(xiàng)發(fā)表于國際權(quán)威期刊《Scientific Reports》（《自然·科學(xué)報(bào)告》）的研究揭示：我們是否容易中招網(wǎng)絡(luò)釣魚，不僅和安全意識(shí)有關(guān)，更與個(gè)性特質(zhì)、當(dāng)下心理狀態(tài)密切相關(guān)。

這項(xiàng)由多國研究團(tuán)隊(duì)聯(lián)合開展的實(shí)驗(yàn)發(fā)現(xiàn)，在時(shí)間緊迫、信息過載或群體從眾壓力下，沖動(dòng)性強(qiáng)、情緒敏感度高的人群點(diǎn)擊可疑鏈接的概率顯著上升；而責(zé)任心強(qiáng)、具備基礎(chǔ)數(shù)字素養(yǎng)的用戶則表現(xiàn)出更強(qiáng)的識(shí)別與抵抗能力。該成果為反釣魚策略從“一刀切培訓(xùn)”轉(zhuǎn)向“個(gè)性化干預(yù)”提供了重要科學(xué)依據(jù)。

打開百度APP暢享高清圖片

實(shí)驗(yàn)揭秘：模擬釣魚如何“釣”出人性弱點(diǎn)？

研究團(tuán)隊(duì)設(shè)計(jì)了一套多輪模擬釣魚任務(wù)，邀請(qǐng)數(shù)百名志愿者在不同情境下處理包含釣魚鏈接的郵件或消息。這些場(chǎng)景高度還原真實(shí)辦公環(huán)境——比如“財(cái)務(wù)報(bào)銷截止前1小時(shí)收到‘發(fā)票異常’提醒”，或“團(tuán)隊(duì)群聊中多人轉(zhuǎn)發(fā)‘HR福利問卷’”。

同時(shí)，研究人員通過標(biāo)準(zhǔn)化人格量表（如大五人格模型）評(píng)估參與者的性格特征，并記錄他們?cè)谌蝿?wù)中的注意力分配、風(fēng)險(xiǎn)判斷反應(yīng)時(shí)間、是否二次確認(rèn)等行為數(shù)據(jù)。

結(jié)果令人深思：

神經(jīng)過敏（Neuroticism）得分高者——即容易焦慮、情緒波動(dòng)大的人——在高壓情境下誤點(diǎn)率高出平均水平37%；

沖動(dòng)性（Impulsivity）強(qiáng)的個(gè)體往往跳過風(fēng)險(xiǎn)提示，平均決策時(shí)間比謹(jǐn)慎型用戶快2.1秒；

而盡責(zé)性（Conscientiousness）高、有基本網(wǎng)絡(luò)安全知識(shí)的用戶，即使在時(shí)間壓力下，仍會(huì)主動(dòng)核對(duì)發(fā)件人地址或懸停查看鏈接真實(shí)URL。

更關(guān)鍵的是，研究證實(shí)：社會(huì)從眾效應(yīng)極具殺傷力。當(dāng)參與者看到“已有85%同事完成填寫”等提示時(shí)，點(diǎn)擊可疑鏈接的可能性提升近一倍——哪怕他們此前接受過反釣魚培訓(xùn)。

“這說明，釣魚攻擊早已不是技術(shù)問題，而是精準(zhǔn)利用人類認(rèn)知漏洞的心理戰(zhàn)?！惫不ヂ?lián)網(wǎng)反網(wǎng)絡(luò)釣魚工作組技術(shù)專家蘆笛評(píng)價(jià)道，“黑客不需要攻破防火墻，只需要讓你在焦慮、匆忙或從眾心理下一念之差?！?br/>

短期干預(yù)有效，但“一次培訓(xùn)”遠(yuǎn)遠(yuǎn)不夠

值得欣慰的是，研究也驗(yàn)證了干預(yù)措施的有效性。實(shí)驗(yàn)組在首次任務(wù)后接受了約10分鐘的“微學(xué)習(xí)”模塊——包括識(shí)別釣魚郵件的關(guān)鍵特征（如偽裝域名、緊急話術(shù)）、模擬點(diǎn)擊后果演示，以及即時(shí)反饋機(jī)制（如點(diǎn)擊后彈出“你剛剛授權(quán)了一個(gè)惡意合約”的警示動(dòng)畫）。

兩周后的復(fù)測(cè)顯示，該組用戶的釣魚鏈接點(diǎn)擊率平均下降20%，且風(fēng)險(xiǎn)感知準(zhǔn)確率顯著提升。

然而，作者也明確指出：單次培訓(xùn)效果難以持久。隨著時(shí)間推移，用戶警惕性會(huì)自然回落，尤其在高壓工作周期（如季度結(jié)算、系統(tǒng)升級(jí)窗口期）內(nèi)容易“打回原形”。

因此，研究強(qiáng)烈建議企業(yè)將安全防護(hù)嵌入工作流：

在高風(fēng)險(xiǎn)時(shí)段（如發(fā)薪日前、財(cái)報(bào)季）自動(dòng)推送定制化安全提醒；

在郵件系統(tǒng)或協(xié)作平臺(tái)中加入視覺風(fēng)險(xiǎn)標(biāo)識(shí)（如紅色邊框標(biāo)注可疑發(fā)件人）；

對(duì)敏感操作（如轉(zhuǎn)賬、授權(quán)）強(qiáng)制設(shè)置延遲執(zhí)行+二次確認(rèn)，為用戶爭取“冷靜時(shí)間”。

“技術(shù)可以兜底人性的短板?！碧J笛舉例說，“比如現(xiàn)在很多企業(yè)郵箱已集成AI反釣魚引擎，能自動(dòng)標(biāo)記‘此郵件聲稱來自IT部門，但域名非公司備案’。但更重要的是，系統(tǒng)要給用戶留出思考空間——?jiǎng)e讓‘一鍵確認(rèn)’變成‘一鍵失守’?！?/p>

從“人防”到“人因安全”：反釣魚進(jìn)入精細(xì)化時(shí)代

過去十年，反網(wǎng)絡(luò)釣魚主要依賴技術(shù)手段：垃圾郵件過濾、URL黑名單、SSL證書校驗(yàn)等。但隨著攻擊日益“擬人化”——偽造CEO語音、克隆同事聊天風(fēng)格、甚至利用AI生成逼真會(huì)議邀請(qǐng)——防御重心正從“堵漏洞”轉(zhuǎn)向“理解人”。

蘆笛指出，這項(xiàng)Nature子刊研究的價(jià)值在于，它用嚴(yán)謹(jǐn)實(shí)證揭示了“誰在什么情況下最容易中招”，從而推動(dòng)安全策略走向分層化、情境化、行為驅(qū)動(dòng)化。

例如：

對(duì)高沖動(dòng)性員工，可配置更嚴(yán)格的默認(rèn)權(quán)限（如禁止直接下載附件）；

對(duì)常處于高壓崗位（如財(cái)務(wù)、運(yùn)維），提供“安全緩沖期”——敏感操作需經(jīng)雙人復(fù)核；

在全員培訓(xùn)中引入沉浸式釣魚演練，而非僅發(fā)放PDF手冊(cè)。

“未來的安全培訓(xùn)，應(yīng)該像健身計(jì)劃一樣個(gè)性化?！彼f，“有人需要增強(qiáng)‘風(fēng)險(xiǎn)肌肉’，有人需要降低‘決策心率’，不能所有人做同一套廣播體操。”

用戶能做什么？專家給出三條“心理防線”

除了組織層面的改進(jìn)，個(gè)人也能主動(dòng)構(gòu)建防御機(jī)制。蘆笛結(jié)合研究結(jié)論，提出三條實(shí)用建議：

1. 給自己設(shè)置“冷靜觸發(fā)器”

當(dāng)你看到“賬戶異常！”“限時(shí)領(lǐng)??！”“領(lǐng)導(dǎo)急轉(zhuǎn)！”等字眼時(shí)，立刻默念：“先停3秒”。這3秒足以激活前額葉皮層，抑制本能沖動(dòng)。研究顯示，僅增加2秒決策延遲，誤點(diǎn)率可下降31%。

2. 建立“數(shù)字懷疑習(xí)慣”

不輕信任何要求點(diǎn)擊、輸入或授權(quán)的消息。即使是熟人發(fā)來的鏈接，也應(yīng)通過另一渠道（如電話、面對(duì)面）確認(rèn)。記?。赫嬲木o急事務(wù)，不會(huì)只靠一封郵件解決。

3. 主動(dòng)暴露于“良性釣魚”

鼓勵(lì)企業(yè)或?qū)W校定期開展無害化釣魚測(cè)試（如發(fā)送模擬釣魚郵件并提供即時(shí)反饋）。這種“接種式訓(xùn)練”能有效提升長期辨識(shí)力，就像疫苗激發(fā)免疫系統(tǒng)一樣。

結(jié)語：安全不是天賦，而是一種可訓(xùn)練的能力

這項(xiàng)發(fā)表于《Scientific Reports》的研究，打破了“只有菜鳥才會(huì)中釣魚”的刻板印象。事實(shí)上，任何人都可能在特定情境下犯錯(cuò)——區(qū)別只在于系統(tǒng)是否為你留了糾錯(cuò)的機(jī)會(huì)。

正如論文作者所言：“網(wǎng)絡(luò)安全的最后一公里，不在服務(wù)器機(jī)房，而在每個(gè)人的鼠標(biāo)指尖?！倍J笛則補(bǔ)充道：“我們需要的不是完美的用戶，而是更聰明的防護(hù)設(shè)計(jì)?！?br/>

目前，該研究成果已被多家跨國企業(yè)納入新一代安全培訓(xùn)體系。國內(nèi)部分金融機(jī)構(gòu)也開始試點(diǎn)“壓力情境下的釣魚模擬演練”。未來，或許你的辦公系統(tǒng)會(huì)在你深夜加班時(shí)自動(dòng)彈出一句溫柔提醒：“你看起來很累，這個(gè)鏈接明天再點(diǎn)也不遲?！?br/>

小貼士：識(shí)別釣魚的三個(gè)“不對(duì)勁”

發(fā)件人郵箱拼寫怪異（如 service@amaz0n-support.com）

? 內(nèi)容制造緊迫感（“24小時(shí)內(nèi)不處理將凍結(jié)賬戶！”）

要求你做平常不會(huì)做的事（突然讓你掃碼授權(quán)、下載附件）

在這個(gè)信息過載的時(shí)代，保持一點(diǎn)“健康的懷疑”，或許是你最強(qiáng)大的防火墻。

編輯：蘆笛（公共互聯(lián)網(wǎng)反網(wǎng)絡(luò)釣魚工作組）