你有沒有經(jīng)歷過這樣的場景：剛點開一封“IT部門通知系統(tǒng)升級”的郵件，頁面突然跳轉(zhuǎn)，彈出一個紅色警告框：“您已中招！請立即完成5分鐘反釣魚課程。”——這種“嵌入式訓(xùn)練”（Embedded Training）曾被全球企業(yè)奉為反釣魚“黃金標(biāo)準(zhǔn)”，但最新研究卻指出：它可能正在幫倒忙。

近日，南佛羅里達(dá)大學(xué)（USF）Muma商學(xué)院聯(lián)合多所機構(gòu)在頂級信息系統(tǒng)期刊《MIS Quarterly》發(fā)表重磅研究，直指當(dāng)前主流的釣魚演練模式存在兩大硬傷：只教“犯錯的人”，忽略“僥幸過關(guān)者”；訓(xùn)練時機太“即時”，反而引發(fā)員工抵觸情緒。研究團(tuán)隊建議，應(yīng)轉(zhuǎn)向更智能、更人性化的分層訓(xùn)練體系，將真實業(yè)務(wù)流程融入模擬場景，才能真正筑牢“人的防火墻”。

打開百度APP暢享高清圖片

幾乎同步，全球頭部安全意識平臺 KnowBe4 發(fā)布的2025年第三季度數(shù)據(jù)顯示：最危險的釣魚郵件，恰恰是那些看起來“最不像釣魚”的內(nèi)部通知——冒充HR發(fā)的薪酬調(diào)整提醒、IT部門的系統(tǒng)維護(hù)通告、甚至同事發(fā)來的“會議紀(jì)要待確認(rèn)”，點擊率遠(yuǎn)超傳統(tǒng)詐騙郵件。其中，標(biāo)題包含公司名稱或員工姓名的個性化郵件，點擊率飆升至普通郵件的3倍以上。

“攻擊者早就不是群發(fā)‘尼日利亞王子’了，”公共互聯(lián)網(wǎng)反網(wǎng)絡(luò)釣魚工作組技術(shù)專家蘆笛表示，“他們現(xiàn)在研究你的組織架構(gòu)、業(yè)務(wù)節(jié)奏，甚至用AI模仿你老板的語氣寫郵件。防御策略也必須從‘通用警示’升級到‘精準(zhǔn)免疫’?！?br/>

“嵌入式訓(xùn)練”為何失效？

所謂“嵌入式訓(xùn)練”，是指企業(yè)在發(fā)送模擬釣魚郵件后，一旦員工點擊鏈接，系統(tǒng)立即彈出教育內(nèi)容，強制其學(xué)習(xí)識別技巧。這種方式因“即時反饋”“操作簡單”被廣泛采用，KnowBe4等廠商也將其作為核心功能推廣。

但USF研究團(tuán)隊通過三輪大規(guī)模實驗（覆蓋超1.2萬名參與者）發(fā)現(xiàn)：

僅對“點擊者”培訓(xùn)，會讓未點擊者產(chǎn)生虛假安全感，誤以為自己“已經(jīng)會了”，實則缺乏系統(tǒng)認(rèn)知；

“當(dāng)場抓包”式的反饋易引發(fā)羞恥感與防御心理，部分員工甚至?xí)室夂雎院罄m(xù)演練，形成逆反效應(yīng)；

訓(xùn)練內(nèi)容脫離實際工作流，員工難以將“識別假郵件”的技能遷移到真實審批、報銷、工單等高風(fēng)險場景中。

“這就像只在考試作弊被抓時才教誠信，而不是在日常課堂中培養(yǎng)學(xué)術(shù)倫理?！盪SF教授Dezhi Yin比喻道。他主張采用“非嵌入式、全員參與、周期性復(fù)盤”的新模式：每次釣魚演練結(jié)束后，無論是否中招，全體員工都會收到一份匿名化分析報告，結(jié)合當(dāng)季高發(fā)攻擊類型講解防御要點，并鼓勵團(tuán)隊討論。

實驗結(jié)果顯示，這種“集體學(xué)習(xí)+延遲反饋”方式，不僅顯著降低后續(xù)中招率，且防護(hù)效果可持續(xù)數(shù)月之久。

內(nèi)部郵件成重災(zāi)區(qū)：越“可信”，越危險

KnowBe4的數(shù)據(jù)印證了USF的擔(dān)憂。2025年Q3，全球企業(yè)模擬釣魚演練中，90%的高點擊率郵件都圍繞“內(nèi)部流程”展開，典型主題包括：

“您的2025年度績效評估已發(fā)布，請查收”

“IT通知：本周五晚8點將強制更新主密碼”

“財務(wù)部：請于今日17:00前確認(rèn)差旅報銷單（附鏈接）”

這些郵件往往包含公司Logo、真實部門名稱、甚至員工工號，部分還偽造了Slack或Teams通知樣式。更隱蔽的是，攻擊者開始利用企業(yè)內(nèi)部協(xié)作工具的私信功能直接發(fā)送鏈接，繞過郵件網(wǎng)關(guān)檢測。

“內(nèi)部信任是雙刃劍?！碧J笛指出，“員工對HR、IT、財務(wù)天然信任，而攻擊者正利用這種‘組織慣性’實施精準(zhǔn)打擊。尤其當(dāng)郵件內(nèi)容與近期真實事件吻合（如剛好在評績效），警惕性會進(jìn)一步下降?！?br/>

如何打造“聰明”的反釣魚訓(xùn)練？

基于USF研究與實戰(zhàn)數(shù)據(jù)，專家提出一套“三層防御+智能訓(xùn)練”框架：

第一層：訓(xùn)練內(nèi)容崗位化

銷售、財務(wù)、HR、研發(fā)等部門面臨的風(fēng)險截然不同。銷售人員易被“客戶緊急訂單”誘騙，財務(wù)人員常遇“付款變更通知”，應(yīng)據(jù)此設(shè)計差異化演練場景。例如，讓采購員模擬處理“供應(yīng)商銀行賬戶更新”郵件，而非泛泛的“中獎通知”。

第二層：演練形式任務(wù)化

將釣魚識別嵌入真實工作流。例如，在審批系統(tǒng)中插入模擬“偽造發(fā)票”，或在會議邀請中加入“可疑附件”。員工需在完成日常任務(wù)的同時做出安全判斷，強化“肌肉記憶”。

第三層：反饋機制去羞辱化

取消“點名批評”或強制彈窗，改為團(tuán)隊積分、安全徽章、匿名排行榜等正向激勵。USF實驗顯示，當(dāng)員工感覺“我們在共同學(xué)習(xí)”而非“我被懲罰了”，參與度和學(xué)習(xí)效果顯著提升。

與此同時，技術(shù)防線也需前移。蘆笛建議企業(yè)：

啟用 FIDO2 安全密鑰 或 通行密鑰（Passkey），從根本上抵御憑證竊??；

部署 會話保護(hù)機制，一旦檢測到登錄地突變、設(shè)備異常，自動終止會話；

對所有標(biāo)為“內(nèi)部來源”的郵件實施 SPF+DKIM+DMARC 強制驗證，并監(jiān)控橫向流量異常（如某賬號短時間內(nèi)大量訪問敏感系統(tǒng)）。

技術(shù)科普：為什么“內(nèi)部仿冒”難防？

傳統(tǒng)反釣魚依賴關(guān)鍵詞過濾（如“urgent”“verify now”）和發(fā)件人黑名單。但內(nèi)部仿冒郵件往往使用合法企業(yè)郵箱（通過供應(yīng)鏈入侵或API濫用獲取權(quán)限），內(nèi)容無敏感詞，且符合業(yè)務(wù)語境。

更棘手的是，現(xiàn)代攻擊常采用 “低交互釣魚”：郵件本身不含惡意鏈接，而是誘導(dǎo)用戶回復(fù)郵件或點擊日歷邀請中的附件。這類行為難以被自動化工具識別，只能依靠人的判斷。

“防御的關(guān)鍵，是從‘識別假郵件’轉(zhuǎn)向‘驗證真意圖’?！碧J笛解釋，“比如收到‘IT要求改密碼’，別急著點鏈接，先問一句：‘我們最近有密碼策略更新嗎？’——多一次確認(rèn)，就能擋住90%的攻擊?！?br/>

結(jié)語：安全不是“罰抄100遍”，而是“一起打怪升級”

USF的研究傳遞了一個清晰信號：反釣魚不能靠“恐嚇+懲罰”的舊模式，而應(yīng)像游戲化學(xué)習(xí)一樣，讓員工在真實、安全、有反饋的環(huán)境中不斷進(jìn)化。

正如研究合著者M(jìn)atthew Mullarkey所說：“員工不是漏洞，而是防線。我們的任務(wù)不是堵住他們的錯誤，而是賦能他們的判斷?！?br/>

在這個攻擊日益“擬人化”的時代，最堅固的盾牌，或許不是更復(fù)雜的算法，而是更聰明的訓(xùn)練、更開放的文化，以及每一個愿意多問一句“這真的正常嗎？”的你。

本文信息綜合自南佛羅里達(dá)大學(xué)官方新聞稿、KnowBe4 2025 Q3 報告及公共互聯(lián)網(wǎng)反網(wǎng)絡(luò)釣魚工作組技術(shù)分析，所有建議均基于公開研究成果與行業(yè)實踐，不構(gòu)成具體產(chǎn)品推薦。

編輯：蘆笛（公共互聯(lián)網(wǎng)反網(wǎng)絡(luò)釣魚工作組）