你的组织已经在 IT 框架中全面地实施了网络安全防护，并建立了严格的安全协议。然而，它仍然会遭遇安全事件。你想知道原因吗？95% 的数据泄露 [1] 都是由人为错误造成的。
感到震惊？不必。监测、分析并评估你的网络安全态势。进行根因分析。很可能你的员工或终端用户正是安全事件背后的关键原因之一。本文的目的是让读者近距离了解网络安全中的人为因素、为什么员工始终是网络安全中最薄弱的一环，以及你可以采取什么措施。
相关阅读：全球调查揭示了关于邮件钓鱼的惊人数据
理解网络安全中的人为脆弱性
为什么人类如此容易受到网络攻击？为什么他们总是上当？答案在于人类心理。网络犯罪分子已经进化到利用好奇心、恐惧和紧迫感等认知捷径，通过精心设计的钓鱼活动进行攻击。他们利用紧迫的期限对受害者下手，借助疲劳、恐惧和错位的信任来突破心理防线。
另一个因素是工作场所的演变。协作平台的兴起带来了新的攻击面。网络犯罪分子现在利用 Microsoft Teams 等工具——这是针对现代协作工具的一波钓鱼攻击的一部分——外部用户可以与员工发起聊天，从而为钓鱼攻击创造了新的入口。
第三个维度是 AI 的兴起，尤其是生成式模型，使攻击者能够以惊人的准确度炮制出模仿企业写作风格的钓鱼邮件。这些邮件不再像过去那样粗制滥造、满篇错别字；它们干净、可信，且具有危险的说服力。
遗憾的是，当我们继续用新一代安全方案填补系统性安全漏洞时，却忽视了黑客和各种网络犯罪分子所利用的人性弱点。而且这种转变并不局限于某个行业。随着协作平台成为攻击的新前沿，不同行业都在对抗邮件钓鱼。这些弱点涵盖技能型、知识型和心理层面。
相关阅读：每位 CISO 都应了解的邮件钓鱼战术
让钓鱼如此有效的心理陷阱
- 紧迫感：网络犯罪分子喜欢制造良好的"恐慌"。恐慌会诱发不经过思考的决策。这些钓鱼攻击内部嵌入了紧凑的时间线，或制造特定的紧急情况，向受害者施压，迫使对方点击恶意链接或泄露敏感信息。示例：一封来自银行的邮件要求你紧急点击链接更新密码，并强调你已经严重滞后；或者一封来自 IT 团队的邮件要求你用公司凭据（例如 Office 365）登录某个软件，以使用对员工职责至关重要的功能。
- 恐惧：恐惧是心智的杀手——这句出自 Frank Herbert 1965 年科幻巨著《沙丘》（Dune）的名言，无论何种场景其相关性都未曾减弱。如果一个人感到受到威胁，其决策就会仓促且往往不切实际。这是犯罪分子常用的触发手段。示例：你收到一封来自邮件服务商的邮件，称你的账户已被暂停，必须立即输入登录凭据以避免失去访问权限；或者信用卡账单若在当天结束前未付清，将面临法律诉讼的威胁。
- 好奇心：你有多少次纯粹出于好奇心而做出了某个决定？从网络安全角度看，有 2.5% 的人 [2] 仅因好奇心就采取了危险操作。想象一条引诱你的消息，或一篇让你震惊到想了解更多的内容。这场钓鱼活动中既有紧迫感或恐惧的成分，也有一种猎奇心理，以及对人性会采取有害行动的信任。示例：你收到一封邮件或消息，称有专为你准备的独家优惠（好得难以置信！），或某个"尼日利亚王子"留在离岸账户中的数百万美元。
- 信任与权威：人类可能容易信任也可能不容易信任，但黑客依赖这种心理触发来欺骗他们。你收到一封看似来自合法机构（银行、软件公司等）的邮件，并按照邮件中的指示操作，但转折在于这是一封刚刚在你的系统上安装了恶意软件的钓鱼邮件。还有另一种触发——权威，即一封邮件、一条消息或一次互动营造出高高在上的印象，并从权力地位发声。示例：想象一封来自安全厂商的邮件，该厂商本就在为你的组织提供安全方案。这是一封钓鱼邮件，而在你意识到之前，你对组织已在使用的这个品牌的信任会让你想要点击它。
- 兴奋与贪婪：这些是古老得如同时间本身的触发点。你听过多少起人们因贪婪而损失惨重的案例？骗子很清楚一个人容易沦为那些宣称中奖、折扣甚至邀请其投资低投入高回报项目的邮件或消息的受害者。重点在于制造兴奋，并利用一种普遍的人性触发点——贪婪。示例：你收到一封邮件说你刚中了彩票，要领奖就必须分享银行账户凭据，或先付一笔钱才能拿到款项；又或者有一个极短时间优惠，再次要求你快速支付一定现金以获得资格、不错过这次机会。
相关阅读：十大真实世界邮件钓鱼案例及其启示
让钓鱼邮件屡屡得手的常见错误
我们已经讨论了黑客利用的心理或人性触发点，但攻击者又是借由哪些错误得以侵入的？这是另一个需要解答的重要问题，因为那正是寻找解决方案的关键参照点。
- 弱密码：2024 年，有超过 28 亿个密码 [3] 在暗网出售！这一数字说明被泄露的密码是个大问题，也是数据泄露的关键原因之一。弱密码，或被反复复用的密码，是攻击者的低垂果实。由于 22% 的数据泄露与凭据窃取有关，弱密码仍然是一个关键的安全缺口。
- 情绪化点击：我们承认钓鱼攻击是个问题。我们也理解攻击者可以利用心理触发点推动我们做出平时不会做的事，尽管我们有所察觉。然而，钓鱼受害者常常发现自己还是点击了恶意链接。这仍是一个必须解决的问题。
- 社会工程：受害者正被一步步引入社会工程攻击，尤其是随着 AI 的到来，深度伪造愈发普遍，语音伪造也变得更难识破。于是，预期受害者接到一通听起来很真实的电话，或收到一个看似合理、并无异常的请求。预期受害者就是这样沿着攻击漏斗前进，放松警惕，直到犯下大错——分享有价值的信息。
- 管理不善与疏忽：设想一名员工必须遵循特定流程以最小化其操作风险。然而，这些流程并未被遵循。例如，每次差旅台收到一笔差旅卡转账请求，都必须由财务部门签字批准。如果金额超过预定水平，还必须由高级经理进一步授权。如果此人未遵循该流程，钓鱼攻击就得逞了。另一种情形是邮件发错了地址。一个简单而无心的错误，却可能是致命的，因为据一份报告，18% 的泄露 [4] 由邮件误发造成。
- 恶意内部人员：泄露有时源于蓄意破坏。超过 80% 的组织 [5] 在 2024 年报告至少发生过一次内部攻击。这是一个惊人的数字，表明需要对员工采取零信任策略。尽管许多人为错误是无意或不知情的，但也有一些错误是故意的，意在为攻击者从内部进入系统开辟道路。
网络安全意识培训的必要性
无论是员工还是个人，终端用户的安全意识培训都至关重要，因为人为错误导致的安全事件仍是个大问题。因此，员工应当具备保护组织敏感数据和信息所需的实用知识，而唯有避免邮件钓鱼攻击、杜绝无意的失误，他们才能做到这一点。安全意识培训教会员工认识威胁态势、潜在漏洞、识别危险信号，并养成确保遵守组织安全策略的习惯。
安全意识培训必要的另一个原因，是为了遵守 GDPR、HIPAA 等特定行业法规。
有效的意识计划是什么样——五步框架
- 领导层支持：数据泄露的全球平均成本为 490 万美元 [6]。这一数字十分可观，因此 C 级高管不能轻视网络安全或其意识培训。把这些计划与领导层绑定；在建立安全文化方面，必须采取自上而下的方式，由最高管理者成为网络安全意识的倡导者，批准预算，并参与角色确立与战略执行。自上而下的强化是关键。
- 明确责任：你的网络安全意识团队可以并入更大的网络安全团队，并应有一位对项目的全部所有权负责的领导者。要把网络安全意识视为业务转型的重要部分，而不只是为业务用户开发安全培训模块。
- 安全态势评估：你首先需要了解员工在安全意识方面的水平。开展简短的测验或认证项目，以更清晰地了解他们的意识水平。这将帮助你设计带有正确 KPI 的合适计划。
- 定期培训：如果你把这件事当作一次性活动，你的组织就会失败。你需要建立定期的培训计划，并持续发起钓鱼模拟活动。更重要的是，你必须确保网络安全指导超越技术层面，变得更以人为中心，即每个人都应理解威胁的本质以及防范为何如此关键。使用短视频、测验和碎片化学习模块来保持高参与度。网络安全教育应当定期触达用户的收件箱。
- 监测、衡量与优化：不要只是为了合规才提供安全意识培训。确保你过滤噪音，了解培训是否带来了切实价值。你必须衡量钓鱼模拟中的点击率、员工报告的事件数量、培训完成率以及密码卫生状况。这些 KPI 将让你清晰地看到培训计划的成功率以及是否需要调整。
相关阅读：面向中小企业与企业的邮件安全最佳实践
将员工培训与技术防护相结合
虽然培训员工识别并响应威胁是网络安全的重要部分，但它不能孤立存在。你的组织还必须实施安全方案，例如能在可疑链接落地前识别并清除的反钓鱼方案，或能隔离并检查未知附件的沙箱环境。同时，利用 SPF、DKIM 和 DMARC 等邮件身份验证协议来帮助核实发件人合法性，堵死伪造身份的便捷路径。
企业如今用验证标记证书（VMC）和通用标记证书（CMC）来强化其邮件身份验证体系。这些证书能让品牌标识直接出现在收件人收件箱中，证明发件人身份已由受信任的证书颁发机构验证。通过在邮件被打开之前以视觉方式确认真实性，标记证书减少了用户对伪造邮件的点击，并增强了对合法通信的信心。
当这些系统运转良好时，用户就不太可能被虚假警报或明显的骗局淹没，这意味着意识培训可以聚焦于那些确实穿透防线的、更微妙、更具针对性的威胁。
结论
人类常被视为最薄弱的一环，但他们同样可以轻而易举地成为第二道防线——一道捕获技术所遗漏威胁的人肉防火墙。当个人理解了利害所在，他们接受的培训就不只是遵守规则，而是批判思考并保持警觉，这道防火墙就会变得更加坚固。这不会在一夜之间发生。但通过正确的钓鱼响应教育、意识培养和共同责任，员工会开始成为所在组织及所用系统的主动保护者。
强化邮件边界：员工接受过"点击前三思"的培训，但这需要他们对所见之物有信心。验证标记证书（VMC）通过展示经过验证的品牌标识，将真实通信与欺诈仿冒区分开来，从而弥合这一信任鸿沟。
购买 VMC 证书
相关阅读：
- 面向现代企业的邮件反钓鱼解决方案完整指南
- 为何每个品牌都需要在 AI 钓鱼时代拥有已验证身份
- 防护钓鱼的顶级邮件安全工具与服务
References:
[1] https://www.mimecast.com/resources/ebooks/state-of-human-risk-2025/ [2] https://webobjects2.cdw.com/is/content/CDW/cdw/on-domain-cdw/brands/proofpoint/2024-state-of-the-phish-report.pdf [3] https://www.verizon.com/business/resources/Tea/reports/2025-dbir-data-breach-investigations-report.pdf [4] https://www.egress.com/blog/data-loss-prevention/what-is-a-misdirected-email [5] https://www.ibm.com/think/insights/83-percent-organizations-reported-insider-threats-2024 [6] https://www.ibm.com/reports/data-breach