未来一代——Gen Z与网络安全的新边疆

2025年9月，Yubico发布了其年度《全球认证状态调查报告》，一项覆盖美国、英国、澳大利亚、印度、日本、新加坡、法国、德国和瑞典九个国家的18000名在职成年人的调查，揭示了一个令人不安的事实：作为"数字原住民"的Z世代（Gen Z），恰恰是钓鱼攻击中最脆弱的群体。62%的Gen Z受访者承认在过去一年中与钓鱼消息有过互动——点击链接、打开附件或回复消息——这一比例显著高于千禧一代（51%）、X世代（33%）和婴儿潮一代（23%）。然而，当被要求识别钓鱼邮件时，各年龄段的正确识别率并无显著差异：Gen Z为45%，千禧一代47%，X世代和婴儿潮一代均为46%。这意味着，Gen Z虽然更容易"中招"，但识别能力并不比其他世代更差。问题的关键不在于他们"不知道"，而在于他们的数字行为模式使其暴露于更多的攻击触点。与此同时，Gen Z也是网络安全行业的新生力量——他们正在以全新的视角和技能应对钓鱼威胁。这一代人的故事，是钓鱼史中最富戏剧性的悖论：最懂技术的人，恰恰是最容易被技术欺骗的人；而正是这一代人，可能最终将重新定义"人"在攻防博弈中的角色。

一、"数字原住民"的脆弱性悖论

Z世代，通常指出生于1997年至2012年之间的人群，是真正意义上的"数字原住民"。他们从记事起就生活在智能手机、社交媒体和即时通讯的环境中。对于他们来说，数字世界不是"虚拟"的，而是与物理世界同等真实的存在。他们可以在几秒钟内完成一次移动支付，可以在TikTok上同时与数百人互动，可以在游戏中与来自世界各地的陌生人建立深厚的友谊。然而，正是这种对数字世界的深度沉浸，使得他们成为了钓鱼攻击者眼中最理想的猎物。

Yubico 2025年的调查数据揭示了这一悖论的全貌。在18000名受访者中，44%的人承认在过去一年中与钓鱼消息有过互动。但代际差异极为显著：Gen Z高达62%，千禧一代51%，X世代33%，婴儿潮一代仅23%。这一数据彻底颠覆了"越年轻越懂技术、越不容易被骗"的常识性假设。

然而，数据还有另一面。当被要求识别一封由AI生成的钓鱼邮件时，只有54%的受访者能够正确判断其为伪造——46%的人要么认为它是真人写的，要么不确定。而更令人惊讶的是，各年龄段在识别能力上几乎没有差异：Gen Z为45%，千禧一代47%，X世代和婴儿潮一代均为46%。这意味着，Gen Z的脆弱性并非源于"识别能力不足"，而是源于"暴露频率更高"和"行为风险更大"。

Yubico首席品牌倡导者Ronnie Manning对此评论道："我们的调查显示了一种脱节。个人对自己的在线账户安全态度懈怠，而组织在采用安全最佳实践方面显得迟缓。"他进一步指出："毫不奇怪，钓鱼继续成为黑客入侵的最简单方式之一。"

这一悖论的本质在于：Gen Z的数字行为模式——高频次的社交媒体互动、对即时响应的依赖、对移动设备的深度依赖、以及在多个平台之间无缝切换的习惯——使他们暴露于比任何前代人都更多的钓鱼攻击触点。他们不是"更容易被骗"，而是"更容易被接触到"。

二、Gen Z为什么更容易"中招"——行为模式分析

要理解Gen Z的脆弱性，必须深入分析他们的数字行为模式。Yubico的调查和多项学术研究为我们提供了清晰的画像。

行为模式一：设备边界的模糊化

Gen Z是"设备边界最模糊"的一代。调查显示，50%的在职人员目前在个人设备上登录工作账户，而Gen Z的这一比例远高于其他世代——只有30%的Gen Z受访者表示"仅使用公司许可的设备"，而婴儿潮一代的这一比例高达66%。40%的受访者承认在个人设备上登录个人邮箱，17%在工作设备上登录网上银行，19%将工作文件保存在个人设备上，23%在工作设备上登录个人社交媒体账户。这种"公私不分"的设备使用习惯，意味着一次个人设备上的钓鱼攻击，就可能成为入侵企业网络的跳板。

行为模式二：对"紧急"和"机会"的高度敏感

Yubico英国及爱尔兰区域总监Niall McConachie指出："当我们研究人们为什么会上当受骗时，数据揭示了一个更深层次的故事：Gen Z最有可能因为'匆忙'或因为消息提供了'宝贵机会'（如工作或奖品）而被骗。相比之下，婴儿潮一代很少被'机会'所骗，但更容易被来自'可信来源'的消息所欺骗。"这一差异精准地反映了不同世代的心理触发点：Gen Z生活在一个"机会驱动"的数字经济中，从网红营销到零工经济，"抓住机会"已经成为他们的本能反应；而婴儿潮一代则生活在一个"信任驱动"的社会中，对"权威"和"熟悉品牌"的信任是他们的主要心理锚点。

行为模式三：社交媒体的信息过载

Gen Z平均每天花费数小时在社交媒体上，接收来自数十个平台的海量信息。在这种信息过载的环境中，对每一条消息进行仔细审查在认知上是不可能的。因此，Gen Z发展出了一种"快速判断"的信息处理策略——依赖直觉、品牌熟悉度和社交信号来快速决定是点击还是忽略。这种策略在正常情况下是高效的，但在面对精心设计的钓鱼攻击时，却成为了致命的弱点。攻击者利用的正是Gen Z的"快速判断"习惯——通过伪造熟悉的品牌标识、模仿朋友的语气、或制造"限时机会"的紧迫感，诱导他们在未加思考的情况下点击链接。

行为模式四：密码管理的松懈

尽管Gen Z在多因素认证（MFA）的采用率上领先于其他世代——71%的Gen Z受访者在个人账户上使用MFA，而婴儿潮一代仅为51%——但他们在密码管理方面却出奇地松懈。57%的Gen Z受访者仍然主要依赖简单的用户名和密码登录个人账户，这一比例虽然低于婴儿潮一代的67%，但仍然高得惊人。更值得关注的是，学术研究发现，许多声称使用强密码的Gen Z用户，实际上在多个平台重复使用相同的密码，或在社交媒体上过度分享个人信息——这些信息恰恰是钓鱼攻击者用于个性化攻击的"原材料"。

行为模式五：对AI的过度信任

Yubico的调查显示，70%的受访者认为AI使钓鱼攻击更加成功，78%认为攻击变得更加复杂。然而，Gen Z对AI的信任程度却呈现出一种矛盾的态势：他们既担心AI被用于攻击，又倾向于信任AI生成的内容。38%的Gen Z受访者认为AI生成的消息是人类写的，而婴儿潮一代的这一比例仅为21%。这种"对AI的亲近感"，使得Gen Z在面对AI生成的钓鱼内容时，反而比老年人更难产生警觉。

三、AI时代的"认知过载"——当虚假比真实更"真实"

如果说Gen Z的行为模式使他们更容易暴露于钓鱼攻击，那么生成式AI的兴起则正在将这种暴露转化为一种系统性的认知危机。

2025年的钓鱼攻击已经与五年前截然不同。攻击者利用大语言模型，可以在几秒钟内生成毫无语法错误、语气自然、甚至能够模仿特定人物写作风格的钓鱼邮件。深度伪造技术使得视频通话中的"面对面确认"也不再可靠。AI驱动的社会工程工具可以自动分析目标的社交媒体数据，量身定制个性化的攻击话术。

Yubico的调查中有一个令人不寒而栗的发现：当向受访者展示一封真实的、由人类撰写的邮件时，只有不到三分之一（30%）的人能够正确识别其为真实。这意味着，在AI时代，人们不仅难以区分虚假与真实，甚至开始怀疑真实本身。这种"认知过载"的状态，正是钓鱼攻击者最理想的战场——当用户无法判断什么是真的时，他们要么对所有内容都保持怀疑（导致"安全疲劳"），要么对所有内容都放松警惕（导致"安全麻木"）。

McConachie对此警告道："现在是揭穿'精通技术就等于网络韧性和在线安全'这一迷思的最佳时机。我们的数据显示了一种令人担忧的脱节：Gen Z正在采用正确的工具，如MFA，但他们对数字通信的舒适感使他们成为社会工程和钓鱼攻击的主要目标。"

这一警告揭示了一个更深层的命题：在AI时代，传统的"安全意识"可能已经不再足够。当攻击者可以生成比真人写得更好的邮件、制作比真人更真实的视频时，依靠人类个体来识别钓鱼攻击，已经变成了一场注定失败的军备竞赛。我们需要一种全新的安全范式——不是让人类变得更擅长识别攻击，而是让攻击者变得更难实施攻击。

四、Gen Z的安全觉醒——从受害者到守护者

然而，Gen Z的故事并非只有脆弱性。在同一项调查中，我们也看到了这一代人的安全觉醒。

Gen Z是硬件安全密钥和MFA等现代认证工具的最积极采用者。71%的Gen Z受访者在个人账户上使用MFA，这一比例在所有世代中最高。他们对AI驱动的网络威胁有着最清醒的认知——73%的Gen Z受访者认为AI使诈骗变得更加复杂，这一比例在各世代中同样领先。他们也是最愿意接受网络安全培训的一代——尽管调查显示40%的受访者表示从未接受过雇主的网络安全培训，但Gen Z对培训的渴望和参与度明显高于其他世代。

更重要的是，Gen Z正在将网络安全从一种"防御性"的技能转变为一种"创造性"的表达。在TikTok和YouTube上，越来越多的Gen Z创作者以轻松幽默的方式传播网络安全知识——用短视频演示如何识别钓鱼邮件，用表情包解释密码管理的重要性，用直播展示最新的诈骗手法。这种"去专业化"的安全教育，正在将网络安全从IT部门的"黑箱"转变为每个人的日常话题。

Fortune杂志在2025年10月的一篇报道中指出："Gen Z的数字原住民身份是一把双刃剑。他们对新技术有着天然的亲和力——包括AI。最近的一份报告发现，AI正在'超级赋能'Gen Z工作者，显著提高他们的生产力。这对Gen Z工作者和雇主来说都是双赢的。但这也需要谨慎——尽管年轻一代可能对自己的信息有更高的风险容忍度，但组织需要确保在将敏感或机密数据与AI解决方案共享时，存在有效的治理实践。"

这种"双刃剑"的特性，正是Gen Z在网络安全领域的独特定位：他们既是最大的风险群体，也是最大的潜力群体。他们的数字行为模式使他们更容易成为受害者，但他们对技术的深刻理解也使他们更有可能成为创新的防御者。

五、中国Z世代——在"全民反诈"中成长的一代

中国的Z世代有着与西方同龄人不同的成长环境——他们是在"全民反诈"的国家战略下成长起来的一代。

从2021年开始，中国的反诈宣传以前所未有的力度渗透到社会的每一个角落。国家反诈中心APP的下载量超过数亿次，反诈宣传短视频在抖音和快手上的播放量以百亿计，基层民警的见面劝阻成为日常风景。对于中国的Z世代来说，"反诈"不是一门选修课，而是一种从小耳濡目染的"数字生存技能"。

这种环境塑造了中国Z世代独特的安全认知。一方面，他们对钓鱼攻击的警惕性普遍高于西方同龄人——"不轻信、不转账、多核实"已经成为许多中国年轻人的本能反应。另一方面，他们也面临着中国特色的钓鱼威胁——冒充公检法的电话诈骗、虚假投资理财的社交媒体诱导、以及利用短视频平台传播的新型诈骗手法。

更重要的是，中国的Z世代正在积极参与到反诈的"人民战争"中。在B站、小红书和微博上，大量年轻用户自发分享反诈经验、揭露诈骗手法、帮助受害者维权。这种"自下而上"的安全文化，与西方依赖企业和政府主导的"自上而下"模式形成了鲜明对比。中国的Z世代不是被动的安全消费者，而是主动的安全共建者。

2024年，公安部联合中央宣传部启动的"全民反诈在行动"集中宣传月活动，主题正是"反诈是门必修课，筑牢防线守好责"。活动在全国范围内组织开展"进社区、进农村、进家庭、进学校、进企业"的"五进"活动，着力构建立足社区、覆盖全社会的反诈宣传体系。第三届全国反诈短视频大赛的参与者中，Z世代占据了绝大多数——他们用自己的语言和方式，将反诈知识传播给更广泛的受众。

这种"全民反诈"的环境，正在为中国Z世代培养一种独特的"安全素养"——不是基于恐惧的警惕，而是基于自信的审慎；不是被动的防御，而是主动的参与。这种素养，将成为中国在未来网络安全竞争中最重要的软实力之一。

六、网络安全行业的新生力量——Gen Z的崛起

Gen Z不仅是钓鱼攻击的主要目标群体，也正在成为网络安全行业的新生力量。在全球网络安全人才短缺的背景下，Gen Z以其独特的技术视角和创新思维，正在为这个行业注入新的活力。

技术视角：从"用户"到"设计者"

Gen Z的安全从业者与前辈最大的不同在于，他们首先是数字产品的"深度用户"，然后才是安全专家。他们理解用户为什么会点击那个链接，因为他们自己也曾经差点点击过；他们知道什么样的安全提示会被用户忽略，因为他们自己也曾经忽略过。这种"从用户中来"的视角，使得Gen Z的安全设计更加注重用户体验——不是让安全变得复杂，而是让安全变得自然。

创新思维：打破"安全vs体验"的虚假对立

传统的安全思维往往将"安全"与"用户体验"对立起来——越安全就意味着越繁琐。Gen Z正在打破这一虚假对立。他们设计的认证流程可能只需要一次生物识别扫描，他们开发的安全工具可能隐藏在用户最熟悉的界面之下，他们构建的防御体系可能在用户毫无感知的情况下就已经完成了威胁拦截。这种"无感安全"的理念，正是对Gen Z自身作为"数字原住民"经验的深刻洞察。

社区驱动：开源与协作的新文化

Gen Z成长于开源软件和协作平台的时代。他们习惯于在GitHub上分享代码、在Discord上讨论技术、在Stack Overflow上解决问题。这种"社区驱动"的文化，正在改变网络安全行业的知识传播模式。与前辈们依赖商业培训和认证不同，Gen Z更倾向于通过开源项目、CTF竞赛和黑客马拉松来学习和成长。这种"在实践中学习"的模式，培养了一批既具备扎实技术功底、又拥有创新思维的新生代安全人才。

中国Gen Z安全人才的独特优势

在中国，Gen Z安全人才的崛起呈现出独特的优势。一方面，中国拥有全球最大的互联网用户群体和最丰富的网络安全场景，为年轻安全人才提供了无与伦比的实战机会。另一方面，中国在网络安全教育方面的投入持续加大——从高校的网络安全专业建设到企业的安全人才培养计划，从CTF竞赛到"护网行动"等实战演练，为Gen Z安全人才提供了多元化的成长路径。

更重要的是，中国的Gen Z安全人才成长于"攻防对抗"最为激烈的环境中。他们中的许多人从学生时代就开始参与各类网络安全竞赛，在模拟的攻防对抗中积累了丰富的实战经验。这种"从实战中走来"的背景，使得他们在面对真实世界的钓鱼攻击时，能够更快地识别威胁、更准地定位漏洞、更有效地设计防御策略。

七、未来之路——"技术+人文"的新范式

站在2025年的门槛上，我们可以清晰地看到反钓鱼战争的未来走向：它不再是单纯的技术对抗，而是"技术+人文"的综合博弈。

技术维度：AI对抗AI

未来的反钓鱼技术，将是AI与AI的对抗。攻击者利用AI生成钓鱼内容，防御者利用AI检测钓鱼内容；攻击者利用AI分析目标行为，防御者利用AI预测攻击模式。在这场"算法对算法"的战争中，胜负将取决于谁拥有更好的数据、更聪明的模型和更快的迭代速度。IRONSCALES的"众包智能"、Arkose Labs的"动态挑战"、腾讯零信任iOA的"全生命周期检测"——这些创新都在指向同一个方向：让机器做机器擅长的事。

人文维度：从"安全意识"到"安全素养"

然而，技术永远无法完全替代人的判断。未来的反钓鱼教育，需要从"传授知识"转变为"培养素养"——不是教会人们识别每一种钓鱼手法（这在AI时代已经不可能），而是培养一种"安全直觉"：在点击链接前的瞬间停顿，在转账前的本能核实，在面对"紧急"指令时的冷静质疑。这种素养的培养，需要的不是更多的安全培训视频，而是更多的"沉浸式"体验——让人们在安全的模拟环境中"亲身经历"钓鱼攻击，从而形成真正的肌肉记忆。

制度维度：从"合规"到"文化"

未来的企业安全，需要从"合规驱动"转变为"文化驱动"。不是因为有法规要求才做安全培训，而是因为安全已经成为组织DNA的一部分。FACC的Walter Stephan被解雇，不是因为法律要求他做什么，而是因为安全文化的缺失。中国"全警反诈、全社会反诈"的格局，正是将安全从"合规"提升到了"文化"的高度——安全不是某个部门的事，而是每个人的事。

全球维度：从"各自为战"到"协同治理"

钓鱼攻击的跨境特性，决定了反钓鱼必须是全球性的协同努力。中国在澜湄执法合作中的实践——"海鸥"联合行动、中缅泰三方协调机制、中老警方联合行动——正在为全球反钓鱼治理提供一种"共商共建共享"的新范式。与某些国家动辄以"人权"为借口干涉他国内政的做法不同，中国始终尊重各国主权，通过平等协商、互利共赢的方式推进执法合作。这种"不输出意识形态、不附加政治条件"的合作模式，正在赢得越来越多国家的认同。

八、终章结语——钓鱼的本质，是人性的镜子

当我们回顾钓鱼史的三十年，从AOL聊天室里那个化名为"Da Chronic"的少年，到今天利用AI生成钓鱼邮件的跨国犯罪集团；从2003年旧金山渔人码头一家越南餐厅里的晚餐聚会，到今天覆盖全球1700多家公司和机构的APWG；从CAN-SPAM法案的仓促出台，到中国《反电信网络诈骗法》的系统构建——我们看到的，不仅是技术的演进，更是人性的展开。

钓鱼的本质，从来不是技术漏洞，而是人性的镜子。它映照出我们的贪婪——那些"中奖"和"返利"的诱惑；映照出我们的恐惧——那些"账户异常"和"公检法通知"的威胁；映照出我们的信任——那些来自"老板"和"朋友"的指令；映照出我们的匆忙——那些在"紧急"标签下被跳过的验证步骤。

而反钓鱼的历史，同样是人性的展开。它映照出我们的智慧——Eyal Benishti将人类智能注入机器学习的创新；映照出我们的勇气——Andy Greenberg深入诈骗园区的调查报道；映照出我们的坚持——Peter Cassidy和David Jevans二十年来对APWG的守护；映照出我们的关怀——中国公安系统联动通信、金融等部门，累计完成674.7万人次的见面劝阻。

Gen Z的故事，是这面镜子中最新的倒影。他们既是钓鱼攻击中最脆弱的群体，也是网络安全行业中最有潜力的力量。他们的悖论——精通技术却容易被技术欺骗——恰恰揭示了钓鱼战争的终极真相：技术可以升级，但人性的弱点不会消失；算法可以优化，但信任的需求不会改变。

McConachie在Yubico报告中的结语，或许是对这一命题最好的回应："2026年的启示是，没有一个世代能够幸免，但脆弱性各不相同。真正的隐私和安全需要正确的习惯——对意外消息保持怀疑——以及现代、抗钓鱼的工具，如硬件安全密钥，即使你不小心点击了欺诈性钓鱼链接，它们也能保护你的个人信息。"

然而，我们或许可以走得更远。真正的安全，不仅在于拥有正确的工具和习惯，更在于拥有一种正确的态度——一种对技术保持敬畏、对人性保持信任、对未来保持希望的态度。

三十年前，一个少年在AOL聊天室里创造了"phishing"这个词，或许只是想偷几个免费上网的账号。三十年后，这个词已经演变为全球最具破坏性的网络犯罪形态之一。但与此同时，它也催生了一个庞大的反钓鱼生态——从技术创新到法律完善，从学术研究到公众教育，从国际合作到全民参与。

Gen Z将继承这一切。他们将面对比我们更狡猾的攻击者，也将拥有比我们更强大的防御工具。他们将经历比我们更复杂的认知挑战，也将培养出比我们更深刻的安全素养。他们将在一个AI与人类深度交织的世界中成长，也将在那个世界中重新定义"信任"的含义。

钓鱼编年史不会在此终结。只要人类还需要信任，钓鱼就会存在；只要人类还拥有智慧，反钓鱼就不会停止。这场关于欺骗与信任的永恒博弈，将在Gen Z的手中翻开新的一页。

而我们所能做的，就是将这本书——这本关于钓鱼与反钓鱼、关于黑暗与光明、关于脆弱与坚韧的书——交给他们，并相信他们会比我们做得更好。

"三十年前，一个少年在键盘上敲下了'phishing'这个词。三十年后，这个词已经成为一面镜子——映照出人性的脆弱，也映照出人性的光辉。钓鱼不会消失，因为欺骗是人类最古老的技艺；但反钓鱼也不会停止，因为信任是人类最珍贵的品质。在这场没有终点的战争中，最终的胜利者，不是技术最强的一方，而是最懂得守护信任的一方。" —— 编者