认知偏差与欺骗心理学

SCAM易感性模型：学术界的整合尝试

在展开本研究提出的DSI模型之前，有必要先介绍学术界公认的整合性理论框架——Vishwanath等人（2018）在《传播研究》（Communication Research）提出的SCAM模型（Suspicion, Cognition, and Automaticity Model of Phishing Susceptibility，怀疑—认知—自动化易感性模型）。该模型将钓鱼易感性视为三个连续过程的产物：

• 怀疑（Suspicion）：个体首先是否对邮件产生怀疑。影响怀疑的因素包括邮件的异常线索可见性、个体的安全知识与过往经验。怀疑未启动是受骗的第一道闸门失守。
• 认知（Cognition）：怀疑启动后，个体是否投入认知资源进行验证。时间压力、认知负荷与情绪状态决定验证的深度——多数受害者在"半信半疑"状态下仍会执行操作。
• 自动化（Automaticity）：对高频数字行为的自动化处理（如习惯性点击"登录""支付"按钮）使行为绕过怀疑与认知两个阶段。 习惯性处理模式解释了为何"接受过培训"的人仍在忙碌时点击。

SCAM模型的实践价值在于它指明了三个独立的干预点：提升怀疑启动率（线索可见性设计）、保障认知资源（减少干扰时段的验证负担）、打断自动化（引入摩擦与确认步骤）。本研究提出的DSI模型在SCAM框架下进一步量化个体差异。

SPTM：诈骗者说服技术模型（Whitty, 2013）

Monica Whitty基于对浪漫诈骗（杀猪盘的直接前身）受害者陈述的主题分析，提出诈骗者说服技术模型（The Scammers Persuasive Techniques Model, SPTM）（Whitty, 2013，British Journal of Criminology）——这是少数直接以真实诈骗受害者数据为基础建立的行为模型，与主要从实验室视角出发的SCAM模型形成互补。该模型将浪漫诈骗分为前后衔接的两个阶段：

• 第一阶段：人格建构与接触。攻击者先建立"理想化人格"（事业有成、可信赖、与受害者价值观高度匹配），通过高频次、高自我暴露的沟通建立超人际（hyperpersonal）互动（Walther, 1996的理论在网络语境下指出：选择性自我呈现与归因放大，使网络亲密的形成速度超过面对面交往）；
• 第二阶段：说服收割。攻击者依次投放多类说服技术：先以互惠与小收益建立亏欠感，再以稀缺/紧迫话术压缩决策时间，辅以权威伪装（"金牌分析师""内部渠道"），并以亲密关系的排他要求封口——"这件事我只告诉你，千万别告诉别人"同时切断了受害者的全部外部验证通道。

SPTM对防御的直接启示：凡是以"我们的秘密"为由要求保密的投资、转账、操作，即构成终止交互的充分条件——真实的爱人与专业机构都不需要以保密为代价的信任。DSI模型的"社会依赖度"维度即吸收了该模型的核心构造；第4页杀猪盘案例的"机制解剖"亦以SPTM为分析骨架。

DSI评估模型详解

基于第1、2页所述认知偏差理论，本研究提出欺骗易感性量化评估模型（Deception Susceptibility Index, DSI）。该模型用于评估个体在特定情境下受钓鱼攻击影响的风险等级，须强调：DSI为本研究提出的探索性工具，其信效度尚待大样本实证检验，不应作为人事决策依据。

DSI模型五维度

• 权威敏感度（AS）：个体对权威符号的服从倾向，通过自评量表（改编自律从性测量传统，含10个李克特5级题目）测量，设计目标信度 Cronbach's α ≥ 0.80。
• 稀缺响应度（SR）：个体对稀缺性线索的情绪反应强度，含8个题目，设计目标信度 α ≥ 0.75。
• 社会依赖度（SD）：个体在决策中依赖社会线索的程度，含12个题目，设计目标信度 α ≥ 0.78。
• 冲动控制指数（ICI）：采用Barratt冲动量表简版BIS-15（Spinella, 2007）测量注意冲动、运动冲动与无计划冲动三个分量表（15题）。
• 安全知识水平（SKL）：采用真实/模拟邮件判断题组（20题，含URL分析、发件人识别、话术特征判断）测量，该维度与下述HAIS-Q知识维度高度相关。

国际成熟测量工具

除本研究提出的DSI外，国际学术界已发展出若干经过信效度检验的安全测量工具。在正式研究中，优先采用已验证工具是方法学基本要求：

一个关键的方法学提醒：Sheng等人（2010，CHI）对"自我报告知识"与"实际识别能力"的比较显示，二者仅中度相关——很多人"知道自己应该检查发件人"，但并不真的检查。因此，自评量表必须与实际行为演练结合使用，单一来源的测量都会系统性失真。

测量学方法学深化

高质量的心理测量是DSI类工具从"纸面模型"走向可用评估的前提。以下为评估实施中必须面对的方法学问题清单：

• 信度（Reliability）：除Cronbach's α（内部一致性）外，应报告重测信度（test-retest）与评分者间一致性（行为编码类数据）；α系数对题数敏感，短量表（少于10题）α偏低不完全代表测量质量差；
• 效度（Validity）：内容效度（专家审校题目覆盖度）、结构效度（探索性与验证性因子分析须在不同样本上分别完成，避免同源膨胀）、效标效度（与HAIS-Q、SeBIS及实际演练行为的相关模式）；
• 项目反应理论（IRT）：相较经典测量理论，IRT可估计每道题的区分度与难度参数，支持计算机化自适应测验（CAT）——用更少题目达到同等测量精度，显著降低测评疲劳；
• 测量不变性（Measurement Invariance）：跨性别、年龄组、部门的因子载荷等价性检验，确保高低分组之间的差异反映真实特质，而非题目理解的群体差异；
• 共同方法偏差（Common Method Bias）：自评量表与自评效标同源会虚高效度，必须以行为演练数据交叉验证（行为锚定）；
• 社会称许性作答（Social Desirability Responding）：安全知识自评易受"想答对"动机污染，建议嵌入简短社会称许量表作为控制变量，或采用情景判断测验（SJT）替代直白态度题。

个体差异分析

"谁会更容易受骗"是研究与实践中最高频的问题。学术界的总体回答是：易感性是个体特质×情境压力的函数，不存在"绝对免疫人群"。以下为各因素的研究证据。

人口学因素

跨地区证据同样支持上述图景：ENISA《Threat Landscape 2025》基于欧盟事件数据报告，约60%的成功入侵始于钓鱼或社会工程——与DBIR的人因占比结论形成独立印证。Sheng等人（2010，CHI）基于1,001名参与者的钓鱼识别实验发现：在18–25岁年龄段样本中识别错误率显著更高；互联网使用经验越少、对安全概念自我评估越低者越易受骗；性别差异在该样本中表现为女性识别错误率略高，但研究者明确指出这与"互联网经验"变量高度共线，不宜解读为本质差异。对老年群体的研究则呈现另一幅图景：老年人对互联网较陌生、对权威（如"银行""公安"）信任度更高，成为冒充客服与冒充公检法诈骗的重灾区——公安部历年通报的被骗大额案例中，老年受害者占比持续偏高。两类证据合起来说明：脆弱性的来源是"经验缺口+权威信任+损失恐惧"的组合，而非某个年龄段本身。

人格与心理特质

• 冲动性：Hadlington（2017）在大样本调查中发现，冲动性与冒险性网络安全行为显著相关，且网络成瘾倾向与不安全行为存在关联路径；这与SCAM模型的"自动化"环节互为印证。
• 认知反思倾向：认知反思测试（CRT, Frederick, 2005）测量的是抑制直觉冲动、启动分析性思维的倾向。决策科学领域的大量研究表明CRT与理性决策、抗操纵能力相关；网络安全领域近年也开始将其作为易感性研究的协变量。方向性结论一致：反思倾向越低，越依赖直觉线索（品牌外观、权威符号）做判断。
• 宜人性与尽责性：大五人格研究（多份研究综合）提示高宜人性个体更可能在社交工程压力下配合请求，高尽责性个体更可能遵守"流程性指令"——这解释了为何行政、财务、客服岗位兼具"可接触性"与"高配合倾向"。
• 情绪状态：焦虑、孤独与重大生活事件（丧偶、失业、重疾）期间的风险显著上升。"杀猪盘"对受害者的筛选正是基于情感缺口而非智力缺口。

能力悖论

状态性因素与脆弱期识别

易感性不仅是"特质"（相对稳定的个体差异），更是"状态"（随时间与情境波动）。实践中有三类可预测的高脆弱窗口，组织应将它们纳入排班与流程设计：

• 生理节律低谷：凌晨至清晨、午后14–16点的警觉性低谷时段；跨时区差旅后的首个工作日；重大版本发布后的加班收尾期；
• 生活事件冲击：丧亲、离婚、重病诊断、失业过渡期——情感缺口使"陪伴型"话术（杀猪盘、虚假投资社群）命中率陡增；Whitty对受害者的访谈显示，孤独感与重大失落期是落入浪漫诈骗的共同前奏；
• 入职窗口（高置信数据点）：多份行业演练数据（KnowBe4 2025基准及其历年报告）一致显示，入职第一年员工的模拟钓鱼点击率显著高于组织均值；这与"自动化"环节（新系统、新流程下的高习惯性操作）和经验缺口双重叠加一致。防御对策：入职首周完成基线演练测量，首90天加密嵌入式培训频次。
• 组织事件同步：并购、审计、薪酬调整、系统迁移等业务高峰——攻击者通过新闻、招聘网站与社交媒体公开信息获知组织节律，将BEC投递精确嵌入真实业务流（如审计季冒充审计师、发薪周冒充HR、年结时冒充税务）。防御侧应对策略是以攻击者视角审计组织的信息暴露面：员工通讯录、组织架构、项目进度、差旅动态的公开程度评估，应成为反钓鱼情报工作的固定科目。

群体与组织心理

个体在组织中的行为深受群体心理影响，两类经典社会心理机制与钓鱼防御直接相关。

责任分散（Diffusion of Responsibility）

Darley与Latané（1968）的旁观者干预实验发现：紧急事件中，在场旁观者越多，个体出手干预的概率越低——因为责任被感知为"大家的事"。映射到组织安全：当一封可疑邮件同时发给200人时，每个收件人都默认"别人会报告"，结果往往是无人报告。因此，安全制度必须包含明确的个人报告义务与低摩擦报告通道（一键转发至安全团队），并通过全员反馈闭环让报告者看到"我的报告产生了作用"。

心理安全感（Psychological Safety）

Edmondson（1999）在《管理学会杂志》提出的"心理安全感"概念，指个体相信承担人际风险（如承认错误、提出质疑）不会受到惩罚。在钓鱼防御语境下：如果点击模拟钓鱼会被通报批评，员工将倾向于隐瞒真实点击并删除痕迹——组织失去了风险数据，攻击者却毫无损失。安全成熟度高的组织无一例外地选择无责报告文化：报告可疑邮件受到感谢与认可，诚实承认"我点了"成为保护组织的行为。这一结论是第5页防御框架的组织层支柱。

评估实施规范

易感性评估涉及心理测量与个人数据处理，必须遵守严格的伦理与合规框架：

• 伦理审查前置：参照《赫尔辛基宣言》研究伦理与组织内部IRB（伦理审查委员会）制度，任何涉及真实员工的钓鱼模拟或心理测量须经审查批准；
• 知情同意：员工应知晓组织会开展钓鱼演练（可采用"持续告知"模式而非逐次告知，以保持演练效度，但制度必须公开存在）；
• 数据最小化与去标识化：行为数据（点击、报告）与身份信息的映射应限期保存、专人管理；心理测量原始问卷不进入绩效考核档案；
• 用途限定：评估结果仅用于安全改进与培训优化，不得作为裁员、降薪、处罚依据——否则将摧毁报告文化的根基；
• 脆弱人群保护：对评估识别出的高脆弱性个体，应以"提供额外保护"而非"贴标签"的方式干预（如针对性培训、岗位流程增强核验）；
• 合规依据：涉及个人信息处理须符合《个人信息保护法》（2021）与GDPR（如涉及跨境）的相关要求；行为生物识别类数据采集属于敏感个人信息处理，须有明确授权；
• 未成年人与老年人保护：面向未成年人的网络安全研究须符合《未成年人保护法》与监护人知情同意要求；老年群体评估需增加认知负荷友好设计（大字体、语音辅助、可中断会话），避免测评本身构成负担；
• 跨境数据合规：使用境外SaaS演练平台时，须评估数据出境合规路径（《数据安全法》《个人信息保护法》及标准合同/认证机制），演练数据（含点击行为轨迹）原则上应在境内存储与处理。