认知偏差与欺骗心理学

风险定位：BEC（商业邮件入侵）的第一执行者。FBI IC3 2025年度报告：BEC报案24,768起、损失约30.47亿美元，为损失第二高的犯罪类型；86%的BEC损失经电汇或ACH渠道转移——这意味着资金一旦转出，追回窗口以小时计。Verizon DBIR引用的IC3数据显示，BEC单笔损失中位数约5万美元，均值约12.3万美元（FBI 2025年BEC损失总额除以报案数），分布高度右偏——小损失普遍、大损失致命。FACC案（第4页案例2，4,200万欧元）与香港深伪案（案例4，2亿港元）证明：受害财务人员从来不是"不专业"，恰恰是"权限足够"才成为目标。

必须写入财务SOP的硬规则

1. 回拨核实强制化：任何付款指令、收款账户变更、金额变更，必须回拨通讯录/合同存档中的已知号码；邮件中附带的电话、签名档电话、来电显示号码一律无效。核实人不得是付款执行人本人。
2. 新收款方双人复核+冷静期：首次向新收款账户付款，强制第二人独立复核，并设置24小时延迟到账；变更既有供应商的银行账户信息，视同新收款方处理（Google/Facebook假发票案的第4页案例9即栽在此环节）。
3. "保密+紧急"自动升级：凡付款指令中出现"保密""不要声张""绕过常规流程"字样，不执行、不争论，直接升级至财务负责人与安全团队。
4. 限额与分级授权：超阈值付款自动触发更高一级审批；限额本身会迫使攻击者提高话术强度，反而暴露破绽。
5. 节律低谷加验：午后低警觉时段、月末季末业务高峰、年结审计期的付款请求，附加口头二次确认（决策疲劳与节律低谷机制见第2页）。
6. 深伪不豁免：视频、语音、甚至"实时通话中"的上级均不构成付款依据——2024年香港案中受害者看到的"CFO与全体高层"全部是合成的。唯一有效凭证是带外流程，不是感官证据。

风险定位：鲸钓（Whaling）与深伪诈骗的顶级目标。攻击者研究高管的公开行程、投资动态、讲话风格后实施精准 impersonation；同时高管是"责任分散效应"的放大器——其违规行为会被下属默认为"特权"。

1. 高管无豁免：高管必须与普通员工同等强制MFA（推荐FIDO2/通行密钥）、同等付款复核、同等参与钓鱼演练。FACC案被击穿的第一步就是"豁免感"。
2. 公开信息最小化：行程、差旅、投资动向、组织架构图的公开程度，应作为反钓鱼情报工作定期审计（攻击者的侦察材料大多来自公开渠道，见第3页"组织事件同步"）。
3. MFA疲劳防御：为账号启用带号码匹配的MFA推送（Microsoft Authenticator自2023年起默认启用该机制），杜绝攻击者连续轰炸推送骗取"顺手同意"的路径；对异常登录推送一律改走硬件密钥。
4. 亲自示范报告：高管公开谈论"我也差点点击"并带头报告可疑邮件，对全员行为的影响超过任何制度文本（心理安全感机制见第3页）。
5. 家庭同防：针对高管家人的"绑架""事故"类语音诈骗利用的是高管的决策疲劳与情绪通道；家庭内部预设验证暗号（见角色六）。

风险定位：双向暴露面。对内，HR掌握全员薪资、身份信息与组织架构，是凭据钓鱼与"薪资直存账户变更"骗局的高价值目标；对外，招聘季是企业暴露面最大的窗口之一——攻击者以求职者身份投递含恶意附件的简历，或以"猎头/面试官"身份接触在职员工套取信息。DBIR长期数据显示，招聘主题的钓鱼具有显著的季节节律（年初、毕业季、校招季高发）。

1. 简历附件隔离：外部简历一律经沙箱/隔离区打开，招聘邮箱与办公邮箱物理或逻辑分离。
2. 员工信息分级：薪资表、身份证号、组织架构图按敏感数据管理，任何"老板要一份全员通讯录"式的索取，必须走带外确认（BEC的HR变体专门索取W-2/薪资数据用于报税欺诈与身份盗用）。
3. 入离职窗口加固：新人入职首周、离职交接期是钓鱼高发窗口，应在入职培训中完成首次钓鱼演练基线测量。
4. 冒充候选人识别：面试中要求"提前下载会议软件/测试环境客户端"的候选人请求，视为恶意软件投递的前置动作。

风险定位：2023年MGM/Caesars事件（第4页案例10）证明，攻击者已将目标从"欺骗某员工"升级为"欺骗IT流程本身"——帮助台的设计哲学是"为遇到麻烦的人快速开门"，这恰恰是可利用的程序性善意。攻击者用LinkedIn等公开渠道拼接员工身份细节（姓名、职位、办公地点、工号段），以"忘记密码"为名要求重置凭据与MFA。Okta客户支持系统入侵事件（第4页案例12）证明，帮助台社工甚至可以直接击穿身份管理巨头的内部支持流程——身份提供商的支持台是"信任链的根节点"，失守即全域波及。

1. 知识型问题作废：工号、生日、入职日期、直属上级等可被公开渠道拼出的"验证信息"不得单独作为重置依据；密码/MFA重置必须叠加设备指纹、登录地理位置、历史行为基线等攻击者无法伪造的因素。
2. 重置操作留痕可回溯：每一次重置关联工单、请求来源、验证方式，事后可审计；异常时段（凌晨、节假日）的重置请求自动升级审批。
3. 帮助台反向演练：对帮助台人员单独开展反社工攻防演练——他们是最早接触攻击者的话务岗位，其警惕性是组织的前置防线。
4. 特权审批解耦：帮助台的"便利性"与"特权操作审批"必须解耦——"麻烦一点的真实用户"优于"畅通无阻的攻击者"。
5. 内部重置同样核验：以"同事""新入职高管助理"名义打来的内部重置请求，执行同等强度核验（内部冒充与外部冒充的话术结构完全相同）。

风险定位：凭据钓鱼的最大接触面。Twilio/Oktapus事件（第4页案例11）显示，"密码已过期"类短信钓鱼可一次击穿130余家组织；DBIR 2026进一步确认，41%的社会工程事件已涉及邮件以外的渠道（语音、短信、社交媒体、协作工具），语音/短信模拟钓鱼的点击率比邮件高约40%——"只看邮件安全"的培训覆盖面已经过时。

1. 凭据零信任：任何渠道（邮件、短信、IM、广告）索取密码/验证码，默认视为攻击；官方服务的手动输入官网地址是唯一安全入口。
2. 报告是义务：发现可疑邮件/短信/来电，通过一键报告通道上报；群发可疑邮件时，"别人会报"的责任分散效应必须被个人义务击穿（见第3页）。
3. 多模态警惕：对语音来电、短信短链、二维码（APWG各季度趋势报告与多家安全厂商2024–2025年公开数据均记录QR钓鱼/Quishing显著增长；常见载体为伪造停车场缴费、快递取件、电子发票）、协作软件私信投递的钓鱼，以及"页面提示你的浏览器/系统有问题，请复制命令修复"的ClickFix话术，执行与邮件同等级别的核验。
4. 误报无责：误报不受任何负面评价——报告率（而非点击率）才是组织级安全文化的核心指标（度量体系见第5页）。

风险定位：冒充公检法、冒充客服、保健品与"养老金补贴"类诈骗的重灾区。心理结构是权威服从+损失恐惧的组合（第1页）：老年人对"公安""银行""社保局"的信任度高、对数字渠道的辨别经验少；徐玉玉案（第4页案例6）与各地公安部通报的大额案例反复印证该模式。

1. 先缴费即诈骗：政府部门发放补贴、退税、助学金，不存在"先转账验证/先缴手续费"环节——凡"官方名义+先交钱"的组合直接判定为诈骗。
2. 挂断后回拨官方公开号码：任何来电中的"案件""账户异常""保证金"要求，挂断后拨打官方公开电话（银行卡背面、政府官网）核实。
3. 家庭验证暗号：全家约定一句转账暗号/口令，任何涉及汇款的"亲人"视频/语音请求，先对暗号再行动——这是当前对抗AI换脸拟声最简手段（包头案430万元教训见第4页案例5）。
4. 大额操作"隔夜制"：超过家庭约定阈值的转账，强制隔24小时并告知一名家庭成员。
5. 利用国家基础设施：96110来电务必接听（预警专线）；国家反诈中心App开启预警；怀疑被骗立即拨打110——紧急止付制度的效能已被包头案（止付78%）验证。

风险定位：Sheng等人（2010，CHI）的实验数据显示，18–25岁低经验群体是钓鱼识别错误率最高的人群之一（第3页）——年轻不等于安全。高发场景：游戏皮肤/账号交易、偶像应援集资、刷单兼职、校园贷注销、虚假实习内推、演唱会门票代抢（本系列演练场景库均有对应模拟）。

1. 脱离平台即危险：任何引导"加QQ/微信私下交易"的网购/票务/游戏交易，默认视为骗局——脱离平台担保的交易没有任何追索渠道。
2. 刷单即违法：所有"兼职刷单、先垫资后返利"均为诈骗，且参与刷单本身涉嫌违反《反不正当竞争法》——不存在"刷一单试试"的安全剂量。
3. 验证码即密码：短信验证码等同于支付密码，任何人（包括自称客服、同学、老师）索要验证码即终止对话。
4. 注销校园贷话术："注销学生贷账户否则影响征信"是冒充金融平台的经典剧本——官方机构不会主动来电要求注销贷款账户并转入"安全账户"。
5. 个人信息最小化：学生证、身份证、录取通知等信息不晒、不发给"客服"、不填来路不明的"领奖表单"。