本附录的定位
第1页"数据可靠性声明"承诺：所有统计数字可回溯至原始报告，并与"示意数据"明确区分。本页（第8页）是该承诺的执行层：核心数据口径总表、网传数字黑名单、终审勘误记录、引用规范与常见问题。任何读者或合作方如对专题中任一数字存疑，应先查本页口径表，再回溯原始出处。
核心数据口径总表
表1：Verizon DBIR"人为因素"口径沿革（2013–2026）
| 报告年份（数据年） | 人为因素占比 | 统计口径说明 |
|---|---|---|
| DBIR 2023 | 74% | 旧口径：含恶意内部人员（权限滥用） |
| DBIR 2024 | 68% | 新口径：剔除恶意内部人员后（含则约76%） |
| DBIR 2025 | 60% | 新口径延续 |
| DBIR 2026 | 62% | 新口径延续（2026年6月发布，首次纳入"借口攻击"为独立入侵向量） |
表2：FBI IC3 历年BEC（商业邮件入侵）损失
| 报告年份 | 报案数 | 调整前损失（亿美元） | 来源 |
|---|---|---|---|
| 2018 | 约20,373 | 约12.98 | IC3 2018年报 |
| 2019 | 23,775 | 约17.7 | IC3 2019年报 |
| 2020 | 19,369 | 约18.6 | IC3 2020年报 |
| 2021 | 19,954 | 约24.0 | IC3 2021年报 |
| 2022 | 21,832 | 约27.0 | IC3 2022年报 |
| 2023 | 21,489 | 约29.0 | IC3 2023年报（含单起最高5,000万美元损失记录） |
| 2024 | 21,442 | 约27.7 | IC3 2024年报 |
| 2025 | 24,768 | 约30.47 | IC3 2025年报（历史新高） |
表3：FBI IC3 2025年度报告全景关键值
| 指标 | 数值 | 备注 |
|---|---|---|
| 全年报案总数 | 1,008,597起 | 首次突破100万起 |
| 全年损失总额 | 208.77亿美元 | 同比增长约26%，首次突破200亿美元 |
| 钓鱼/仿冒（Phishing/Spoofing） | 191,561起 | 报案数最多的犯罪类型 |
| BEC | 24,768起 / 30.47亿美元 | 86%的损失经电汇或ACH渠道转移；单起均值约12.3万美元 |
| 投资诈骗 | 30万余起 | 损失最高类别（约86.5亿美元）；其中72%的损失涉加密货币，涉加密货币投资诈骗单独达约72亿美元 |
| 加密货币相关（全类别） | 181,565起 | 损失超113.6亿美元（投诉数与损失均为加密货币相关犯罪口径） |
| AI相关细分（IC3首年单列） | — | AI相关投资诈骗损失超6.32亿美元；AI相关BEC损失超3,000万美元；AI相关情感诈骗（ confidence/romance ）损失超1,904万美元 |
| 涉AI相关犯罪（首年单列） | 22,364起 / 约8.93亿美元 | IC3首次增设AI相关类别标签 |
| 其中AI相关BEC损失 | 超3,000万美元 | 公开口径为"over $30 million"（终审勘误见下文） |
表4：KnowBe4 行业基准（2025年版）
| 指标 | 数值 | 备注 |
|---|---|---|
| 未受训基线易钓率（PPP） | 33.1% | 基于约6,770万人次模拟测试、7万余家组织 |
| 持续培训12个月后 | 4.1% | 降幅约86%（厂商口径） |
| 培训90天后 | 较基线下降约40% | 边际收益随频率递减，支持"高频低强度"节奏 |
| 北美地区基线 | 37.1% | 地区间差异显著，不宜用全球均值替代本地基线 |
| 医疗行业基线 | 41.9% | 行业最高 |
| 组织规模效应 | 1–250人企业24.6% / 万人以上40.5% | 规模越大基线越差——与攻击暴露面一致 |
FBI IC3 历年BEC损失趋势（2018–2025）
网传数字黑名单（不得引用）
以下数字经溯源无法在原始报告中找到对应表述，已在本专题全文中剔除
① "91%的网络攻击始于钓鱼邮件"——无可靠原始出处，常见转引均无法回溯；
② "用户平均3秒就会点击钓鱼链接"——与DBIR可核实的"中位21秒"严重不符；
③ "95%的数据泄露源于人为错误"——与DBIR各年口径（60%–76%，随版本变化）均不符；
④ 任何未注明版本号的"DBIR数据显示人为因素占比X%"；
⑤ 任何精确到个位但无原始文件页码佐照的FBI损失数字。
转引纪律：遇到上述数字，请要求提供者给出原始报告名称、年份与页码；给不出的，不引用。
终审勘误记录（2026-09-14）
本次终审按"逐条回溯原始出处"原则对全系列八页做了交叉核验，修订记录如下（透明化是数据可靠性的组成部分）：
引用与转引规范（五条）
- 版本必注：引用DBIR、IC3等年度报告数据，必须注明报告年份；同一指标跨年比较时必须统一口径；
- 示意必标：非单一实验来源的趋势图，图注必须标注"示意数据/转引"，不得混入真实统计数据陈列；
- 厂商数据必带偏差声明：引用KnowBe4等商业机构数据时，须注明"付费客户样本，存在选择偏差"；
- 中国数据以官方通报为准：案件数据引用公安部通报、法院判决与官方发布，不采用自媒体二手数字；
- 存疑降级：任何无法回溯到原始文件的精确数字，按"约数+口径说明"降级表述或直接剔除（本次修正1即执行此条）。
常见问题（FAQ）
Q1：接受过安全培训的人为什么还会被骗？
因为攻击的目标不是知识而是状态。SCAM模型（第3页）指出，怀疑启动后是否投入认知资源，取决于时间压力与情绪状态；KnowBe4数据显示连安全厂商员工的基线易钓率也达两位数。防御的落点因此必须是流程（冷静期、双人复核）而非单纯的"提高警惕"。
Q2：双系统理论被质疑后，本专题为何仍采用？
作为教学框架而非神经解剖结论使用（第1页已声明）。所有机制性表述均以可核验的行为实验为最终依据；采用该框架是因为"快思考/慢思考"对非专业受众的传达效率最高，且其核心的"时间压力降低分析性加工"结论在决策科学中复制情况良好。
Q3：DSI模型可以直接用于招聘筛选或绩效考核吗？
不可以。DSI是本研究提出的探索性工具，信效度未完成大样本检验（第3、5页已两次声明）。其用途限于培训优化与防御设计参考；用于人事决策既违反本专题伦理规范，也违反第3页"用途限定"条款。
Q4：深伪检测工具值得采购吗？
可作为辅助信号，但不应作为防线。香港深伪案与FBI相关预警（第4页）的共识结论是：检测技术永远滞后于生成技术，且对抗样本可针对性绕过检测。可信赖的防线只有流程——带外验证、双人复核、延迟执行。
Q5：组织规模小，没有安全团队，如何起步？
最小可行方案三件套：①全员启用FIDO2/通行密钥（免费且根除凭据钓鱼）；②付款回拨制度（零成本）；③订阅国家反诈中心App与12381预警（个人侧）。此三件套覆盖了BEC与凭据钓鱼两大损失源的主体。
Q6：钓鱼演练会不会伤害员工关系？
设计不当会（羞辱、点名、收集真实凭据）；遵循第5页六项伦理红线则不会——事后反馈、无责文化、领导示范的研究证据（Edmondson心理安全感）表明，规范演练反而提升组织信任。
Q7：为什么报告率比点击率更重要？
点击率受演练难度影响大，且攻击者只需成功一次；报告率代表组织的"群体免疫系统"——每一封被报告的邮件都是一次免费的威胁情报采集。DBIR 2026的非邮件渠道占比（41%）也说明：识别永远跑不完，报告才能跑完。
Q8：本专题数据多久更新一次？
跟随权威发布节奏：DBIR（每年4–6月）、IC3年度报告（每年3–4月）、KnowBe4基准（每年）、APWG（每季度）、CrowdStrike GTR（每年2月）、ENISA威胁全景（每年）。每年至少一次全量复核并更新本勘误记录；本次为2026年度全量复核（v3.0）。
勘误邀请
如发现本专题任何数据、引文或表述存在疑点，请通过页脚联系方式提交"页面+段落+疑点+建议依据"，我们将在下一次复核中逐条回应并更新本勘误记录——正如第1页所述，读者的质疑是数据可靠性机制的一部分。