本页导览

前五页构建了"原则→界面→干预→治理→AI时代新威胁"的完整链条。本页收束三个此前着墨较少、却决定现实覆盖面的人因议题：① 移动互联网已成为首要接入方式，钓鱼主战场随之迁移到短信、二维码与应用生态；② 组织安全的实际边界由其第三方决定，供应商环节的每一次"人"的失误都是组织的风险敞口；③ 安全设计长期以"典型用户"为默认画像，而老年人、青少年与残障人士恰恰是诈骗的高风险人群——包容性不是合规附加题，而是防御有效性的组成部分。

数据口径说明

本页混用三类来源并分别标注：官方统计（FBI IC3、工信部通报、APWG季度报告）、权威研究（USENIX/IEEE/CHI同行评审论文）与厂商遥测（KnowBe4、Abnormal、Proofpoint等）。凡厂商口径数据均注明"厂商遥测"，仅用于趋势判断；诈骗受害的年龄段、金额分布以IC3官方年报与FTC消费者哨点数据为准。

移动优先的钓鱼通道

中国互联网络信息中心（CNNIC）历次《中国互联网络发展状况统计报告》均显示手机为首要上网终端（网民使用手机上网比例长期在99%以上）；在美国，FTC消费者哨点（Consumer Sentinel）年度数据显示，以短信作为首次接触渠道的欺诈投诉自2020年以来连年大幅增长，2023年短信相关欺诈损失报告达约4.7亿美元，居各接触渠道之首（FTC官方口径，基于自愿报案数据）。屏幕变小、上下文碎片化、点击决策更快——移动场景放大了第1页所述的"21秒点击窗口"效应，催生了三类高发通道：

① 短信钓鱼（Smishing）

  • 形态：伪装成快递柜取件、ETC/交管12123核验、银行积分兑换、疫情防控/医保升级的短链短信；利用短信的无发件人核验、强到达率与移动端"难悬停预览"的弱点。
  • 人因机制：移动端缺少桌面邮件客户端的外部横幅、DMARC标记等辅助信号，用户可依赖的线索最少；同时移动端会话的任务切换成本使"先点进去看看"成为默认行为。防御上，运营商侧的垃圾短信拦截、手机厂商的风险网址提示构成主要技术层；用户侧微习惯为"短链一律不点，走官方App自查"。
  • 真实数据锚点：FBI IC3 2023年报显示"网络钓鱼/欺骗（Phishing/Spoofing）"全年投诉达298,878起，居各犯罪类型投诉量之首（官方口径）；美国STIR/SHAKEN来电身份框架与国内12321举报中心分别构成语音/短信侧的制度化拦截基础设施。

② 二维码钓鱼（Quishing）

  • 通道差攻击：用户在桌面端邮件/文档中看到二维码，用手机扫码——攻击从"受企业网关与桌面浏览器防护监控的环境"逃逸到"通常无同等防护的个人手机"，桌面网关无法检视手机端打开的页面。多家邮件安全厂商（Abnormal、Proofpoint等，厂商遥测）报告2023年以来邮件内二维码投递的钓鱼显著增长，金融与通行凭证类主题居多。
  • 人因对策：组织网关侧的"图片二维码解析+重定向检测"是技术主防线（把二维码还原为可检测的URL）；用户侧微习惯为"扫码前先看一眼URL预览"。组织内可结合第3页方法，将"含二维码的外部邮件"设为定向微学习主题。

③ 恶意应用与侧载生态

  • 仿冒应用：山寨银行/政务/短视频应用通过钓鱼短信分发下载链接或诱导侧载；Android的开放侧载是主要敞口（iOS侧则有企业签名滥用与TestFlight滥用问题）。工信部的App侵害用户权益通报与"反诈中心App风险预警"构成国内治理的制度层。
  • 人因设计要点：应用市场的开发者实名、官方"蓝V"标识与安装前的权限清单，是把"可信度"从用户猜测转为平台背书的选择架构——这与第1页Apple隐私营养标签同构；组织应通过MDM限制工作资料侧载，而非仅依赖员工自觉。

钓鱼投递通道的相对占比（形态示意）

示意数据（形态展示用）：多源报告显示钓鱼投递呈"邮件为主、短信/IM快速增长、二维码与语音上升"的结构；精确占比随样本与统计口径差异较大，本图不引用单一来源的具体数字

移动认证与恢复的人因设计

第2页论证了认证的人因设计，此处聚焦移动端特有的三个问题：

  • SIM交换仍是现实威胁：FBI IC3三年对比数据显示，SIM交换报案2021年与2023年分别为2,026起与1,075起，2023年调整损失约4,880万美元（IC3官方口径；2022年数据各年报告口径调整，引用时须锁定版本）（单起均值超4.5万美元，官方口径）。防御的人因要点：运营商侧的账户变更PIN码/证件核验（用户需主动开通——典型的"能力门槛"问题），以及组织放弃短信OTP作为第二因子（NIST 800-63-4将其列为restricted认证器）。
  • 推送审批的移动上下文：MFA推送出现在锁屏通知中，用户看不到发起登录的应用与地理上下文就顺手批准——这是移动端把"号码匹配"原则进一步弱化的场景。修正：Authenticator类应用应强制进入应用内审批视图显示上下文（Microsoft Authenticator已默认号码匹配与上下文显示）；组织侧配合"异常登录即触发号码匹配"的条件访问策略。
  • 恢复流程的移动端断点：设备丢失后，Passkey恢复依赖"另一台已登录设备+生物识别"或客服人工核验；设计不佳的恢复流程要么把用户锁死（催生绕过），要么被攻击者利用（见第5页2020年UAE案的组合伪造）。分层恢复（多设备同步凭证+托管恢复密钥+人工核验语音回拨）是当前主流平台的方向。

移动端的"二次受害"现象

FTC与消费者组织的多源报告显示，移动端诈骗中常见"二次受害"：受害者首次转账后，又收到自称"反诈中心/网警/追回机构"的二次诈骗，利用其急于挽回损失的心理再骗一次。人因防御：官方宣传中固定承诺"公安机关不会要求转账至安全账户、不会线上办案"，并将"追回请走110/96110与银行止付"作为固定科普句式——这与第1页"反钓鱼一致性承诺"机制同源。

第三方与供应商的人因风险

组织的人因防线再强，也受限于其信任链上最弱的一环。Verizon DBIR 2025首次将第三方 involvement 独立分析：相当比例的泄露事件涉及第三方（供应商、合作伙伴、外包IT）——攻击者通过攻破MSP、SaaS供应商或外包帮助台，沿既有信任关系进入目标组织。第5页的香港案同样以"伪造的总部指令"利用组织内部信任；供应链场景的结构性差异在于：跨组织验证没有共同的上级流程可以求助，因此必须事先约定。

供应商环节的人因设计要点

  • 账户变更的双向流程：BEC五道防线（第4页）同样适用于供应商关系，但需增加"双向确认"条款：合同层面约定任何收款账户变更必须经双方已知渠道双向确认（回拨+书面），使攻击者无法单向完成"冒充供应商通知变更账户"的闭环。
  • 外包帮助台的验证规程：Twitter 2020年案与多起MFA重置社工表明，外包/共享服务中心的密码重置与MFA重绑是最常被攻击的环节。规程要点：重置必须回拨至HR登记号码；高风险重置（ executive账户、财务账户）强制双人复核+延迟生效。
  • 供应商安全意识的最小要求：将"对方员工是否接受基础反钓鱼培训"纳入供应商准入与年度评估问卷——低成本、可审计，且把第4页合规映射的思路延伸至合同相对方。
  • 共享账号与工单的人类可读性：供应商常通过共享工单系统与组织交互，工单模板中的"紧急""已获批准"字段会削弱接收方的一线核实意愿。人因修正：工单系统对含敏感操作（付款、权限、数据导出）的工单自动附加"请独立回拨确认"的强制提醒卡（决策点干预，见第3页）。

案例：帮助台社会工程的共性模式（Twitter 2020等案的横向归纳）

来源：Twitter官方博客（2020）、美国司法部起诉文件（2020）及后续同类案件通报；本卡为跨案模式归纳

跨多个公开案件的复盘显示，攻击者对"人的支持通道"的利用呈现稳定模式：冒充IT/客服→诱导访问伪造门户→收集凭据/MFA→利用恢复流程重绑。其共性防御结论：支持通道必须成为认证流程的一部分而非例外通道——帮助台员工应被视为"人肉MFA界面"，同样适用号码匹配、上下文显示与双人复核的设计原则。

供应链安全帮助台社会工程双向确认决策点干预

包容性安全UX设计

FBI IC3 2023年报的受害者结构数据揭示了包容性设计的必要性：60岁以上受害者报告的科技支持类诈骗损失占该类总损失的半数以上，投资诈骗中60+群体单均损失显著高于年轻群体（官方口径）。这并非"老年人判断力差"的简单叙事——而是认知负荷、信任默认值、技术自我效能差异与针对话术的精准性共同作用的结果。包容性的目标是让安全行为对能力差异最敏感的人群同样可达，这同时惠及所有人（Curb-Cut Effect，路缘坡道效应：为轮椅者设计的路缘坡道最终便利了推婴儿车者、拉行李箱者）。

三类人群的差异化设计要点

人群主要风险场景人因设计要点
老年人冒充公检法/客服的科技支持诈骗、"家人急难"语音克隆、虚假投资理财（"杀猪盘"）放大关键控件与字体；转账页面的"冷静中断"提示用一句话人话（"如果有人说要保密，请先告诉家人"）；银行App的"大额转账延迟到账+事后可撤销"默认开启；避免依赖悬停等精细操作作为唯一验证手段
青少年游戏皮肤/账号交易诈骗、冒充同学借钱、追星打投、色情勒索（sextortion）用其媒介语（短视频/游戏内提示）交付微学习；家长-子女约定"转账暗号"；平台侧对未成年人账户默认关闭陌生人转账并加敏感操作延迟
残障人士读屏用户无法获取验证码图形的替代验证被卡；视障者更易信语音指令（无视觉复核通道）；认知障碍者对复杂警告的困惑WCAG 2.2合规之外的安全专用项：所有安全警告提供文本等价物；语音验证必须提供非语音等价通道（防"只能听"成为唯一通道被语音克隆利用）；避免时间限制型验证码
包容性安全UX的差异化设计矩阵（人群风险特征依据IC3 2023年报与FTC哨点数据的方向性结论；设计要点为本研究综合WCAG 2.2与无障碍安全社区实践整理）

设计原则：从"默认用户"到"压力测试用户"

  • 用极端用户做可用性测试：第1页的可用性验证方法（认知走查、五秒测试）若只用年轻技术人员做被试，结果会系统性高估真实人群的警告理解率——建议按年龄、识字水平、残障状态分层抽样。
  • 降低精细运动与视觉依赖：悬停看URL、识别小号字域名、识别微小拼写差异——这些桌面端"标准建议"对移动端、老年与视障用户均不友好；替代方案是把验证信号显性化为"此发件人未通过域名验证"的一句话结论（自动判断替代人工核查）。
  • 语言与认知负荷：第1页"中学阅读水平"原则在包容场景中应进一步下移至小学高年级水平；避免双重否定（"不可不验证"），使用主动语态与具体动词。
  • 国内基础设施的衔接：面向老年群体的宣传应固定挂靠"国家反诈中心App+96110预警专线"（第1页已述），面向青少年的阵地在学校"网络安全教育"课程（《未成年人网络保护条例》2024年施行提供了制度抓手）。

研究前沿与展望

收束全系列，列举人因安全研究的五个活跃前沿方向（均为可检索的真实研究方向，供深入研究引用）：

  • AI代理的行为委托：当人把"判断"外包给AI代理（见第5页注入攻击），人因研究的对象从"用户行为"扩展到"人机混合行为"的授权边界与可解释性——SOUPS/USENIX已出现多篇相关论文。
  • 深度伪造检测的对抗鲁棒性：检测器与生成器的军备竞赛推动"主动验证"（挑战-响应式活体）取代被动检测，人因交互设计（挑战内容的选择）成为新的研究点。
  • 安全行为测量的生态效度：实验室点击实验与真实组织遥测（如KnowBe4 6,770万次模拟）长期存在差距，"行为实验与度量"专题的SEED-5方法论即为此而生；未来方向是用自然实验与平台数据弥合内外部效度。
  • 神经多样性与安全：ADHD、自闭谱系等神经多样性人群对告警频率、通知形式的响应模式差异开始进入可用性安全研究议程。
  • 全球南方与跨文化人因：绝大多数人因安全研究以欧美样本为主；中文语境下的权威服从基线、微信生态闭环钓鱼、二维码支付习惯等本土化变量，是中文安全社区值得贡献的独特研究场景。

全系列结语

八个分页共同传达一个朴素结论：安全系统的最终使用者是人，而人不是可被修复的漏洞——人是需要在设计中被尊重、被赋能、被制度性保护的决策主体。技术防线决定攻击者进入的成本，人因设计决定防线被绕过的概率，组织文化决定失误发生后的世界是否安全。三者缺一，防线终将在某一天"孔洞对齐"（Reason, 1997）。

本页检查清单

移动·供应链·包容性检查清单

  • 外部邮件中的二维码是否经网关解析检测，而非原样投递？
  • 短信/IM通道的钓鱼主题是否纳入模拟演练与微学习？
  • 组织是否已淘汰短信OTP，MFA推送是否默认显示应用与地理上下文？
  • 供应商合同中是否约定了"账户变更双向已知渠道确认"条款？
  • 外包帮助台的密码重置/MFA重绑是否适用与员工同级的验证规程？
  • 安全警告是否有文本等价物（读屏可达）、是否避免时间限制？
  • 关键转账界面是否为老年/认知障碍用户默认开启延迟与可撤销？
  • 可用性测试的被试是否覆盖老年人、青少年与残障人士？
  • 面向家属的"声音/面容不再可信"科普与暗号约定是否已传达？

参考文献（第6页）

参考文献

  1. FBI IC3. (2024). 2023 Internet Crime Report（Phishing/Spoofing投诉298,878起居首；SIM交换1,075起、调整损失约$48.8M；60+受害者科技支持诈骗损失占比过半；各年龄段犯罪分布）。
  2. FBI IC3. (2025). 2024 Internet Crime Report（BEC约21,000余起报案、调整损失约27亿美元——与2023年同期的21,489起、约29.5亿美元呈同量级，用作SIM交换三年对比的年度序列锚点之一）。
  3. Verizon. (2025). 2025 Data Breach Investigations Report（第三方涉入的独立分析；21秒/28分钟人因时间线）。
  4. FTC Consumer Sentinel Network. 年度数据手册（短信类投诉连年翻倍、居各渠道之首；老年人损失分布）。https://www.ftc.gov/
  5. W3C. (2023). Web Content Accessibility Guidelines (WCAG) 2.2. https://www.w3.org/TR/WCAG22/
  6. NIST. (2025). SP 800-63-4（短信OTP列为restricted认证器；语音生物特征恢复限制）。
  7. Abnormal Security / Proofpoint 等厂商2023–2025年邮件安全报告（邮件内二维码钓鱼增长趋势；厂商遥测口径，仅作趋势参考）。
  8. 中国互联网络信息中心（CNNIC）. 《中国互联网络发展状况统计报告》系列（手机为首要上网终端）。
  9. 《未成年人网络保护条例》（国务院令第766号，2024年1月1日施行）。
  10. Twitter官方博客（2020）与美国司法部起诉文件（2020）（帮助台社会工程模式的原始来源）。
  11. USENIX Security / SOUPS 近年论文（AI代理授权、深度伪造检测对抗鲁棒性等前沿方向）。
  12. Curb-Cut Effect原始出处：Mace, R. (1985) 通用设计原则的奠基论述；安全场景的迁移为本研究观点。
← 上一页第5页：AI时代·深度伪造与新型社会工程