基于Robert Cialdini影响力六原则、Verizon数据泄露调查报告（DBIR）、FBI互联网犯罪投诉中心（IC3）等权威数据源，系统解构钓鱼攻击中的心理操控机制、威胁行为体画像、受害者易感性规律、话术诱导模式与认知偏见利用路径，构建覆盖"识别—分析—反制—赋能"的全链路社会工程学防御研究体系。
社会工程学（Social Engineering）是网络钓鱼攻击的核心驱动力。攻击者并非突破技术防线，而是利用人类认知偏见、情感反应与行为惯性，操纵目标主动绕过安全控制。本研究基于跨学科视角，融合社会心理学、行为经济学与网络安全工程，构建系统化的防御框架。
Verizon 2026年数据泄露调查报告（DBIR）基于31,000余起安全事件与22,000余起确认泄露的分析表明，62%的泄露事件涉及人为因素——包括社会工程学、人为错误或权限滥用，较2025年的60%小幅回升。尽管组织持续投入技术防御，人为因素占比连续三年维持在60%以上，证明"人"仍是攻击者最高效的突破口。
伪装攻击——通过构建可信场景、以同步实时对话诱导目标配合——在DBIR 2025中事件数量近乎翻倍；DBIR 2026将其从钓鱼（Phishing）中单独拆分，正式列为独立初始访问向量，占确认泄露事件的约6%。攻击者已从"广撒网"式钓鱼转向基于组织上下文的精准故事驱动攻击，语音、短信与即时通讯成为伪装攻击的主要载体。
生成式AI正在重塑社会工程学攻击的形态。Verizon DBIR 2026数据显示，在被分析的钓鱼邮件中，AI生成内容的占比从2025年中期的约10%飙升至2025年12月的54%。CrowdStrike 2025全球威胁报告引用的学术研究指出，AI生成钓鱼邮件的点击率达54%，与专业社工撰写的钓鱼邮件水平相当，远超批量群发钓鱼邮件约12%的基准——语言线索这一传统"鉴伪锚点"正在失效。
FBI IC3 2025年度报告（2026年发布）记录1,008,597起投诉、总损失208.77亿美元（同比增长26%）。其中BEC投诉24,768起，核实损失30.47亿美元，居损失额第二高犯罪类型；平均每起BEC损失约12.3万美元。值得注意的是，IC3首次单列AI相关投诉：22,364起、损失8.93亿美元。BEC不依赖恶意软件，而是直接利用商业流程中的信任关系实施资金欺诈，传统技术防御难以有效拦截。
社会工程学攻击已从单一邮件渠道扩展至多通道协同作战。Verizon DBIR 2026指出，41%的社会工程学泄露事件涉及邮件以外的向量——语音通话、短信、社交媒体与即时通讯工具。在模拟测试数据中，语音与短信钓鱼的中位点击率（约2%）较邮件模拟（约1.4%）高出40%；而CrowdStrike记录Vishing活动量在2024年下半年环比增长442%，成为增速最快的攻击渠道。
Verizon DBIR 2025记录，用户打开钓鱼邮件后点击恶意链接的中位时间仅为21秒；而模拟测试中仅约20%的用户会主动报告可疑邮件——从点击到报告的窗口期，正是攻击者完成凭证窃取的关键时间。KnowBe4基于1,450万用户、62,400个组织、6,770万次模拟测试的数据证实，系统化培训可将初始点击率从33.1%降至4.1%（降幅86%），证明安全意识培训是社会工程学防御中ROI最高的投入。
知己知彼是防御的前提。基于FBI IC3、CISA、Mandiant、CrowdStrike等机构的威胁情报归因，当前活跃的社会工程学攻击者可划分为五类行为体，其动机、目标、战术与防御优先级各不相同。
| 行为体类型 | 代表组织 | 主要动机 | 典型战术（TTPs） | 首要目标 | 威胁等级 |
|---|---|---|---|---|---|
| 犯罪团伙型以勒索与数据变现为核心 | Scattered Spider / UNC3944（含Oktapus相关活动）、CHATTY SPIDER、CURLY SPIDER | 经济利益（勒索、数据敲诈、BEC） | Help Desk语音冒充重置凭证、Spam Bombing+Vishing组合、MFA疲劳轰炸、SIM Swap、SaaS账户接管 | 大型企业、SaaS服务商、零售、金融 | 极高 |
| BEC专业欺诈型职业化资金诈骗链条 | 尼日利亚系"BEC团伙"、国际洗钱网络（钱骡体系） | 直接资金盗取与洗钱 | 邮箱接管或域名仿冒、长期潜伏观察业务往来、供应商付款信息变更欺诈、房地产交割指令篡改 | 财务部门、高管、房地产与律所 | 极高 |
| 国家级APT型定向情报收集 | Lazarus Group（朝鲜）、各方向APT组织 | 间谍活动、制裁规避、资金窃取 | 定向鱼叉钓鱼、伪造招聘/安全研究人员身份、0day与水坑组合、长期OSINT画像 | 政府、国防、科研机构、加密货币行业 | 高 |
| 黑灰产服务型犯罪即服务（CaaS） | 钓鱼工具包开发者（Tycoon2FA等AitM套件）、初始访问经纪人、深度伪造服务商 | 工具与访问权限售卖 | 商用AitM钓鱼套件（绕过MFA）、克隆网站即服务、被盗凭证集市交易、AI语音克隆服务 | 下游所有攻击者（间接威胁全社会） | 高（放大器） |
| 境外诈骗窝点型规模化电信诈骗 | 缅北及东南亚跨境电诈园区（公安部持续打击对象） | 直接诈骗资金 | 冒充公检法/客服/领导、VoIP改号、剧本化话术流水线、虚假投资理财（"杀猪盘"） | 个人用户、中小企业主、老年人 | 极高（民生） |
社会工程学攻击已形成完整的黑色产业链：上游提供工具（AitM钓鱼套件、AI语音克隆、改号服务）、中游实施攻击（Help Desk冒充、BEC欺诈、虚假投资话术）、下游变现洗钱（钱骡账户、虚拟币混币）。CrowdStrike 2025全球威胁报告显示，2024年访问经纪人（Access Broker）广告数量同比增长50%达4,486条， stolen credentials 的工业化供给使任何团伙都能以低成本获得企业级攻击起点。防御方必须认识到：所面对的不再是散兵游勇，而是具备"采购—生产—销售"完整链条的犯罪产业。
社会工程学防御的有效性取决于对"人为什么会中招"的科学理解。基于Oliveira等人（2017）的大规模实地实验、KnowBe4 2025年行业基准数据及国内反诈实践，我们梳理出受害者易感性的四类核心规律，为分层培训与定向防御提供依据。
Oliveira等人（2017）对真实钓鱼邮件的实地实验发现：老年群体对"互惠"类诱导最为敏感，而年轻成年群体对"稀缺性"诱导反应最强。国内实践中，老年人是冒充公检法、虚假投资诈骗的主要受害群体；而青年群体则是"刷单返利""虚假客服""演唱会门票代买"类稀缺性钓鱼的高发受害者。培训内容必须按年龄分层设计。
BEC与鲸钓攻击精准瞄准三类岗位：财务人员（资金审批权限）、HR与招聘团队（掌握员工敏感信息、可投递"录用通知"类钓鱼）、高管（鲸钓目标，一旦被攻破即可向全公司发号施令）。FBI IC3数据显示BEC平均每起损失约12.3万美元。组织应为这三类岗位配置带外验证、双人复核等强化控制，而非仅依赖通用培训。
KnowBe4 2025基准显示：250人以下小企业的初始点击率为24.6%，而万人以上大型企业高达40.5%——大企业的攻击面与针对性钓鱼暴露度更高，但小企业往往缺乏专职安全团队与培训预算。同时，新员工入职首月是风险峰值期（对内部流程与通讯规范尚无"手感"），远程办公员工因缺少同事即时核实渠道，其钓鱼转化率显著高于办公室场景。
人格心理学研究表明，高外向性、高冲动性与高宜人性个体对"喜好/社会认同"类钓鱼更敏感——他们更乐于助人、更快响应"同事"的请求。这并非人格缺陷，而是社会协作本能被武器化。防御重点不是"改变人格"，而是通过流程设计（如强制双人复核）对冲个体倾向带来的系统性风险。
周四、周五及月末、季末（财务结算高峰期）是BEC类钓鱼的高发窗口；员工在"多任务并行""赶工""远程会议密集"状态下的认知资源耗竭，使其更容易走"直觉捷径"。Verizon DBIR 2025的21秒点击窗口证明：攻击者正是利用人类"快思考"（System 1）的默认模式取胜。组织应将"Pause-Verify-Escalate"程序嵌入高压业务流程，对抗情境性脆弱。
社会认同话术之所以有效，是因为组织中的个体天然存在"不想拖后腿"的从众心理。"全员已确认""95%同事已完成"的表述激活的是群体归属感而非贪婪。DBIR 2025仅约20%的用户会主动报告可疑邮件——沉默本身就是风险放大器。建立"报告不受惩罚、快速响应有奖"的正向文化，是扭转群体沉默的唯一路径。
社会心理学权威Robert Cialdini提出的六大影响力原则——互惠（Reciprocity）、承诺一致（Commitment & Consistency）、社会认同（Social Proof）、权威（Authority）、喜好（Liking）与稀缺性（Scarcity）——构成了钓鱼攻击者心理操控的理论基础。学术研究证实，攻击者极少单独使用某一原则，而是将两到三种原则叠加，压缩目标的决策窗口至理性审查阈值以下。
权威原则指人们倾向于服从权威人物或机构的指令，尤其在层级分明的组织结构中。学术研究一致表明，权威与喜好是预测受害者服从度的最有效指标，其效力超越了稀缺性等更常被讨论的战术。攻击者伪造CEO紧急转账指令、IT部门密码重置通知或监管机构合规检查要求，利用员工"不敢质疑上级"的心理弱点。
攻击者通过被入侵的真实邮箱或高度相似的域名，向财务人员发送"CEO紧急电汇请求"，邮件语气强硬、不容置疑，并引用内部项目名称增强可信度。即便是安全经验丰富的专业人士，在面对高仿真权威型钓鱼邮件时也可能出现判断迟疑——权威压力对理性判断的抑制几乎不受专业背景保护。
稀缺性原则利用人们对错失机会（FOMO, Fear of Missing Out）的恐惧。攻击者通过设定紧迫期限——"账户即将冻结""发票逾期将产生滞纳金""优惠仅剩2小时"——迫使目标在认知资源不足的情况下快速决策。Oliveira等人（2017）的实地实验发现，年轻成年群体对稀缺性诱导最为敏感；Verizon DBIR 2026数据显示，伪装（Pretexting）已占确认泄露事件初始访问向量的约6%，且事件量较往年近乎翻倍。
伪造的"税务退税即将过期"邮件要求用户在24小时内完成身份验证，否则退税资格将被取消。用户因担心经济损失而在未仔细核实发件人身份的情况下点击链接并提交个人信息。
紧迫性是钓鱼攻击中最普遍的心理触发器。攻击者深谙人类在压力下的决策机制：当杏仁核（amygdala）被激活时，前额叶皮层的理性分析能力被抑制，导致"战斗或逃跑"反应取代审慎判断。这种神经生物学机制使得紧迫性诱导几乎不受受教育程度或专业背景的影响。
"您的企业邮箱存储配额已达98%，请立即点击清理，否则将无法接收新邮件。"此类攻击将点击行为包装为简单、明确且有益的"任务"，利用任务完成驱动（Task Completion Drive）掩盖安全风险。
社会认同原则指人们在不确定情境下倾向于模仿他人行为。攻击者利用"您的同事已确认""已有2,847人完成验证""全公司都在升级系统"等表述，制造虚假的集体行为压力。Cialdini（2021）将社会认同列为影响力的核心原则之一，在针对组织内部群体的钓鱼活动中被攻击者系统性利用。
伪造的"全员安全意识培训通知"声称"已有95%的同事完成测试"，并附带指向钓鱼页面的链接。员工因从众心理与对"落后"的担忧而快速点击。
人们更容易被自己喜欢或感到相似的人说服。攻击者通过OSINT（开源情报）收集目标的社交关系、兴趣爱好、毕业院校等信息，在钓鱼内容中植入共同点以建立虚假亲近感。Oliveira等人（2017）的研究证实，"喜好"是钓鱼邮件与合法邮件中最具效力的说服原则。高外向性人格特质与钓鱼易感性呈正相关。
攻击者在LinkedIn上研究目标后，发送"校友聚会邀请"或"共同兴趣社群活动通知"，利用相似性建立信任后再诱导点击恶意链接。
互惠原则指人们感到有义务回报所接受的恩惠。攻击者先提供"免费礼品卡""行业白皮书""系统优化工具"等小额利益，再要求目标"配合完成简单验证"或"帮忙确认账户信息"。Oliveira等人（2017）发现，老年群体对互惠诱导最为敏感，这与认知老化导致的批判性思维下降有关。
"感谢您参与我们的年度安全调研，请查收您的Amazon礼品卡。点击领取前请完成身份验证以确保奖品发放准确。"
本课题依托中国互联网络信息中心（CNNIC）与公共互联网反网络钓鱼工作组的实践背景。FBI IC3、Verizon DBIR 的数据以美国及全球样本为主，而国内社工诈骗在手法、话术与治理生态上具有鲜明本土特征。以下图谱基于公安部、国家反诈中心及最高人民法院公开的典型案例与通报整理，与分册的国际化理论框架互为印证。
权威原则的极端化运用：诈骗分子冒充公安、检察院、法院、海关、社保、税务等机关工作人员，以"涉嫌洗钱/非法出入境/账户异常"为由制造恐惧，要求受害人配合"资金清查"或"安全账户"验证。该手法长期位居国内电诈发案量前列，老年人与信息相对闭塞群体为主要受害对象。
互惠 + 承诺一致原则的流水线化运用：以"动动手指、日结高薪"的兼职广告引流，小额返利建立信任后，以"连单任务""解冻费"为名诱导大额投入。该手法针对青年与学生群体，是国内发案量最高的电诈类型之一（公安部历年通报均列前三）。
喜好 + 稀缺性 + 承诺一致的长线操控：通过婚恋、社交平台建立情感信任（"养猪"），再引流至虚假投资平台，以"内部消息""稳赚不赔"诱导充值，初期允许小额提现以增信，待大额投入后无法提现（"杀猪"）。单案损失常达数十万元至数百万元，是人均损失最高的电诈类型。
权威 + 紧迫性：冒充电商平台客服、快递公司、航空公司，以"商品质量问题多倍赔付""航班取消需改签退款""包裹丢失理赔"为由，诱导受害人点击钓鱼链接或开启屏幕共享，最终套取银行卡信息与验证码。此类手法与第二分册 ClickFix、机票退改签钓鱼模拟场景直接对应，且高度适配国内移动支付环境。
2021 年新版《影响力》在六原则之外补充了第七原则"联盟（Unity）"：人们更容易被自己认同的群体成员说服。这一原则精准解释了国内社工诈骗中"老乡会""校友群""业主群""家长群"话术的效力来源——攻击者通过虚构或真实的群体身份，将"我们是一伙的"这一归属感转化为服从。防御启示与六原则一致：群体归属不能替代独立核实，涉及资金与敏感信息时，任何"自己人"都必须走带外验证流程。
与国际上以企业与行业组织为主导的治理模式不同，中国形成了"立法 + 专项行动 + 技术拦截 + 全民宣传"四位一体的治理体系。理解这一生态，是评估本土社工威胁与合规义务的前提。
2022 年 12 月 1 日施行的《反电信网络诈骗法》是中国首部反电诈专门法律，确立了对电话卡、物联网卡、金融账户、互联网账号的全链条治理，并明确了电信、金融、互联网企业的反诈风控义务与"涉诈资金拦截、异常账户监测"责任。该法与《网络安全法》《数据安全法》《个人信息保护法》共同构成企业社工防御的合规底座。
96110 是全国统一的反诈预警专线，用于对潜在受害人进行电话劝阻；国家反诈中心 APP 提供涉诈号码、网址、APP 的核验与举报通道。公安部通报的劝阻数据表明，预警劝阻在转账前的"临门一脚"拦截了大量案件——这与第三分册"21 秒点击窗口 + 即时报告"的企业防御逻辑完全一致：拦截的时间窗口都在分钟级。
针对境外诈骗窝点的规模化打击持续深化。据公安部公开通报，2023 年以来中缅执法合作累计移交我方缅北涉诈犯罪嫌疑人 4.4 万余名，一批境外"杀猪盘"、虚假投资窝点被捣毁。但治理专家普遍指出：窝点可迁移（向缅东妙瓦底、中东、东欧扩散）、手法可升级（AI 换脸、语音克隆），"打击治标、防御治本"的格局长期不变——这也正是企业端与公民端防御教育的战略价值所在。
基于Verizon DBIR、APWG、FBI IC3及CrowdStrike等多源权威数据，对社会工程学攻击进行系统化分类，覆盖攻击向量、心理机制、目标人群与典型损失等维度。
| 攻击类型 | 心理机制 | 占比/趋势 | 目标人群 | 典型损失 | 关键特征 |
|---|---|---|---|---|---|
| 钓鱼邮件（Phishing） Email-based deception | 权威 + 紧迫性 | 191,561起投诉 | 全体员工 | 约$4.8M/起 钓鱼为初始攻击向量的泄露均值（IBM CoDB 2025）；全类型泄露全球均值$4.44M |
FBI IC3 2025年钓鱼/仿冒投诉191,561起（投诉量第一）；AI生成内容占比从10%升至54%（DBIR 2026）；中位点击时间21秒；未培训用户点击率33.1% |
| 伪装（Pretexting） Fabricated scenario | 权威 + 社会认同 | 6%泄露事件初始访问 | 财务、高管、HR、Help Desk | — | Verizon DBIR 2026正式列为独立初始访问向量；事件量较往年近乎翻倍；以同步实时对话（电话/短信/IM）实施；BEC与勒索软件初始访问的核心机制 |
| 语音钓鱼（Vishing） Voice phishing | 权威 + 喜好 | +442% H1→H2 2024 | Help Desk、高管、财务人员 | — | CrowdStrike 2025 GTR：2024下半年环比激增442%；Mandiant M-Trends 2026：语音钓鱼为2025年第二大初始感染向量（占比约11%）；MGM/Caesars入侵事件的核心手法；模拟成功率较邮件高40% |
| 短信钓鱼（Smishing） SMS phishing | 紧迫性 + 稀缺性 | 与语音合计19% | 移动端用户 | — | Verizon DBIR 2025：短信与语音钓鱼合计占数据泄露事件的19%；业界研究估计短信钓鱼点击率为邮件钓鱼的数倍；假公路收费诈骗2023-2024激增；最具效率的单消息渠道 |
| 商业邮件欺诈（BEC） Business Email Compromise | 权威 + 紧迫性 + 社会认同 | $3.05B/年 | CFO、AP、财务 | $3.05B/年 FBI IC3 2025 |
24,768起投诉、核实损失30.47亿美元（IC3 2025，损失额第二高）；平均每起约12.3万美元；2025年IC3记录AI辅助BEC损失超3,000万美元；不依赖恶意软件 |
| 二维码钓鱼（Quishing） QR code phishing | 好奇心 + 损失规避 | 持续上升 | 移动端用户、停车/就餐场景用户 | — | 恶意二维码覆盖真实二维码（停车场、共享单车、餐厅菜单）；邮件内嵌二维码以绕过URL扫描网关；用户无法预览目标地址，"扫描即跳转"降低警惕性 |
| MFA疲劳轰炸 MFA Fatigue / Push Bombing | 厌烦心理 + 紧迫感 | 多地通报 | 已泄露凭证的账户持有者 | — | 攻击者用已窃取密码反复触发MFA推送，伴随"请立即批准否则账户锁定"的话术，利用用户厌烦与恐慌心理骗取一次性批准；Uber、Cisco等事件均涉此手法；防御：FIDO2/无推送式MFA |
| 招聘/HR钓鱼 Recruitment & HR phishing | 喜好 + 稀缺性 + 权威 | 显著上升 | 求职者、HR、招聘经理 | — | 伪造高薪职位/面试邀请投递恶意文档（含宏或链接）；针对HR的"候选人简历"钓鱼可窃取员工数据并横向投递工资单钓鱼；CrowdStrike记录多起伪造求职者入侵企业案 |
| 深度伪造钓鱼 Deepfake-enabled SE | 权威 + 喜好 | +1,300% 深度伪造欺诈 | 高管、公众人物、财务人员 | $25.6M/起 Arup香港案 |
Pindrop 2025：2024年深度伪造欺诈尝试增长超1,300%（月均1起→日均7起）；Arup香港2亿港元视频会议欺诈案；Groh等PNAS 2022元分析：人类识别AI伪造人脸准确率仅约56%；多模态协同攻击 |
| ClickFix诱导 Fake repair prompt | 任务完成驱动 + 损失规避 | +1,450% Q1 2025 | 金融、法律、医疗行业员工 | — | 伪造"一键修复"按钮；结合AitM网关绕过MFA；Base64编码规避检测；地理封锁与浏览器指纹反分析；Secureframe监测2025年Q1相关活动激增约1,450% |
| 供应商邮件劫持 Vendor Email Compromise | 社会认同 + 权威 | 第三方48% +60% | 采购、AP、财务 | — | Verizon DBIR 2026：第三方参与占全部泄露事件的48%（同比增长60%）；劫持真实供应商邮箱后利用既有信任关系实施付款信息变更欺诈 |
现代社会工程学攻击极少依赖单一心理杠杆。Verizon DBIR 2026的核心主题是"Refinement, not Revolution"（精进而非革命）：AI并未创造全新的攻击技术，而是将既有社工技术的规模、质量与速度推向工业化水平。组织应回归网络安全基本面——身份保护（MFA、最小权限）、补丁管理与安全文化——而非追逐每一个新概念。同时，41%的社工泄露事件已涉及邮件以外的向量，基于单一规则的检测与单渠道防御面临结构性失效。
DBIR 2026 确认三大基本模式格局未变：系统入侵（System Intrusion）占全部泄露的 61%（勒索软件驱动的多步骤攻击为主）、社会工程学占 16%、基础 Web 应用攻击占 10%；其他模式依次为杂项错误 8%、特权滥用 3%。两组补充数据值得防御方关注：（1）勒索软件依然普遍——48% 的泄露事件涉及勒索软件；在已知规模的勒索受害者中约 96% 为中小企业，"体量小不值得攻击"的侥幸心态已被数据证伪；（2）影子 AI 成为新风险面——DBIR 2026 记录 67% 的 AI 使用发生在非企业管控账号上，员工把含敏感信息的邮件、代码与文档粘贴进未经批准的个人 AI 工具，构成了社工情报收集的新来源。防御含义：权限最小化、凭证卫生与数据防泄漏（DLP）的优先级，应当高于对"AI 新概念"的追逐。
从早期的"尼日利亚王子"式广撒网攻击，到今天的AI驱动、多通道协同、情境化精准诱导，社会工程学攻击经历了四个阶段的范式跃迁。每一阶段的演进都伴随着攻击效率的指数级提升与防御难度的结构性增加。
攻击者发送数百万封内容雷同的钓鱼邮件，依赖极低的转化率获取受害者。邮件通常包含明显的语法错误、陌生的发件人地址与粗糙的仿冒页面。此阶段防御主要依赖基于规则的垃圾邮件过滤器（如SPF、DKIM、DMARC）与黑名单机制，拦截率较高。FBI IC3数据显示，钓鱼/仿冒类投诉2024年为193,407起、2025年为191,561起，基本持平（微降约1%），持续位居投诉量首位。
攻击者开始利用OSINT收集目标信息，构建针对性极强的钓鱼内容。2013年Target数据泄露、2014年Sony Pictures攻击均为典型代表。攻击者通过LinkedIn、公司网站与社交媒体获取目标的职位、工作内容与社交关系，使钓鱼邮件在上下文逻辑上无懈可击。此阶段，Cialdini影响力原则开始被系统性地应用于攻击设计。
攻击目标从普通员工转向CFO、CEO等高价值个体（鲸钓），以及通过BEC直接获取资金。FBI IC3数据显示，2013年10月至2023年12月，BEC全球暴露损失累计超过554亿美元。攻击者利用被入侵的真实邮箱、伪造的供应商付款变更与房地产交割指令，直接操纵商业流程。此阶段，Pretexting（伪装）从边缘战术上升为核心攻击模式。
生成式AI使攻击者能够以工业规模生产高质量、零语法错误的个性化钓鱼内容：DBIR 2026记录AI生成钓鱼邮件占比从10%升至54%；CrowdStrike记录Vishing环比激增442%、深度伪造欺诈尝试增长超1,300%。攻击不再局限于单一渠道，而是邮件→短信→语音→视频的深度协同。ClickFix等新型攻击将"修复任务"包装为有益行为；AitM网关在用户完整通过MFA后窃取会话令牌；深度伪造语音与视频使传统的真实性线索全面失效。