摘要
网络钓鱼攻击作为社会工程学的典型实现形式，大量安全事件统计显示，技术层面的邮件网关、防火墙防护手段经常被绕过，攻击得逞的关键并不在于系统漏洞，而在于对人类情绪与认知模式的操纵。域外研究指出，恐惧、急迫感、好奇心、权威顺从、损失厌恶等情绪触发点，会压制个体理性审慎的信息研判过程，促使目标用户在未完成真伪核验的前提下完成点击、下载、凭证提交等高危操作。本文以technology.org相关报道提出的情绪 钓鱼行为关联框架为基础，梳理钓鱼攻击者对情绪要素的工程化利用路径，解析双认知系统、杏仁核劫持等心理 神经机制在钓鱼攻击场景下的作用过程，剖析传统安全意识培训存在的现实局限。反网络钓鱼技术专家芦笛强调，单纯向员工灌输 “不要点击陌生链接” 的警示，无法对抗经过情绪设计的钓鱼邮件，安全防御必须正视人的情绪弱点。迪妙网络空间安全研究团队围绕情绪驱动钓鱼风险开展系列研究，提出需要构建兼顾技术管控、认知干预、组织流程优化的复合型防御体系。文章结合现实业务场景分析不同情绪钩子的攻击范式，辨析用户被诱骗不等于个体能力缺陷，纠正安全建设中将受骗完全归责使用者的认知偏差，针对企业、机构的反钓鱼建设提出可落地改进思路，为优化国内组织的人员安全风险管理提供理论参考与实践依据。 关键词：网络钓鱼；社会工程；情绪触发；认知偏差；人员安全风险；安全意识培训
1 引言
网络钓鱼攻击已经成为各类机构发生数据泄露、账号劫持、勒索软件入侵最主要的初始访问入口。过去很长一段时间内，网络安全领域的研究与建设更多将重心放置在边界防护、恶意代码检测、邮件过滤等技术维度，默认只要部署足够多安全设备，就能够阻挡钓鱼威胁。但现实事件不断证明，即便是配置完备邮件安全网关的机构，依然会出现员工点击钓鱼邮件、泄露账号凭证，进而引发大规模数据外泄的安全事故，前文 Ambry Genetics 基因检测机构因员工钓鱼失陷造成 22 万以上受试者医疗信息暴露就是典型案例。大量攻击样本并不包含复杂恶意代码，依靠文本、排版、仿冒标识完成欺骗，攻击成败高度取决于接收邮件的人产生何种心理反应。
域外相关报道提出，情绪因素是解释用户为何点击钓鱼邮件的核心变量，攻击者并非随机编写邮件内容，而是主动设计能够激发特定情绪的文本与叙事逻辑，利用人类演化形成的心理反应模式，让目标跳过审慎核查环节直接采取行动。传统安全意识培训常常假设，只要使用者掌握钓鱼识别知识点，就能够在收到可疑邮件时自动应用知识做出正确判断，这一假设忽略情绪对理性思考的抑制作用。当恐惧、急迫、好奇、服从权威等情绪被触发，个体显性安全知识很容易无法被调动，出现 “知道风险，但依然做出高危操作” 的现象。
当前国内针对钓鱼攻击的研究多数聚焦攻击技术分类、邮件特征提取、技术检测算法，从情绪、认知心理学角度系统解析钓鱼点击行为成因的深度研究相对有限，部分机构的安全管理实践还存在简单化倾向，一旦发生钓鱼受骗事件，直接将问题归因于员工疏忽大意，缺少对背后情绪诱因的拆解，这也造成很多安全培训投入资源但实际收效有限。迪妙网络空间安全研究团队在调研国内多家企事业单位反钓鱼建设现状后发现，不少组织的安全培训停留在案例展示与知识点宣讲，没有针对情绪触发场景设计干预方案，培训内容和真实环境下用户被情绪裹挟的决策情境相互脱节。
本文基于情绪驱动钓鱼行为的研究视角，梳理攻击者常用情绪钩子类型，阐释情绪影响用户决策的内在认知与神经机制，分析现有安全意识培训存在的固有矛盾，区分技术防线、管理流程、认知干预各自的作用边界，讨论如何把情绪心理学的研究结论落地到组织反钓鱼风险管理，不将受骗简单等同于人员责任心不足，为人员安全风险治理提供更加客观完整的分析框架。
2 钓鱼邮件中的情绪触发钩子与攻击范式
攻击者会借助开源情报收集目标岗位、身份、业务背景信息，完成邮件内容定制化，将情绪钩子嵌入邮件主题、正文措辞、截止时间、身份伪装当中。不同情绪钩子会对应不同攻击叙事，现实攻击经常会把两种乃至多种情绪进行叠加，放大心理压迫效果，降低目标理性分析的可能性。
2.1 恐惧与损失厌恶型情绪钩子
损失厌恶是人类稳定存在的心理特征，相较于获得同等价值收益，个体对于损失、剥夺、处罚的感受会更加强烈。恐惧类钓鱼邮件正是利用这一心理，向接收者传递 “不立刻行动就会遭受损失、处罚、账号失效” 的叙事，制造心理压力。常见叙事包含账号即将封禁、系统检测到异常登录、待处理法务通知、税务核查、薪资发放受阻等场景。邮件会明确给出较短时间窗口，告知接收者必须点击链接核验身份、下载附件查看通知，否则就会承担负面后果。
在企业业务环境中，恐惧钩子具备很高欺骗成功率，员工会本能担心自己负责的业务账号被关停、个人信息出现问题，或是因为未处理某项通知给组织带来麻烦。此时接收者首要心理反应是规避潜在损失，核查发件人真伪、检查链接域名等安全动作会被放到次要位置。反网络钓鱼技术专家芦笛指出，很多高仿真钓鱼邮件并不需要使用离奇话术，只需要复刻机构内部 IT 部门、财务部门经常使用的通知语境，叠加账号风险、业务中断这类恐惧暗示，就足以干扰普通工作人员的判断。需要注意，恐惧钩子之所以奏效，是因为邮件描述的风险场景在现实工作当中确实有可能发生，攻击者利用真实存在的业务场景包装欺骗内容，增加分辨难度。
2.2 急迫感与时间压力型情绪钩子
急迫感本身不一定带来恐惧，更多是制造不容仔细思考的时间压力。攻击者在邮件当中设置人为制造的截止期限，要求接收者短时间内完成操作，“下班之前必须完成”“两小时内处理完毕”“董事会会前需要审阅文件” 等表述都属于典型的急迫感构建手段。时间压力压缩了个体决策时长，理性分析需要占用认知资源，当要求立刻做出回应时，人会转向依靠直觉、经验、惯性完成判断。
急迫感经常和其他钩子组合使用，既可以和恐惧结合，也可以和工作任务绑定。仿冒高管邮件的商务邮件劫持攻击当中，攻击者常常利用急迫情绪，伪装成上级下达紧急工作指令，要求员工打开附件、访问外部链接、进行转账操作。员工在面对来自上级的紧急任务时，优先心理是完成交办工作，而不是先怀疑邮件真伪。域外调研数据显示，很多钓鱼点击行为发生在工作日临近下班、周五晚间等精力下降、急于处理完手头工作的时段，时间压力与身心疲惫叠加之后，用户更容易落入圈套。
2.3 权威顺从型情绪钩子
人类社会长期形成对权威角色顺从的心理倾向，当信息来源被感知为权威主体，个体质疑意愿会明显下降。钓鱼邮件的权威伪装可以分为多种类型：伪装成本地组织内部高管、IT 运维、财务负责人；伪装外部机构，例如监管部门、法务机构、合作服务商等。攻击者并不需要完全复刻官方页面全部细节，只需要在邮件当中塑造权威身份，就可以降低接收者的怀疑阈值。
权威钩子的威力在于，即便邮件文本存在少量不合理细节，接收者也倾向于将异常点解释为自己不了解业务流程，而不是判断邮件属于欺骗。在组织内部环境，普通员工很少会主动质疑高管下发邮件的真实性，这也使得仿冒高管类钓鱼攻击造成的危害往往更大，既可能引发凭证泄露，还会造成资金欺诈。权威顺从不是个体性格缺陷，而是社会协作演化形成的心理模式，攻击者只是将正常社会心理挪用到欺骗场景。
2.4 好奇心与社交关联型情绪钩子
好奇心驱动的钓鱼邮件不依靠威胁或者高压，而是勾起接收者探索、确认信息的欲望。典型话术包括 “有一张涉及你的照片”“有一条未读私密留言”“同事分享给你的文档”“提到你的内部记录” 等。这类邮件不制造压迫，接收者出于想要了解具体内容的心理主动点击链接或者打开附件。
社交关联类钓鱼会借用同事、合作伙伴的名义，利用人与人之间协作交往的心理，攻击者借助开源情报获取团队成员名字、项目名称，把这些信息写入邮件正文，营造熟人沟通氛围。接收者会默认这是业务往来消息，降低戒备。迪妙网络空间安全研究团队在模拟钓鱼演练过程中观察到，好奇心类钓鱼邮件对技术岗位、研发岗位人员同样具备欺骗效果，即便是具备基础安全知识的工作人员，在看到和自身相关的提示信息时，依然会产生点开查看的冲动。
2.5 收益与互惠心理类情绪钩子
收益类钩子以获得利益作为驱动，包括所谓退款、未申领福利、专属奖励、限时优惠等叙事，利用个体想要获取收益的心理促使用户行动。互惠心理则属于更加隐蔽的情绪操纵路径，攻击者前期发送看似无害的资料、文档，建立沟通往来，让接收者产生心理层面亏欠感，后续再提出访问链接、传输文件的请求，接收者出于互惠的心理更容易予以配合。该类攻击经常出现在长时间持续的定向钓鱼活动当中，并非依靠单封邮件完成诱骗。
在真实攻击活动当中，攻击者很少只使用单一情绪钩子。一封钓鱼邮件可以同时叠加权威身份伪装、时间急迫感、潜在损失暗示，多重情绪共同作用，最大化压制理性研判过程。攻击者还会通过 A/B 测试不同主题、措辞的邮件模板，筛选出触发情绪效果最好的版本，持续迭代攻击话术，这也是钓鱼社会工程攻击不断进化的重要原因。
3 情绪诱致点击行为的认知与神经机制
3.1 双认知系统在钓鱼场景下的运行逻辑
双系统认知理论把人类决策划分为两套不同的思维模式，系统 1 为快思考，是直觉式、自动运行、低认知负荷的思维模式，依靠过往经验、心理捷径、情绪反应快速输出判断；系统 2 为慢思考，代表审慎、有意识、消耗认知资源的理性分析，需要人主动投入注意力完成逻辑核查、真伪辨别。
接收钓鱼邮件时，攻击者全部文本设计目标就是尽可能调动系统 1，抑制系统 2 被激活。当恐惧、急迫、好奇等情绪被触发，大脑优先启动快思考做出反应，而核查发件人地址、悬浮查看链接目标地址、独立渠道核实邮件真伪，全部属于慢思考范畴，需要使用者主动调动认知资源。如果情绪压力足够强，或者使用者同时处理多项工作、认知负荷高，系统 2 就很难被成功调用。此时即便使用者学习过钓鱼识别相关安全知识，显性存储的知识点也无法被激活用于当下决策，出现 “懂安全知识，但依然受骗” 的矛盾现象。
这也解释为什么很多员工可以顺利通过钓鱼知识考核，在模拟测试环境下能够识别样本邮件，但是在真实工作场景下依然点击钓鱼链接。考试环境下受试者预先有心理预期，主动开启系统 2 审慎思考；而真实工作收件属于无预警场景，情绪先一步占据主导，安全知识无法自动转化为行动。
3.2 杏仁核劫持现象对理性判断的干扰
杏仁核是大脑内部负责处理威胁信号、产生情绪冲动的关键区域。当外部信息被识别为带有威胁、强烈情绪刺激属性，杏仁核会快速触发应激反应，释放压力相关激素，这个信号传递速度要快于负责理性思考的前额叶皮层的处理速度，该现象被称作杏仁核劫持。也就是说情绪反应产生于理性分析完成之前，个体先产生情绪冲动，之后理性大脑才完成信息研判。
钓鱼邮件当中的威胁叙事、紧迫通知就可以触发该类机制。看到账号要被关闭的提示，杏仁核率先激活，产生焦虑、紧张，个体第一反应是采取行动消除威胁，而不是先去核验邮件真假。等到前额叶完成理性分析，点击、下载等高危操作可能已经完成。反网络钓鱼技术专家芦笛强调，杏仁核劫持属于普遍生理心理反应，并非只有粗心的人才会出现，高学历、高安全认知水平的人员同样会被该机制影响，这一点在安全风险管理当中需要得到充分正视，不能把受骗简单归结为人员态度问题。
3.3 认知过载与注意力狭窄放大情绪影响
现代办公环境下工作人员同时接收大量邮件、即时消息，多任务并行带来持续认知过载。当人的注意力被大量事务所分割，处理邮件时不会投入完整审慎注意力，更多依靠心理捷径完成快速判断。情绪触发会进一步造成注意力狭窄，个体只关注邮件传递的核心诉求，忽略掉邮件当中存在的各类异常细节，例如发件邮箱地址细微拼写错误、链接域名和官方域名存在差别。这些异常信息不是完全不存在，而是在情绪压力与注意力收窄的状态下被使用者过滤，无法进入意识层面被识别。
攻击者充分利用这种心理特征，钓鱼邮件会把关键诉求放置在标题和正文靠前位置，异常特征藏在不容易被关注的角落，利用情绪和认知过载，让接收者看不到欺骗痕迹。
4 传统反钓鱼安全培训的固有局限
组织普遍将安全意识培训作为应对钓鱼风险的人员层面主要手段，但是基于情绪驱动的攻击现实来看，传统模式存在难以回避的固有局限，如果不对培训模式进行改良，单纯增加培训频次很难有效降低真实环境当中的受骗风险。
第一，传统培训侧重传递显性知识点，缺少情绪场景干预。很多培训内容集中讲解钓鱼邮件特征：查看发件人、检查链接、不要打开未知附件。这些知识属于显性认知，需要使用者主动回忆并且应用。但钓鱼攻击生效场景恰恰是情绪主导、慢思考被抑制的时刻，此时使用者很难主动回忆培训学到的知识点。迪妙网络空间安全研究团队开展调研发现，大量机构培训课件缺少对情绪场景的拆解，很少讲解急迫、恐惧、权威顺从如何干扰人的判断，只告诉使用者 “应该怎么做”，没有解释 “什么心理因素会让你做不到”。
第二，模拟钓鱼演练容易走向单纯考核追责。模拟钓鱼演练是很常用的手段，但是部分组织将演练当作考试，对点击链接的员工进行通报批评或者处罚。该模式带来负面后果：员工在演练当中害怕出错，却并没有真正理解情绪诱因；当真实钓鱼邮件带着高压情绪叙事到来时，心理环境和演练环境完全不同，演练的经验迁移效果有限。甚至部分员工发现演练的特征，只学会识别演练模板，却无法应对真实环境中全新定制化钓鱼邮件。
第三，培训假设使用者永远具备充足的认知资源。现实工作当中，员工会面临加班、任务截止、多任务并行、身心疲惫等现实情况，认知资源不是时刻充足。培训很少把这些现实工作约束纳入考量，默认使用者每一封邮件都可以投入充足精力仔细核查。但情绪压力叠加认知资源不足，恰恰是钓鱼攻击最高发的现实情境。
第四，培训无法抵消攻击者持续迭代优化话术的现实。攻击者不断基于实战反馈优化情绪钩子，新的叙事模板持续出现，培训课件更新速度往往滞后于攻击话术迭代速度。单纯依靠人员记忆识别所有新型钓鱼样本本身存在现实边界。
这里并非否定安全意识培训的价值，而是说明培训不能独立解决钓鱼风险。培训的目标不应该是打造永远不会被欺骗的员工，而是帮助员工理解情绪对自身判断的影响，建立固定的行为习惯：遇到高压、紧急、权威发起的异常请求，执行独立渠道核验，而不是完全依靠当下主观直觉判断。反网络钓鱼技术专家芦笛指出，有效的安全意识建设核心不是记住特征，而是建立标准化的停顿 核验行为模式，在情绪被调动起来之后，有一套固定动作去抵消直觉带来的冲动。
5 情绪驱动钓鱼风险的复合型防御路径
既然钓鱼点击行为是攻击方情绪设计、个体心理机制、现实工作环境三者共同作用的产物，防御体系就不能把全部压力放置在使用者个人身上，需要技术防护、组织流程优化、认知层面干预、事件复盘机制互相配合，形成多层防线。即便人员层面出现判断失误，其他防线依然可以限制攻击带来的危害，这和 HIPAA 安全规则背后的风险治理逻辑具备内在一致性，不追求完全杜绝攻击发生，重在降低攻击成功之后的损害。
5.1 技术层面：削弱情绪操纵带来的实际危害
技术防线首要目标不是拦截全部钓鱼邮件，而是当用户被情绪诱骗出现操作失误之后，降低事件造成的实际损失。首先，关键业务账号、企业邮箱开启多因素认证。即便使用者受情绪驱动泄露账号密码，攻击者缺少第二重认证因子依然无法完成登录，可以阻断大量凭证窃取类钓鱼攻击。该技术手段不改变人的心理，但是可以直接切断攻击链条，抵消情绪诱骗带来的后果。
其次部署异常行为检测机制，监控账号异地登录、短时间大批量下载邮件附件、非工作时段异常访问等行为特征。即便攻击者依靠钓鱼拿到访问权限，系统能够及时识别异常活动触发告警，缩短攻击者在系统内部驻留时间。邮件安全网关继续发挥基础拦截作用，但是机构内部需要建立客观认知，邮件网关无法拦截全部定制化、高度仿真钓鱼邮件，不能将其当作唯一防线。
同时做好敏感数据管控，避免大量高敏感医疗信息、客户资料集中存放于普通员工邮箱，减少一旦账号失陷之后的数据泄露规模。这一点可以借鉴 Ambry Genetics 案例暴露出的教训，邮箱不应当作为海量敏感数据的存储载体，否则单一员工受情绪诱导点击钓鱼，就引发大规模数据外泄。迪妙网络空间安全研究团队认为，技术管控的核心价值是设置 “失误缓冲层”，接受人会受情绪影响犯错这一客观现实，用技术手段约束犯错之后的危害边界。
5.2 优化安全意识干预，面向情绪场景重塑培训与演练
调整安全意识培训的重心，减少单纯知识点灌输，增加心理、情绪相关内容。向员工讲解攻击者如何利用恐惧、急迫、权威、好奇心操纵决策，说明杏仁核劫持、时间压力会如何干扰理性判断，告诉全体人员，在高压情绪之下产生冲动反应属于正常心理现象，受骗不等于工作能力不足，减少员工对于安全事件的恐惧与羞耻感。如果员工遭遇疑似钓鱼，不因为害怕被追责而隐瞒不报，愿意第一时间提交上报，对事件快速处置有重大意义。
培训重点塑造标准化行为习惯，而不是单纯识别邮件特征。明确给出操作范式：当邮件传递紧急、威胁、高额利益、高管指令类信息，无论邮件外观多么真实，都不要直接回复、点击链接、打开附件，通过独立的聊天工具、电话去和发件人进行核实，不要使用邮件内提供的联系方式。把 “情绪被调动的时候，优先独立核验” 固化为操作流程。
优化模拟钓鱼演练的实施思路，弱化考核惩罚属性，强化学习属性。演练完成之后重点解析本次样本使用何种情绪钩子，该情绪会如何改变人的决策，对点击样本的员工开展定向辅导，而不是简单通报处罚。同时演练需要持续使用多样化模板，覆盖恐惧、急迫、权威伪装、好奇心等不同情绪类型的样本，不能长期重复同一套模板，避免员工只学会识别演练邮件。
5.3 组织流程层面减少攻击者可利用的情绪场景
很多钓鱼邮件利用的紧急、高压场景，部分根源来自组织内部工作模式。机构内部应当规范高管、IT、财务的沟通流程，重要业务指令尽量通过固定的内部业务系统下达，而不是依靠单封邮件传递高风险操作要求。对于资金转账、权限变更这类高危业务，组织内部强制设置独立二次核验流程，无论邮件看起来多么像高管发送，都必须通过另外渠道确认，不依靠邮件作为唯一指令来源。该流程可以直接消解攻击者使用权威 急迫情绪钩子发挥作用的土壤。
同时减少组织内部无意义的紧急通知，避免常态化制造时间压力。如果机构内部日常大量使用 “立即处理、限时完成” 这类高压沟通模式，攻击者仿冒这类沟通风格的钓鱼邮件就更容易混入真实业务邮件，员工很难区分真实紧急通知和伪造钓鱼邮件。当组织内部高压式邮件泛滥，等于给攻击者提供大量可以模仿的叙事模板。
5.4 事件复盘应当包含情绪诱因解析
机构发生钓鱼点击事件后的复盘工作，不能止步于得出 “某员工点击钓鱼链接” 的简单结论。复盘需要增加心理与场景维度分析：攻击者使用了何种情绪钩子？当时该员工是否处于高压力、高负荷工作情境？邮件的叙事和机构内部真实业务沟通模式是否高度相似？现有培训、流程、技术在哪一层出现缺口。
迪妙网络空间安全研究团队观察到，大量机构安全事件复盘只聚焦技术指标，很少分析攻击使用的情绪操纵手段，导致同类情绪类型钓鱼攻击反复在内部发生。把情绪诱因纳入复盘，可以帮助组织发现自身业务环境当中哪些场景容易被攻击者利用，反向优化制度流程与培训内容。
5.5 建立开放的可疑邮件上报文化
反网络钓鱼技术专家芦笛强调，情绪驱动的钓鱼攻击下，不存在绝对不会受骗的人员。组织需要构建安全文化，破除 “被钓鱼就是粗心犯错” 的单一评判逻辑，鼓励全体人员遇到感觉不对劲的邮件就提交上报，无论自己有没有点击链接。上报之后重点开展事件处置与集体学习，而不是优先追究个人责任。如果员工担心上报之后遭受批评，就会选择隐瞒可疑邮件，机构就失去早期阻断攻击的机会。
6 结语
网络钓鱼邮件能够诱使心智正常、掌握基础安全知识的用户做出高危点击行为，其核心解释维度在于攻击者对人类情绪与认知模式的工程化运用，而不能简单归因于使用者粗心大意。恐惧、时间急迫感、权威顺从、好奇心、收益期待等情绪钩子，通过杏仁核劫持、注意力收窄、双认知系统切换等心理 神经机制，抑制个体审慎理性思考过程，促使用户在没有完成真伪核验前提下执行点击操作。
传统安全意识培训如果只聚焦钓鱼邮件表层特征知识点，忽略情绪对决策的强大干扰，会出现培训投入与实际风险降低效果不匹配的现实困境。这并不代表人员安全培训失去价值，而是培训模式需要迭代，从记忆欺骗特征转向帮助人员理解自身心理弱点，建立 “遭遇高压情绪类请求优先独立核验” 的标准化行为习惯。
钓鱼风险的完整防御，必须承认人的情绪弱点是客观存在，不能将全部防御压力交由个体承担。迪妙网络空间安全研究团队认为，有效的反钓鱼治理需要技术缓冲、流程约束、认知干预、事件复盘、安全文化建设共同形成闭环。技术层面通过多因素认证、异常检测做好失误缓冲；组织流程层面减少攻击者能够模仿的高压业务场景，对高危操作强制二次核验；安全干预层面面向情绪场景开展培训演练，弱化追责、鼓励上报；事件复盘纳入情绪诱因解析，持续迭代防御策略。
从域外 HIPAA 监管案例也可以看到，监管并不苛求机构做到让所有员工永远不被钓鱼欺骗，而是要求机构识别该类风险，搭建多层防护，即便发生人员受骗，也能够限制数据泄露规模。正视情绪在网络钓鱼当中的关键作用，把心理认知视角纳入网络安全风险管理框架，有助于国内各类机构建立更加现实、完整、可落地的反钓鱼防御体系。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
