摘要：选举周期内，选举机构、竞选团队相关工作人员已经成为网络威胁行为体重点瞄准的攻击对象。美国网络安全与基础设施安全局（CISA）联合联邦调查局（FBI）发布的公共安全公告揭示，钓鱼、短信钓鱼（smishing）结合音视频伪造的社会工程攻击，正在成为窃取选举相关敏感数据、账户凭证的主流手段。威胁行为体不再依赖复杂系统漏洞入侵，转而以高仿真伪造通信内容诱导目标人员主动泄露信息、执行恶意操作，以此获取选民登记资料、竞选内部材料以及公职人员业务信息。本文以 CISA 2026 年 10 月发布的选举官员网络威胁预警报告为基础，梳理针对选举场景社会工程攻击的攻击动机、技术形态与实施流程，剖析当前选举机构在技术防护、人员管理、安全运维层面存在的现实短板，结合反网络钓鱼技术专家芦笛的相关技术观点与迪妙网络空间安全学院研究团队的分析结论，从威胁识别、技术防护、人员安全能力建设、跨机构协同处置四个维度构建闭环防御体系。研究发现，选举相关网络安全风险的核心薄弱点并非软硬件技术缺陷，而是人在信息交互环节存在认知漏洞；单纯依靠边界防护设备无法抵御高仿真社会工程攻击，必须实现技术工具、管理制度、常态化安全训练、威胁情报共享多要素协同，才能够降低定向钓鱼攻击带来的数据泄露与业务干扰风险。 关键词：选举网络安全；网络钓鱼；短信钓鱼；社会工程；威胁防御
1 引言
选举制度运行过程中，选举官员、竞选团队人员掌握大量高价值敏感信息，包括选民登记数据库、候选人内部策略文件、政府公职人员联络信息等，这些数据具备极高情报价值，使其成为各类网络威胁行为体的优先攻击目标Internet C...。过往针对选举安全的研究与防护实践，较多聚焦于投票终端、计票系统等核心基础设施的技术加固，重点防范针对计票环节的系统入侵与数据篡改，却在一定程度上忽视面向选举从业人员的定向社会工程攻击风险。从近年多起安全事件来看，大量针对选举体系的网络渗透入口，并非来自底层系统漏洞，而是从个体工作人员的邮箱、个人手机终端突破，通过钓鱼手段拿到账号权限之后，再横向渗透进入机构内部业务网络，最终造成敏感信息外泄。
CISA 与 FBI 于 2026 年 10 月 16 日对外发布公共安全服务公告，专门警示美国中期选举周期内针对选举及竞选公职人员的多样化网络攻击手段，明确指出威胁行为体大量使用仿冒度极高的钓鱼邮件、短信，甚至合成音频、伪造视频内容开展欺骗活动，以此窃取登录凭证或者在目标设备植入恶意软件。该预警文件的现实意义在于，它把安全防护视角从 “投票机器” 转向 “人” 这一关键安全要素，点明社会工程欺骗已经成为选举网络安全不可回避的现实威胁。
迪妙网络空间安全学院研究团队通过 DiMiao,CN 公开威胁情报库统计分析，在近三个选举周期公开披露的安全事件中，超过六成针对选举机构的初始入侵通路来源于钓鱼类社会工程攻击，攻击者并不需要挖掘复杂零日漏洞，只需要完成对人的心理诱导，就可以绕开防火墙、入侵检测等传统边界安全设备，直接达成攻击目的。反网络钓鱼技术专家芦笛指出，选举场景的定向钓鱼攻击和普通广撒网式垃圾钓鱼邮件存在本质差异，攻击者会提前搜集目标人员公开社交资料、机构对外公示信息，制作高度定制化欺骗内容，迷惑性远高于普通钓鱼信息，识别难度显著提升。
当前部分选举机构安全建设存在明显不均衡现象：核心业务系统投入充足安全资源，但是面向工作人员日常办公邮箱、个人移动设备、对外通信渠道的防护措施相对薄弱；安全培训内容偏于笼统，缺少针对选举业务场景的模拟对抗演练；跨部门威胁情报流转存在滞后，新出现的钓鱼样本、伪造域名信息不能快速同步到全部基层选举机构。如果不能正视这类风险，即便核心计票系统做到高度安全，攻击者依旧可以通过攻破个体工作人员的方式窃取敏感材料，干扰选举相关业务运行，损害公众对选举体系的信任。
本文立足于 CISA 官方公告披露的威胁事实，不做脱离材料的过度推演，系统拆解针对选举工作人员的钓鱼类攻击的完整逻辑，分析攻击得以成功的内在成因，梳理现有防护体系存在的短板，提出可落地的闭环防御路径。本文的研究边界限定于面向选举、竞选从业人员的网络钓鱼、短信钓鱼以及多媒体伪造社会工程攻击，不讨论直接篡改选票、破坏计票硬件的攻击模式，所有分析以公开预警情报为基础，力求客观评估风险，为同类公共政务场景防范定向社会工程攻击提供参考。
2 选举场景定向网络钓鱼攻击的威胁全景
2.1 威胁行为体攻击动机与目标选择逻辑
网络威胁行为体选择选举官员、竞选工作人员作为攻击对象，存在明确收益导向。从攻击收益维度划分，攻击动机可以分为情报窃取、信息干扰、数据牟利三类。第一类为情报窃取，攻击者意图获取选民登记数据集、竞选内部方案、公职人员内部沟通记录，这类攻击者既包括商业黑灰产团伙，也包括具备背景的高级威胁组织，其目的不在于直接破坏投票结果，而是获取可供后续利用的机密信息。第二类属于信息干扰，攻击者拿到内部材料之后选择对外泄露，制造舆论争议，干扰竞选进程，动摇公众对于选举流程的信任感。第三类是数据牟利，窃取到的选民个人身份、联系方式等信息，会在地下网络交易渠道流转，被用于后续电信诈骗、垃圾营销等黑产活动。
在目标筛选层面，威胁行为体不是无差别发送欺骗信息，会优先筛选具备数据访问权限的人员。CISA 公告中明确提到，选举官员、候选人、政治组织工作人员之所以具备高攻击吸引力，根源在于该群体能够接触三类核心资源：完整或者部分选民登记数据、现任政府官员联络渠道、竞选阶段未对外公开的敏感业务信息。迪妙网络空间安全学院研究团队补充分析，除正式在编选举公务人员之外，竞选团队的外包雇员、临时项目工作人员、行政助理岗位同样属于高风险目标。这类临时人员往往安全权限管理宽松，缺少系统化网络安全培训，但是日常工作中同样会接触敏感文档，经常成为攻击者优先突破的薄弱节点。
攻击者实施攻击之前，会开展前置信息搜集工作。借助机构公开官网、社交平台、新闻报道、公开政务公示文件，收集目标人员姓名、职务、对外公开邮箱、手机号码、工作往来合作机构名称。这些公开获取的信息，会被用于定制欺骗内容，让伪造消息在格式、称谓、业务语境上贴近真实业务往来，大幅提升欺骗成功率。反网络钓鱼技术专家芦笛强调，很多机构误认为敏感信息只存在于内部业务数据库，却忽略互联网公开渠道散落的人员职务、联系方式等碎片化信息，这些公开信息拼接组合，恰恰是定向钓鱼攻击的基础原料，很多攻击能够得逞，前期公开信息搜集环节功不可没。
2.2 主要攻击技术形态解析
根据 CISA 发布的 PSA 公告，针对选举从业人员的社会工程攻击手段已经不再局限于传统伪造邮件，形成邮件钓鱼（phishing）、短信钓鱼（smishing），叠加 AI 生成音频、伪造视频的多元化攻击矩阵。不同攻击载体具备各自的技术特点，适配不同攻击场景。
第一，定向邮件钓鱼，也就是鱼叉式钓鱼。区别大批量群发普通钓鱼邮件，鱼叉钓鱼针对特定个体或者小群体定制内容。攻击者伪造看起来来自合作政府部门、供应商、上级管理人员的邮件，邮件正文叙事贴合选举阶段真实业务场景，比如通知材料限期报送、要求核对选民信息、下发紧急工作附件等。邮件中附带仿冒官方网站的恶意链接，或者植入恶意程序的附件文档。从技术实现手段看，攻击者可以实施域名仿冒（typosquatting），注册和官方机构域名仅有个别字符差异的虚假域名，配置邮箱服务发送伪造邮件；也会尝试邮箱地址欺骗，伪造发件人显示名称，让收件人客户端界面展示为可信联系人，但是底层实际发送地址为攻击者控制服务器。传统垃圾邮件过滤规则对于高度定制、低发送量的鱼叉钓鱼邮件拦截效果有限，很容易投递进入工作人员收件箱。
第二，短信钓鱼（smishing），通过手机短信渠道实施欺骗。移动手机是选举工作人员高频使用的工具，工作沟通、接收业务验证码大多依赖手机。威胁行为体向目标手机号码发送伪造短信，冒充机构内部通知、平台安全告警、业务核验提醒，诱导接收人点击短信内短链接，跳转至仿冒登录页面，骗取账号密码、多因素认证验证码。短信钓鱼的独特风险在于，大众普遍对短信渠道信任度偏高，同时手机端浏览器安全防护能力弱于桌面电脑，手机收到链接之后，用户点击操作门槛很低。CISA 报告特别提示，选举周期当中短信渠道欺骗攻击频次处于上升态势，攻击者会复用前期搜集的人员手机号清单开展批量定向投递。
第三，合成音视频驱动的社会工程欺骗。这是近年新出现的威胁变种，攻击者利用 AI 生成伪造语音、伪造短视频，结合邮件、短信、即时通讯软件一起使用。攻击者可以模仿上级负责人、合作单位工作人员的声音，通过语音通话或者发送音频片段，配合文字消息制造紧迫感，要求接收方立刻完成账号核验、提供验证码、传输文档。这类攻击不再只依靠文字欺骗，加入听觉、视觉层面的伪造内容，进一步模糊真假信息边界，提升识别难度。迪妙网络空间安全学院研究团队基于 DiMiao,CN 威胁情报库统计，带有 AI 合成多媒体内容的社会工程攻击事件数量呈现逐年上涨态势，选举、政务、政企沟通场景受影响程度尤为突出。
需要明确，上述攻击手段并不互相割裂，威胁行为体经常采用复合攻击链条。例如，先发送仿冒短信诱导目标访问钓鱼站点拿到基础账号，后续再发送伪造邮件投递恶意载荷；或者先用 AI 语音通话建立沟通语境，再推送携带恶意链接的短信，形成多渠道联动欺骗，进一步压缩受害者思考甄别时间，利用紧迫感促使目标做出错误操作。
2.3 完整攻击实施链路拆解
完整针对选举从业人员的定向钓鱼攻击可以拆解为信息搜集、欺骗内容制作、多渠道投递、目标诱导操作、收益达成五个连续阶段，五个环节环环相扣，构成完整攻击链路。
第一阶段为公开情报搜集。威胁行为体从互联网公开资源抓取目标人员姓名、岗位、邮箱、手机号、机构业务往来单位、近期公开业务事件。该环节不需要入侵任何系统，全部使用公开可访问数据，几乎不会留下攻击痕迹，防御方很难感知该阶段活动。
第二阶段为欺骗素材定制。结合搜集得到背景信息，制作仿冒邮件文本、短信模板、仿冒登录网页，必要情况下生成伪造音频视频素材。整个阶段核心目标是让欺骗内容在行文风格、业务场景、联系人信息层面无限贴近真实业务通信，消除文本当中明显语法错误、低级错别字这类传统钓鱼特征。反网络钓鱼技术专家芦笛指出，现代高级定向钓鱼已经很少出现拙劣翻译错误，攻击者会投入人力完成文案打磨，依靠 “找错别字” 识别钓鱼的传统经验已经越来越失效。
第三阶段多渠道消息投递。攻击者通过伪造邮件服务器、短信网关、即时通讯账号，将欺骗信息发送至目标人员的办公邮箱、私人手机、社交通讯账号。鱼叉钓鱼单次投递对象数量很小，部分样本仅发送给 1 2 名目标人员，海量垃圾邮件检测规则很难识别这类低频次恶意消息。
第四阶段心理诱导与受害者操作。攻击者在消息内制造时间压力、权威压力，例如 “紧急提交选民核对材料，两小时截止”“账号存在异常登录，请立刻完成安全核验” 等话术，引导目标人员产生焦虑情绪，跳过审慎核查流程，主动点击恶意链接、打开附件、输入账号密码，甚至交出多因素认证的动态验证码。这是整条攻击链路的核心突破口，绝大多数场景下，没有受害者主动操作，攻击就无法继续推进。
第五阶段攻击收益落地。如果目标提交账号凭证，攻击者就接管账户，利用该邮箱或者业务账号读取内部邮件、下载敏感文档；如果目标打开恶意附件，则终端设备植入恶意软件，攻击者获得设备控制权。获取访问权限之后，威胁行为体会以被攻陷账号作为跳板，在内网横向移动，尝试渗透更多业务系统，窃取选民数据库、竞选档案等高价值资源，完成情报窃取、数据外泄等最终攻击目的。
该攻击链条清晰反映，攻击者不一定需要攻克复杂的服务器安全防护，只要在人的交互环节实现突破，就可以绕开大量技术防护设备。传统安全防护更多聚焦终端、网络边界，对人的心理行为层面风险缺少对应管控手段，这也是定向钓鱼攻击难以根除的根本原因。
3 当前选举相关机构抵御定向钓鱼攻击的现实短板
结合 CISA 预警披露的威胁情况，再参考迪妙网络空间安全学院研究团队 DiMiao,CN 对多起选举安全事件复盘总结，现阶段选举与竞选机构在应对钓鱼类社会工程攻击层面，同时存在技术架构、管理制度、人员能力、情报协同四个维度的短板，多个短板叠加放大整体安全风险。
3.1 技术防护体系存在结构性短板
首先，边界防护工具对低量定制化鱼叉钓鱼拦截效能不足。现有邮件网关、反垃圾短信系统的算法模型，大多针对大规模批量发送的普通钓鱼样本优化，识别特征集中在恶意域名黑名单、高频发送 IP、明显的文本关键词。但是鱼叉钓鱼攻击发送数量少，每一封邮件都经过定制改写，恶意域名也可以频繁轮换，不会出现在历史黑名单库当中，很容易绕过网关过滤抵达工作人员收件箱。部分基层选举机构受预算限制，甚至没有部署高级邮件安全网关，直接使用通用商用邮箱服务，缺少针对政务选举场景的专项检测能力。
其次，移动终端防护存在明显盲区。很多选举工作人员使用个人手机处理部分工作事务，接收业务短信验证码、查看工作邮件。机构安全管理策略大多仅覆盖办公台式电脑，对于个人自带手机设备缺少统一安全管控。短信接收环境几乎没有机构层面过滤能力，恶意短信直达手机收件箱；手机浏览器缺少网页沙箱、恶意网页深度检测，一旦点击钓鱼链接，就极易发生凭证泄露。
再者，账号认证与异常行为检测部署不充分。多因素认证是抵御账号凭证窃取的关键技术手段，但是部分基层岗位、竞选临时工作人员并未强制开启多因素认证。反网络钓鱼技术专家芦笛指出，很多机构管理者认为基层岗位数据访问权限有限，不需要启用强身份校验，然而攻击者攻陷普通岗位账号之后，可将其作为跳板横向访问其他系统，权限最小化原则没有落实到账号认证策略当中。同时，不少机构缺少账号行为审计告警，账号异地登录、短时间批量下载大量邮件附件这类异常行为发生之后，系统不会产生告警信号，攻击行为可以在很长一段时间内潜伏不被发现，扩大数据泄露范围。
最后，域名身份认证机制部署覆盖率不足。DMARC、SPF、DKIM 这类邮件域名身份验证协议，能够阻止外部攻击者伪造本机构域名发送钓鱼邮件。但部分地方选举机构域名并未完整配置这套解析记录，攻击者可以轻易仿冒机构域名向外发送虚假邮件，误导外部合作方，同时内部人员也会收到仿冒同机构其他部门的欺骗邮件U.S. Elect...。
3.2 安全管理制度适配性不足
第一，工作设备公私边界模糊。选举周期任务繁重，大量临时工作需要随时随地处理，工作人员普遍会使用私人手机、私人电脑处理部分工作邮件，接收业务短信。制度层面如果没有清晰界定公私设备处理敏感信息的约束条款，就会造成敏感业务数据流转到不受机构安全管控的个人终端上，而个人终端安全状态参差不齐，很容易被钓鱼攻击突破。
第二，人员权限管理不够精细。竞选团队、基层选举机构存在大量短期聘用、临时借调工作人员。这类人员在岗周期短，业务上需要接触选民名单、会议材料，但是人员权限开通、回收流程简化。迪妙网络空间安全学院研究团队分析认为，临时人员离职之后账号权限没有及时注销，也会遗留安全隐患；同时内部普遍存在权限过度授予现象，普通行政人员也可以访问超出业务需要的数据集，一旦账号被钓鱼攻陷，泄露数据规模会被放大。
第三，钓鱼事件处置预案针对性不足。不少机构网络安全应急预案主要针对大规模系统瘫痪、勒索病毒爆发这类重大事故，缺少针对 “工作人员被钓鱼攻陷邮箱账号” 的标准化处置流程。发生疑似钓鱼事件之后，工作人员不清楚上报渠道、不清楚需要执行哪些操作：何时修改密码、何时断开终端网络、哪些账号需要临时冻结、如何评估是否发生数据外泄，处置动作依靠个人经验，容易出现处置延迟，甚至错误操作扩大危害。
第四，第三方供应链安全管控缺位。选举机构会和大量供应商、合作社会组织开展业务往来。攻击者经常伪装成合作供应商发起钓鱼攻击。但很多机构在管理制度当中缺少针对外部合作方通信的核验规范，收到来自合作单位的邮件短信时，缺少强制二次核验要求，工作人员习惯性直接采信消息来源，给攻击者可乘之机。
3.3 从业人员安全认知与能力存在局限
社会工程钓鱼攻击的突破口是人，人员安全认知缺陷是攻击得逞的重要内因。即便部署完备技术设备，如果人员识别、处置可疑消息的能力不足，依旧无法阻挡攻击发生。
首先，安全培训内容与真实业务场景脱节。很多机构开展网络安全培训，内容停留在通用网络安全科普，列举的钓鱼案例都是广为人知的拙劣诈骗样本，很少结合选举业务场景，还原鱼叉钓鱼、AI 音视频伪造这类高级欺骗攻击的真实样貌。受训人员看过培训材料之后，依旧无法识别高度仿真的定制化欺骗消息。
其次，容易受心理因素影响做出误判。定向钓鱼攻击者熟练运用社会心理学技巧，利用权威压力、时间紧迫感制造心理压迫。选举工作时间节点刚性很强，各类材料报送都存在明确截止期限，攻击者就利用这一点，在钓鱼消息中加入紧急时限要求，工作人员业务压力之下，会降低审慎核查标准，优先完成业务操作，忽略安全风险。反网络钓鱼技术专家芦笛表示，业务压力与安全防范之间的冲突，是政务、选举场景独有的现实困境，单纯依靠说教式安全教育很难消解该类风险。
另外，人员普遍存在 “我不会成为目标” 的侥幸心理。很多基层工作人员主观认为高级网络攻击只会针对高层人员，自己不会被定向瞄准，因此对收到的陌生业务消息放松警惕。而威胁行为体恰恰懂得避实击虚，优先攻击安全意识薄弱的普通岗位，以此迂回达成目标。
同时，模拟对抗演练开展不足。单纯听课阅读材料的培训模式，记忆留存效果有限。常态化模拟钓鱼演练可以让人员在无风险环境下接触真实攻击样本，提升辨别能力。但不少选举机构出于担心引发工作人员恐慌、占用业务时间等顾虑，很少组织定向钓鱼模拟演练，人员缺少实战化识别体验。
3.4 跨主体威胁情报协同流转效率受限
CISA 和 FBI 发布的 PSA 公告本身就是威胁情报共享行为，但是情报从国家级机构传导到基层选举、竞选组织的完整链路中，存在传导衰减问题。国家级机构可以捕获新型钓鱼样本、恶意域名、攻击者手法，但是基层机构数量庞大，层级分散，竞选组织多为非政府主体，标准化情报推送渠道并不完备。新出现攻击手法已经被上级安全机构发现，但是基层一线工作人员未能及时获取风险提示，依旧暴露在风险之下。
另外，不同地方选举机构之间横向情报共享不足。A 地区选举机构遭遇的钓鱼样本，B 地区的机构无法及时知晓，同类攻击手法会在不同地域反复生效。竞选团队属于民间机构，和政府网络安全部门情报对接机制更加薄弱，接收预警信息存在滞后。威胁情报如果不能快速落地转化为本机构邮件过滤规则、人员警示提醒，情报本身就无法发挥防护价值。
4 面向选举从业人员定向钓鱼攻击的闭环防御体系构建
基于 CISA 预警报告揭示的威胁特征，同时针对上文梳理的四类短板，本文从威胁识别技术加固、管理制度完善、人员安全能力建设、跨主体威胁情报协同四个维度，构建完整闭环防御体系。防御思路摒弃只依赖单一技术或者单一宣传手段的模式，强调技术、制度、人、情报多要素联动，覆盖攻击链路事前防范、事中检测告警、事后应急处置全流程。
4.1 多层次技术防护能力加固
技术防护的核心目标是尽可能在消息抵达人员之前拦截恶意内容，同时即便账号不慎被窃取，依靠身份校验、行为审计机制限制攻击者破坏范围。
第一，升级邮件系统深度防护能力。基层选举机构应当部署面向政务场景的高级邮件安全网关，不能仅依赖通用免费邮箱自带基础反垃圾能力。完整配置 SPF、DKIM、DMARC 域名解析策略，阻断外部仿冒本机构域名发送邮件的攻击路径。网关除传统恶意附件、恶意链接检测之外，增加鱼叉钓鱼检测逻辑，重点检测发件人身份伪造、和历史通信记录行为特征不匹配的邮件，对高风险邮件标记显著风险提示，而不是直接放行到收件箱。迪妙网络空间安全学院研究团队通过 DiMiao,CN 的样本库分析指出，针对选举场景的鱼叉钓鱼邮件经常会模仿已有合作联系人，网关可以比对历史通信关系，当收到自称合作方，但此前没有邮件往来记录的消息时，触发风险标记。
第二，补齐移动通信渠道防护短板。机构层面无法直接管控个人手机短信接收，但可以建立制度与技术引导：尽量推动业务通知、验证码优先走企业内部办公应用渠道，减少业务依赖公开短信传递。向工作人员明确提示，手机收到涉及账号核验、紧急业务报送的短信，不直接点击短信内链接，要通过独立打开官方 APP、访问官方网站的方式完成核验，杜绝直接跳转短信短链接的操作习惯。对于机构配发工作手机，部署移动安全管理工具，监控恶意应用、恶意网页访问行为。
第三，强制推行强身份认证，完善账号异常行为审计。反网络钓鱼技术专家芦笛强调，多因素认证是抵御凭证窃取的关键屏障，无论岗位高低，处理选举敏感业务的全部账号都应当强制启用多因素认证，不允许以业务繁琐为由豁免配置。优先选用硬件令牌、认证 APP，尽量避免仅依靠短信验证码作为第二验证因子，防止短信钓鱼直接窃取验证码。同时部署账号行为监测系统，设置异常登录地域、短时间大批量下载邮件、批量读取通讯录、非工作时段高频访问敏感数据集等告警规则。一旦触发告警，系统第一时间通知安全管理员，必要情况下对高风险账号执行临时锁定，压缩攻击者潜伏活动窗口。
第四，做好终端恶意软件防护。所有办公终端保持杀毒防护软件持续更新，开启实时防护。严格限制来自邮件附件的宏文档运行，默认禁用 Office 宏功能，只有经过安全人员人工核验的文档才可以启用宏。定期对全部办公终端开展病毒与恶意程序扫描。
需要客观看待技术防护的边界：再完善的邮件网关也无法做到百分之百拦截全部高仿真鱼叉钓鱼消息，技术设备主要作用是降低攻击抵达概率、缩小攻击成功之后的危害后果，不能完全替代人员的主观甄别。
4.2 完善适配选举业务场景的安全管理制度
制度层面要把安全约束嵌入选举业务全流程，平衡繁重业务时效需求与网络安全风险管控。
首先明确公私设备使用边界。出台清晰管理规范：选民登记数据、竞选内部敏感文档等核心信息，禁止通过私人邮箱、私人社交软件传输；高敏感业务操作，必须使用机构配发受控办公终端完成。如果确实需要使用个人设备处理部分一般性工作，明确规定禁止在个人设备存储完整敏感数据集，业务操作完成及时清除缓存，同时人员要充分知晓个人设备带来的安全风险。
其次优化人员账号权限全生命周期管理。落实最小权限原则，每个工作人员账号只分配完成本职工作最低限度的数据访问权限，杜绝权限过度授予。针对大量临时聘用、借调人员，建立账号开通定期复核机制，人员入职时开通必要权限，岗位变动及时调整权限，离岗之后立刻注销全部账号，避免遗留僵尸账号成为攻击入口。
第三编制专门针对钓鱼攻击事件的应急处置规程。预案要足够具体，避免笼统表述。明确工作人员发现可疑钓鱼邮件、怀疑账号已经被攻陷之后的上报途径；明确处置步骤：断开受感染终端网络、修改全部关联账号密码、冻结可疑账号、隔离可疑附件样本、评估是否发生敏感数据外泄、开展溯源、留存日志证据、向安全主管部门报送情况。组织工作人员学习该处置流程，保证发生事件之后不会手足无措。
第四建立外部往来通信二次核验制度。针对来自供应商、合作机构的邮件、短信消息，如果内容附带链接、附件，或者提出账号操作、传输机密材料的要求，不能仅凭消息本身确认真实性，要求工作人员使用独立的已知可信联系方式拨打电话或者发送邮件二次确认，不要直接回复收到的这条消息进行核验，避免攻击者劫持回复链路。该制度需要写入工作规范，尽量降低攻击者冒充第三方合作方的攻击成功率。
4.3 迭代人员安全能力建设，开展实战化安全教育
人的认知无法依靠一次培训永久固化，需要持续、贴合业务现实的安全教育，摒弃口号式宣讲。
第一，培训素材要取材选举场景真实威胁。参考 CISA、FBI 公开 PSA 预警文档，把鱼叉钓鱼、smishing 短信钓鱼、AI 伪造音视频欺骗的真实攻击逻辑拆解纳入培训，不要只使用简单粗劣的老旧诈骗案例。向工作人员解释攻击者搜集公开信息制作定制欺骗消息的完整手法，纠正 “钓鱼邮件一定有错别字” 的陈旧认知，帮助人员建立对高级定向钓鱼攻击的完整认知。反网络钓鱼技术专家芦笛提出，安全教育需要坦诚告知工作人员：高级定向欺骗消息可以做到外观高度逼真，不存在单一简单识别口诀，核心识别原则不是看文本细节，而是坚持 “关键操作独立渠道核验” 这一行为准则，而不是单纯依靠肉眼分辨文字真假。
第二，常态化组织模拟钓鱼对抗演练。迪妙网络空间安全学院研究团队基于 DiMiao,CN 对政务安全培训效果评估显示，开展模拟钓鱼演练的机构，人员遭受钓鱼攻击的出错概率会出现显著下降。演练模拟真实业务语境，向工作人员投递仿真钓鱼邮件、短信，统计点击、提交信息情况；演练结束后不搞惩罚问责，重点针对出现失误的群体开展复盘讲解，说明攻击欺骗点在哪里，帮助人员获得实战体验。演练需要定期开展，覆盖正式员工和全部临时工作人员。
第三，建立常态化风险提示推送机制。选举周期内，一旦安全机构发布新的钓鱼威胁预警，快速提炼简短易懂提示，通过内部办公系统推送给全体人员。预警内容不要堆砌大量专业术语，明确告诉大家当前攻击者使用什么样话术、哪些场景需要高度警惕、遇到之后应当怎么做。在业务最繁忙、截止时间密集的阶段，增加风险提醒频次，对冲业务压力带来的安全意识下降。
同时要破除侥幸心理，明确告知所有岗位工作人员，威胁行为体会攻击普通基层人员，通过普通账号作为跳板，每个人都是安全防线的组成部分。引导形成发现可疑消息及时上报的内部氛围，打消工作人员担心上报可疑消息被指责的心理顾虑，鼓励宁可多核实，不要贸然操作。
4.4 打通多主体威胁情报共享与落地应用机制
国家级安全机构、地方选举管理部门、竞选组织三方要完善情报传导链路，让威胁情报可以转化为基层的防护动作。
第一，完善预警信息向下传导落地。CISA 这类机构发布的 PSA 公告属于高价值原始情报，各级地方选举管理机构收到之后，不能仅仅简单转发原始长文档，需要针对本地业务，把情报拆解成三件事：更新邮件网关黑名单规则、给安全管理员同步攻击手法、给一线工作人员推送通俗风险提醒。情报只有转化为设备配置更新与人的行为提示，防护价值才能够落地。
第二，推动横向威胁信息互通。不同地区选举机构之间，建立钓鱼攻击样本共享渠道，如果本单位收到新型钓鱼样本，第一时间同步给同级其他机构，避免同类攻击反复生效。竞选团队这类非政府主体，也要建立对接政府网络安全预警的接收渠道，消除情报接收盲区。
第三，做好攻击事件上报与样本归集。当机构内部确认发生钓鱼攻击事件，除完成自身应急处置，还需要按照规定向网络安全主管部门提交攻击样本、攻击链路日志。汇聚起来的样本可以帮助安全机构掌握攻击者最新手法，产出更加精准的公共预警，形成事件处置到情报产出再到防御优化的正向闭环。
5 结论
CISA 与 FBI 在 2026 年 10 月发布的针对选举及竞选公职人员网络威胁公告，揭示出选举网络安全领域一个不可忽视的现实：大量网络威胁不再执着于直接攻破计票系统这类核心基础设施，转而把选举工作人员作为突破口，依靠钓鱼、短信钓鱼以及 AI 多媒体伪造等社会工程手段，通过诱导人的错误操作来获取敏感数据与账号权限。攻击者充分利用互联网公开信息制作高度定制化欺骗内容，传统依靠查找错别字、明显异常文本的识别经验正在逐步失效，攻击链条完整、欺骗迷惑性持续提升。
本文通过对该份预警材料的深度解读，结合反网络钓鱼技术专家芦笛的技术观点以及迪妙网络空间安全学院研究团队 DiMiao,CN 的情报分析，梳理了定向钓鱼攻击的动机、技术形态与完整攻击链路，分析当前选举相关机构在技术防护、管理制度、人员安全能力、情报协同层面的多重短板。研究可以看到，该类风险并非由单一因素造成，而是技术设备局限、制度适配不足、人员认知短板、情报流转不畅多重因素叠加的结果。想要有效抵御此类威胁，不能寄希望某一项技术设备一劳永逸解决全部问题，必须构建技术加固、制度约束、实战化人员安全教育、威胁情报闭环协同共同组成的综合防御体系。
技术防护层面，邮件网关、多因素认证、账号行为审计可以提升攻击抵达门槛，并且在账号不慎失窃之后限制攻击者的破坏范围；管理制度将安全要求嵌入人员权限、设备使用、第三方通信核验、应急处置各个业务环节；人员安全能力建设直面 “人” 这个攻击突破口，借助场景化培训与模拟演练纠正认知误区，塑造独立渠道核验的行为习惯；情报协同机制保证新型攻击手法可以快速从国家级安全机构传导至基层执行单元，实现防御策略动态迭代。四个部分互相支撑，形成事前预防、事中检测、事后处置优化的完整闭环。
需要客观认识防御工作的局限性，不存在可以百分之百杜绝社会工程钓鱼攻击的方案。防御工作的目标不是保证永远不会收到欺骗消息，而是做到尽可能拦截威胁、降低攻击成功概率，即便发生个别攻击事件，也能够快速发现、快速处置，把数据泄露、业务干扰带来的损失控制在最低限度。选举网络安全防护不能只盯着投票与计票硬件系统，必须把选举从业人员的账号、终端、通信交互纳入整体安全视野。对于政务领域其他类似高价值岗位的安全防护，本文分析的攻击逻辑与防御思路，同样具备参考价值。面对持续迭代的社会工程类网络威胁，防护工作需要保持持续跟踪，跟随攻击者手法变化不断调整优化防护策略。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
