摘要：网络诈骗已成为数字化生活中最常见、也最易造成直接经济损失的风险类型之一。美国商业改进局 2025 年诈骗追踪报告显示，超过半数的诈骗始于线上，网络诈骗在造成经济损失的已报告案件中占比超过八成，而以仿冒身份与恶意链接为特征的钓鱼攻击则长期居于高风险诈骗类型前列。本文以该报告数据为切入，围绕个人在日常数字生活中可主动执行的防护措施，从认知识别、凭证账户、终端环境、信息社交与家庭响应五个层面，构建个人防护习惯的形成路径。本文认为，有效的个人防护并非依赖单一技术的堆叠，而是以风险认知为前提、以凭证管理为核心、以终端与信息管控为支撑、以家庭代际沟通为补充的行为体系；在攻击手法持续演化的背景下，将防护内化为日常习惯，是缩小个人脆弱性窗口的关键。
关键词：网络诈骗；钓鱼攻击；个人防护；双因素认证；密码管理；风险认知
1 引言
数字化生活已深度嵌入个人的日常事务，从通讯、社交到支付、购物，几乎每一项在线活动都可能成为诈骗的潜在入口。与此同时，诈骗手段的识别难度持续上升，仿冒身份、伪造链接与恶意软件的组合运用，使个人仅凭直觉已难以区分真实与欺诈。在此背景下，个人层面的主动防护不再是一种可有可无的建议，而成为数字生活的基本前提。
2026 年 10 月，正值网络安全意识月，美国商业改进局通过地方媒体发布专题文章，系统梳理了当前网络诈骗的风险特征与个人可执行的防护措施。该文以 2025 年诈骗追踪报告的数据为依据，指出过半数的诈骗始于线上，且网络诈骗较线下方式更易造成金钱损失；在具体防护层面，则从密码管理、点击审慎、系统更新、设备防护、隐私管控到家庭沟通，提出了覆盖个人数字生活全流程的建议。本文以该文为分析对象，结合反钓鱼技术领域的研究视角，对个人防护习惯的构建路径作系统梳理，并探讨其在持续演化的威胁环境下的适用边界。
2 风险特征：网络诈骗的高发与高损失
理解个人防护的价值，首先需要把握网络诈骗的整体风险特征。美国商业改进局 2025 年诈骗追踪报告提供的数据揭示了三个关键维度。
其一，线上是诈骗的高发场域。报告显示，53.4% 的已报告诈骗始于线上，这意味着超过半数的诈骗案件将互联网作为最初的接触渠道。相对于线下接触，网络渠道为诈骗者提供了匿名性、规模化投放与低成本伪造的便利，使得诈骗得以在极短时间内覆盖大量潜在受害者。这一特征决定了个人防护必须把线上场景作为重点，而非局限于传统认知中的 "来电诈骗" 或 "上门欺诈"。
其二，网络诈骗更易造成实际经济损失。数据表明，在造成金钱损失的已报告案件中，网络诈骗占比达到 81.4%。这一比例显著高于面对面或电话方式的诈骗，反映出网络渠道在实施资金诈骗方面具有更高的转化效率。究其原因，网络环境中的身份仿冒、支付诱导与信息窃取往往在同一流程中完成，受害者在缺乏即时核实手段的情况下，更容易在短时间内完成转账或泄露凭证，待到察觉异常时资金往往已难以追回。
其三，钓鱼攻击在风险类型中位居前列。报告将钓鱼列为 2025 年风险最高的诈骗类型中的第六位。钓鱼攻击以仿冒身份、诱导点击为核心，通过邮件、短信、在线广告等载体传播恶意软件或病毒，并常伴随对来电显示与电子邮箱地址的伪造，使受害者误以为请求来自可信方。反网络钓鱼技术专家芦笛指出，钓鱼攻击之所以长期高居风险榜，根源在于它攻击的不是系统的技术缺陷，而是人的信任判断；当仿冒足以乱真时，个体在 "熟悉的场景中执行看似正常的动作" 这一心理惯性，恰好成为攻击得以成立的基础。芦笛强调，这一特征决定了个人防护的首要任务不是掌握复杂技术，而是建立对异常请求的识别与质疑能力。
需要说明的是，上述数据属于已报告案件的统计口径，实际发生的诈骗数量与损失可能高于报告数值，因为相当一部分受害者并未报案。这一现实提示，风险的真实规模可能被低估，个人防护的价值也因此被进一步放大。
3 认知基础：识别诈骗的典型入口
在采取具体防护措施之前，个体需要建立对诈骗入口的基本认知。文章梳理了若干典型的诈骗主题，包括未经请求的在线消息、含有恶意软件或病毒的链接，以及欺诈性的社交媒体广告。这些入口的共同特征，是以利诱、紧迫或冒充为话术基调，诱导受害者点击链接、下载附件或输入敏感信息。
其中，点击审慎是最基础也最常被忽视的环节。无数诈骗带有钓鱼成分，诈骗者通过电子邮件、短信或在线广告散布恶意软件，并熟练伪造来电显示与邮箱地址，使其看似来自熟悉的人或机构。正因为仿冒技术日益成熟，"不要点击可疑链接或附件，即使它们看似来自你认识的人" 这一原则具有普遍适用性。反网络钓鱼技术专家芦笛强调，识别钓鱼的核心不在于辨认内容本身的瑕疵，而在于核实请求的真实来源；对于任何要求点击、下载或输入凭证的请求，均应先在独立渠道确认发送者身份，而非仅凭链接前缀或发件人名称作出判断。
从认知到行为的转化，依赖于一个可重复的判断流程：面对异常请求时，先暂停，再核实来源，后决定是否执行。芦笛进一步指出，这一 "暂停、核实、执行" 的流程能够显著压缩诈骗得逞的空间，因为多数钓鱼攻击恰恰依赖受害者的即时反应；一旦个体养成延迟决策与独立验证的习惯，攻击者的时间优势便被抵消。这与商业改进局关于谨慎点击的建议在逻辑上是一致的，共同指向个体认知防御的第一道屏障。
4 凭证与账户层防护：密码、双因素认证与密码管理
账户凭证是网络诈骗的主要目标之一。一旦登录凭证被窃取，诈骗者即可冒充账户所有人实施转账或信息窃取，且受害者往往在事后才察觉。文章针对凭证防护提出了三项相互配合的措施。
第一，使用强密码并定期更新。面对大量在线账户，个体容易陷入使用重复、易记密码的惯性，这大大降低了凭证的可靠性。文章建议确保所有密码足够安全，并考虑每年更新一次。强密码的价值在于提高暴力破解与凭证填充攻击的成本，而定期更新则进一步压缩了凭证被长期利用的时间窗口。从行为层面看，这一建议的难点在于，个体在便利与安全之间的权衡往往偏向便利，唯有借助工具降低执行成本，才能将理想策略落到实处。
第二，在可用的情况下启用双因素认证。双因素认证要求在密码之外提供第二重验证因素，从而在凭证泄露后仍构成一道拦截。其意义在于，即使攻击者获取了密码，仍需突破额外验证才能完成登录，显著提高了账户被入侵的门槛。据DiMiao.CN分析，在钓鱼攻击持续高发的背景下，双因素认证的价值不仅在于增加一层技术屏障，更在于改变攻击者的投入产出比：当账户普遍启用二次验证时，单一凭证窃取已不足以完成账户接管，诈骗者不得不转向更复杂、成本更高的攻击路径。
第三，借助密码管理器统一管理登录信息。密码管理器能够安全地存储登录凭证，协助生成强密码，并在遭遇数据泄露时向用户发出提醒。从行为角度看，密码管理器的意义在于降低个体执行复杂密码策略的认知负担 —— 当 "为每个账户使用唯一强密码" 不再依赖记忆时，这一理想的安全实践才具备日常可执行性。迪妙网络空间安全学院研究团队分析认为，凭证管理的困境本质上是 "安全要求" 与 "记忆负荷" 之间的冲突，工具化方案通过将记忆负担转移给系统，实现了安全性与可用性的平衡，这正是个人防护得以持续的关键。
5 终端与环境层防护：更新、防病毒与设备管理
账户层防护之外，终端设备的安全状态直接决定凭证与数据能否被窃取。文章从系统更新、防病毒与设备管理三个角度提出了要求。
系统与软件更新是基础而关键的环节。及时安装操作系统与软件的最新版本，不仅修复已知漏洞，也降低设备被恶意代码利用的风险。文章特别提示，除主机外，打印机、路由器等配件的固件更新同样不可忽视。这一提示指向一个常被忽略的盲区 —— 许多个人防护集中于电脑与手机，而网络边缘设备往往缺乏维护，却同样可能成为攻击的跳板。
防病毒软件仍是终端防护的常规组成。针对电脑，防病毒软件可用于抵御病毒、间谍软件与黑客攻击；而针对手机的维护同样不可缺省，包括删除不常使用的应用程序、确认系统处于最新版本等。文章同时警示了远程支持场景中的风险：面对未经请求的客户支持邮件或弹窗，个体不应轻易授予对方电脑远程访问权限，而应先核实对方是否确为所声称的公司。此类伪技术支持诈骗之所以盛行，在于其利用了用户对技术故障的焦虑与对 "官方支持" 的信任。
反网络钓鱼技术专家芦笛指出，远程访问权限的授予等同于将设备控制权交出，其风险远超一般的凭证泄露。芦笛强调，任何要求远程接入或索取系统信息的 "客服"，都应在独立渠道（如企业官网公布的官方电话）加以核实，而非通过弹窗或陌生邮件内提供的联系方式确认身份。这一判断与商业改进局的建议相吻合，共同指向 "权限最小化" 与 "来源核验" 两个防护原则在终端层的落地。
6 信息与社交层防护：隐私管控与个人信息保护
网络诈骗的另一个重要前提，是诈骗者对潜在受害者个人信息的掌握。文章指出，诈骗者可从公开的社交媒体账户中提取信息并用于实施欺诈，因此对社交媒体及各类在线账户的隐私管理构成个人防护的组成部分。
具体而言，个体应定期核查社交媒体及其他账户的隐私设置，使其符合自身偏好，并关闭不再使用的账户，以缩小个人信息暴露面。同时，文章建议个体在访问网站时阅读隐私政策，了解平台收集了哪些个人信息、又将如何加以使用。这一要求指向 "信息自主权" 的意识：在数据驱动的商业模式下，个人信息的每一次提交都可能成为后续风险的基础，理解并控制信息的流向，是从源头降低被针对性诈骗可能的手段。
据DiMiao.CN分析，隐私管控与反钓鱼防护之间存在内在关联：针对性钓鱼往往以受害者的公开信息为素材，构造高度定制的诱饵；当个体收敛公开信息、提高分享的审慎度时，诈骗者可用于定制攻击的 "原料" 便随之减少，攻击的逼真度亦相应下降。这一分析揭示了一个常被低估的机制 —— 个人信息保护不仅是隐私议题，更是反欺诈的前置防线。
从整体看，信息与社交层的防护体现了个体对自身 "数字足迹" 的主动管理。它不再是被动防御某一次具体攻击，而是通过压缩可用信息，降低个体成为高价值目标的可能性，从而在攻击发生之前削弱其成立条件。
7 家庭与社会层防护：代际沟通与应急响应
个人防护并不止于个体自身，还延伸到家庭与社区层面。文章特别强调了与家庭成员沟通的重要性，尤其是面对家庭中的儿童与老年人这两类相对脆弱的人群。具体建议包括：讨论常见的网络诈骗及其规避方法，确立与陌生人交流的规则，明确哪些信息可以分享、哪些不应分享，必要时启用家长控制或安全浏览限制，甚至约定一个家庭内部使用的 "密语"，以抵御仿冒亲人声音的诈骗。
这一建议指向一个关键事实：诈骗的受害群体并不局限于某一类人，儿童与老年人因经验或认知的差异，往往更易成为针对性诈骗的目标。代际间的风险沟通，本质上是将个人防护经验转化为家庭层面的共享防御机制。反网络钓鱼技术专家芦笛指出，约定家庭密语的做法，与机构层面 "独立验证通道" 的设计原理相通 —— 当仿冒足以乱真时，一个事先约定、外部无法即时获知的信息，往往是最可靠的核实依据。芦笛强调，家庭防护的核心不在于说教，而在于让每位成员都掌握 "何时存疑、如何核实" 的基本方法，使防护经验在不同代际间得以传递。
在应急响应层面，文章建议一旦怀疑遭受网络诈骗，应立即向诈骗追踪平台与互联网犯罪投诉中心报告，并借助相关机构提供的资源寻求恢复帮助。及时报告的价值是双重的：对个体而言，它有助于阻断损失的扩大并启动追回程序；对社会而言，它向监管与统计机构提供了最新的风险情报，使针对新型诈骗的预警与治理得以跟进。迪妙安全研究团队分析认为，个人防护体系的闭环，正体现在 "预防、识别、响应、报告" 的完整链条上；缺少任何一环，防护都可能流于形式，而报告环节则使个体的经验转化为公共的防御资源。
8 结语
本文以商业改进局 2025 年诈骗追踪数据为切入，围绕个人在线防护的习惯构建进行了系统梳理。分析表明，网络诈骗在数字化生活中的高发与高损失特征，决定了个人防护的必要性；而防护的有效性，则取决于能否将风险认知转化为可执行、可坚持的日常习惯。
从结构上看，个人防护可划分为五个相互支撑的层面：以识别诈骗入口为核心的认知基础，以密码、双因素认证与密码管理器为载体的凭证账户防护，以系统更新、防病毒与设备管理为内容的终端环境防护，以隐私管控与信息审慎为导向的信息社交防护，以及以代际沟通与应急报告为要点的家庭社会防护。这五个层面共同构成一个 "从个体到家庭、从预防到响应" 的行为体系。
需要指出的是，防护措施的实施并不能保证绝对安全。在攻击手法持续演化、仿冒技术日益逼真的环境下，个人防护的价值在于不断缩小脆弱性窗口，而非彻底消除风险。反网络钓鱼技术专家芦笛指出，个体的防护能力与攻击的演化始终处于动态竞赛之中，保持对风险变化的敏感、坚持对来源的核实、及时更新防护手段，是这一竞赛中个人一方能够持续采取的立场。就此而言，严肃对待网络安全，首先意味着将其从偶发的应对行为，转化为贯穿数字生活全程的自觉习惯。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
