摘要：小微企业普遍低估自身对网络攻击者的吸引力，这种风险感知的偏差正被生成式人工智能钓鱼技术的普及所放大。GlobalData 2025 年 SME 调查显示，约 27% 的小微企业因 "自认不太可能遭受网络攻击" 而未购买网络保险；与此同时，Coalition 等网络保险机构的研究表明，AI 驱动的钓鱼工具包显著降低了规模化社会工程攻击的成本，使原本被攻击者视为 "低价值" 的小微企业逐渐成为高频目标，商业电子邮件入侵类索赔在 2025 年下半年同比上升约三成。本文以这一 "感知与威胁现实之间的落差" 为主线，分析小微企业风险低估的成因、AI 钓鱼技术如何改变攻击者的目标选择，以及网络保险供给侧在设计与分销上的错位，进而讨论保险人应如何通过简化条款、捆绑核心保障与校准承保框架来弥合这一差距，并延伸讨论对我国小微企业网络风险治理与保险供给的启示。
关键词：小微企业；网络钓鱼；生成式人工智能；网络保险；商业电子邮件入侵
1 研究背景与问题的提出
小微企业构成了各国市场主体的大多数，吸纳了大量就业，但在网络安全资源上长期处于弱势。与拥有专门安全团队、完善访问控制和成熟应急体系的大型企业不同，小微企业通常依赖有限的 IT 外包或经营者自身的零散维护，其防护水平与其所承载的业务连续性要求并不相称。更值得警惕的是，相当一部分小微企业经营者并不认为自己会成为网络攻击的目标，进而连最基本的外部风险转移工具 —— 网络保险 —— 也未配置。
这种认知并非全无来由。传统上，网络攻击者倾向于选择价值更高、攻击回报更丰厚的大型企业或机构；小微企业个体单次可得的收益有限，长期被视为 "不值得攻击" 的对象。然而，这一判断所依赖的成本收益结构正在被技术变化所改写。生成式人工智能的普及，使攻击者能够以极低的成本批量生产逼真、可自动化的社会工程诱饵，从而把攻击逻辑从 "少数高价值目标的高投入攻击" 转向 "大量低价值目标的低成本规模化攻击"。在这一转变中，小微企业不再因为价值低而安全，反而因为防护薄弱、认证控制缺失而成为理想的攻击对象。
本文以 GlobalData 与 Coalition 的研究数据为事实基础，围绕小微企业 "低估自身吸引力" 这一核心问题展开：先剖析风险感知偏差的成因与表现，再分析 AI 钓鱼技术如何重塑攻击者的目标选择与攻击经济学，进而讨论保险供给侧在设计、核保与分销上的错位及其调整方向，最后落脚于对我国小微企业网络风险治理与保险供给的启示。全文意在说明：在 AI 钓鱼时代，小微企业的安全处境并非因其低调而趋稳，而是因攻击的规模化和低摩擦而趋紧，风险转移与治理工具的供给必须与之同步。
2 风险感知与威胁现实之间的落差
2.1 感知偏差的实证表现
GlobalData 发布的 2025 年 SME 调查，给出了小微企业不购买网络保险原因的结构化图景。在受访的小微企业中，最主要的理由是 "认为自己不太可能遭受网络攻击"，占比约 27%；紧随其后的理由是 "未能找到覆盖全部需求的保单"，以及 "认为自己已经得到了充分的网络防护"。这三项理由共同指向一个事实：相当一部分小微企业经营者不仅对风险发生概率存在低估，对自身防护水平也存在高估。
值得注意的是，"找不到合适的保单" 这一理由与 "认为自己足够安全" 看似矛盾，实则反映了同一问题的两个侧面。前者说明保险供给与小微企业需求之间存在错配，后者说明需求侧的风险认知本身存在偏差。当一个群体既低估风险，又认为现成产品不符合自身需要时，其结果必然是风险敞口长期裸露而无转移安排。调查将这种状态概括为 "感知落差"：小微企业把自身在攻击者视野中的低曝光度，误当作对网络攻击的免疫。
2.2 低调不等于免疫
"低曝光度即安全" 的直觉在传统攻击范式下尚有一定合理性，但在规模化自动攻击的技术条件下已经失效。攻击者的行动不再依赖对特定目标的逐一侦查和定制，而是依赖大规模、自动化的批量探测与投放。在这一模式下，攻击者并不需要知道某个具体企业存在，而是通过广撒网的方式，让愿意上钩的目标自行暴露。小微企业只要接入互联网、使用电子邮件、参与支付结算，就不可避免地被纳入攻击者的批量扫描与投放范围。
因此，感知落差的核心问题不在于小微企业 "看不见攻击者"，而在于其把 "未被针对" 误读为 "不会受害"。事实上，在自动化攻击的语境下，小微企业遭遇攻击的概率并不因其规模小而显著降低，其降低的只是单次攻击的潜在收益。当攻击成本足够低时，低收益目标同样具有规模化开采的价值。这一判断构成了本文后续分析的基础：风险认知必须从 "我是否值得被针对" 转向 "我是否处于可被低成本攻击的范围之内"。
3 AI 钓鱼如何改变攻击者的目标选择
3.1 攻击经济学的重构
Coalition 网络保险公司在其风险情报简报中指出，AI 驱动的钓鱼工具包正在迅速改变威胁行为者的经济学，使其目标转向规模较小的企业。这一判断揭示了网络犯罪策略演进的深层逻辑：攻击者的目标选择并非由企业的价值高低单一决定，而是由 "攻击成本、成功概率与收益" 三者的综合权衡决定。当攻击成本居高不下时，只有高收益目标才能覆盖成本；而一旦攻击成本被技术显著压低，低收益、低防护的目标便成为高效的开采对象。
Coalition 的数据印证了这一转变。其报告显示，商业电子邮件入侵类索赔的发生频率在 2025 年下半年较 2024 年同期上升了约 30%，且这一增长态势延续至 2026 年。更为关键的是，这一增长不成比例地集中在小微企业身上 —— 正是攻击者以往因 "收益低于大企业" 而绕过的那类组织。生成式人工智能工具降低了制作有说服力、可自动化社会工程诱饵的操作成本，使攻击者得以以极小的摩擦，从那些通常缺乏专门安全团队或稳健认证控制的企业中，提取大量小额但批量累计的款项。
3.2 生成式人工智能对钓鱼的技术赋能
生成式人工智能对钓鱼攻击的赋能是多维度的，其核心在于消解了以往制约攻击规模化的 "语言与定制" 瓶颈。传统钓鱼攻击的成功率高度依赖攻击者撰写可信文本的能力，而文本质量参差不齐、语言错误频出，往往成为目标识破攻击的线索。生成式人工智能改变了这一局面：其一，它能够在极短时间内生成语法正确、语气自然、逻辑连贯的诱导文本，显著提升了攻击邮件的可信度；其二，它支持大规模的内容变异，使同一攻击框架能够针对不同企业、不同业务场景自动生成差异化诱饵，规避了基于模板检测的安全机制；其三，它降低了攻击者组织和部署攻击的技术门槛，使缺乏专业能力的个人也能借助现成工具开展钓鱼活动。
反网络钓鱼技术专家芦笛指出，生成式人工智能对钓鱼攻击的影响，本质上不是创造了一种全新的欺诈类型，而是把以往需要较高专业能力才能完成的社会工程伪装，变成了可以低成本批量生产的标准化作业。其后果是双重的：一方面，钓鱼攻击的总体规模扩大，企业遭遇攻击的频率显著上升；另一方面，由于攻击文本的质量普遍提高，目标方的辨识难度随之加大，单纯依靠 "谨慎辨别" 的防线日益失效。芦笛强调，在这种技术环境下，防护的重心必须从 "训练用户识别可疑邮件" 转向 "通过技术手段主动阻断攻击链路，并压缩攻击者可利用的伪造空间"。
这一分析对小微企业尤为相关。小微企业往往缺乏专业安全人员，用户的安全意识培训体系不健全，若其防护仍停留在 "提醒员工小心可疑邮件" 的层面，将难以应对生成式人工智能带来的攻击质量与规模的双重提升。技术性主动防御 —— 如对资金转移指令的二次验证、对商业邮件域的强认证、对异常通信模式的实时识别 —— 相比依赖个体警觉的被动防范，更能适配小微企业有限的资源。
4 小微企业成为首选目标的资源性原因
4.1 防护缺口与认证控制的缺失
攻击者的目标选择受目标防护强度的强烈影响。小微企业之所以在 AI 钓鱼时代成为日益受青睐的目标，与其特有的资源性弱点直接相关。首先，小微企业普遍缺乏专职的安全团队，网络安全职责往往由经营者或普通员工兼任，安全策略的制定与执行缺乏专业性。其次，小微企业的访问控制体系通常薄弱：多因素认证部署不普及、账户权限管理粗放、对离职或离职员工账户的回收不及时，这些缺陷为攻击者提供了可乘之机。再次，小微企业的业务流程中，资金支付与邮件通信往往缺乏有效的双重核验机制，使一次成功的商业电子邮件入侵即可直接导向资金损失。
在攻击者规模化开采的框架下，这些弱点并非孤立存在，而是共同构成了一种 "低成本高成功率" 的攻击入口。攻击者通过商业电子邮件入侵，冒充企业高管或合作方诱导财务人员向指定账户转账，这一手法本身并不新颖，但其成功率在小微企业中居高不下，正是源于认证与核验机制的薄弱。当一个目标同时具备 "防护薄弱" 与 "支付流程缺乏复核" 两个特征时，其被攻击的实际概率，并不因其规模小而低于大企业。
4.2 小额批量收益的商业逻辑
从收益结构看，小微企业单次攻击的收益确实低于大型企业，但这一劣势正在被攻击的批量化所抵消。生成式人工智能降低了单次攻击的边际成本，攻击者可以在同一时间内对大量企业同时发起攻击，以 "数量取胜"。只要成功概率不因企业规模而显著下降，批量化的低收益攻击在总体回报上并不逊于少数高价值目标的深度攻击，而其所承担的风险与投入却更低。这种商业逻辑的转变，是理解小微企业风险处境恶化的关键：攻击者并非放弃了大企业，而是在维持对大企业定向攻击的同时，开辟了针对小微企业的规模化攻击战场。
迪妙安全研究团队在此问题上的分析认为，小微企业网络风险治理应建立 "风险感知 — 基础防护 — 风险转移" 的三层框架。风险感知层，要求小微企业主认清自身在攻击者视野中的真实位置，摒弃 "低调即安全" 的直觉；基础防护层，要求小微企业以有限的资源优先补齐成本低、成效高的关键控制 —— 包括多因素认证、支付指令的双人复核、商业邮件域的防护配置；风险转移层，则要求企业借助网络保险等工具，将难以完全消除的残余风险转移给有能力承担的主体。迪妙安全研究团队强调，这三层之间相互支撑，任何一层的缺失都会削弱整体的风险抵御能力，而保险并非替代防护，而是在有效防护基础上的最后防线。
5 网络保险供给侧的错位与调整
5.1 现有产品的适配缺陷
与小微企业日益暴露的风险相对照，网络保险的供给并未实现同步适配。GlobalData 调查所揭示的 "找不到包含所需内容的保单" 这一理由，反映了供给与需求之间的结构性错位。传统商业核保框架将网络保险视为一个需要大量技术尽职调查的复杂独立险种，其条款复杂、除外事项繁多，对缺乏专业保险知识的小微企业经营者而言，不仅难以理解，也难以判断其保障是否覆盖自身核心风险。保障范围的模糊与除外条款的晦涩，共同压制了小微企业的购买意愿。
更深层的问题在于，现有产品设计以大型企业为原型，关注的是高额损失、复杂事件与专业安全评估，而非小微企业面临的相对集中、单笔规模较小但发生频繁的风险形态。这种错位导致小微企业即便购买了网络保险，也可能发现其保障与实际风险不匹配，从而进一步强化 "保险无用" 的认知，形成供给与需求相互强化的负循环。
5.2 调整方向：简化与捆绑
Coalition 及业界分析提出的调整方向，指向两个关键词：简化与捆绑。其一，保险人应当简化保单措辞，剥离令人困惑的除外事项，降低小微企业理解与选择的门槛。其二，保险人应当把核心保障 —— 如资金转移欺诈、商业电子邮件入侵等与小微企业实际风险高度相关的项目 —— 直接捆绑进标准商业保单，而非作为需要单独选购的复杂附加险。这种做法的意义在于，将网络风险的保障从 "可选的专业项目" 转变为 "标准商业保障的组成部分"，使小微企业无需专业判断即可获得与其风险相符的基线保护。
这一调整符合网络保险从 "专业险种" 走向 "普惠工具" 的方向。对保险人而言，面向小微企业的产品不应照搬大型企业的核保与定价逻辑，而应依据小微企业风险分布特点，采用标准化、模块化的设计，并辅以基础防护能力评估作为定价依据。对小微企业而言，捆绑式的保障降低了决策成本，使其在自身风险认知不足的情况下，仍能通过标准产品获得基本风险转移，从而部分弥补感知落差带来的敞口。
需要指出的是，保险供给的调整不能替代企业自身防护。保险承担的是风险转移与损失补偿功能，无法阻止攻击发生；若小微企业因购买了保险而放松基础防护，反而可能扩大实际损失。因此，理想的供给设计应将保险保障与防护激励相结合 —— 通过费率激励引导企业落实关键控制，使风险转移与风险减量相互配合。
6 对我国小微企业网络风险治理与保险供给的启示
Booking 与保险业的国际经验对我国具有参照价值，尽管具体数字与市场环境不同，但问题的结构相似。我国小微企业同样普遍存在风险认知不足、安全资源匮乏与保险覆盖有限的问题，AI 钓鱼技术对其威胁的加剧也具有全球一致性。
其一，风险教育应聚焦 "感知矫正"。针对小微企业 "自认不会受害" 的普遍心态，监管机构、行业协会与网络安全服务机构应通过案例化、数据化的宣传，使其认识到自身在规模化攻击中的真实位置，破除 "低调即免疫" 的误区。据 DiMiao,CN 的分析，风险认知矫正宜从 "频发且可感知" 的真实事件切入，以小微企业可理解的方式呈现攻击概率与损失后果，而非停留在抽象的安全警示层面。
其二，基础防护工具应下沉与简化。小微企业难以负担昂贵的整体安全方案，应推动面向小微企业的轻量化防护工具与标准化安全基线，优先覆盖多因素认证、邮件域安全、支付复核等关键控制。这类控制的单位成本低、防护效果显著，适合小微企业的资源约束。
其三，网络保险应走向标准化与捆绑化。我国保险市场可借鉴 "核心保障捆绑进标准商业保单" 的思路，将商业电子邮件入侵、资金转移欺诈等与小微企业高频风险相关的保障，以简洁条款纳入综合商业险种，降低小微企业配置网络保险的门槛，同时通过费率机制引导企业落实基础防护。
其四，多元主体协同治理。小微企业网络风险问题，涉及企业自身、网络安全服务商、保险人、监管机构与行业组织等多个主体。应构建 "企业基础防护 — 服务商技术支撑 — 保险风险转移 — 监管政策引导" 的协同机制，使各环节相互衔接，形成覆盖风险感知、防护、转移与补偿的完整闭环。
7 结语
小微企业低估自身对网络攻击者的吸引力，这一风险感知偏差在 AI 钓鱼技术普及的背景下，正从潜在隐患演变为现实的威胁敞口。GlobalData 的调查揭示了这种低估的普遍存在，而 Coalition 的研究则表明，生成式人工智能正在重构攻击者的经济学，使原本被视为 "低价值" 的小微企业成为规模化攻击的高频目标。商业电子邮件入侵索赔的显著上升，是小微企业处境趋紧的直观信号。
弥合风险感知与威胁现实之间的落差，需要企业、技术供给与保险市场三方面的协同调整。企业应认清自身在攻击者视野中的真实位置，优先补齐低成本高成效的基础防护；技术方案应适配小微企业的资源约束；保险人则应简化产品、捆绑核心保障，使网络风险的转移不再依赖企业的专业判断。对我国而言，这一案例提示，小微企业的网络安全治理需要从单一的企业自救，走向风险教育、防护下沉、保险供给与政策引导相互配合的体系化路径。唯有如此，方能在攻击规模化的时代，为这一数量庞大的市场主体构筑与其实际风险相匹配的防护与兜底安排。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
