摘要： 钓鱼攻击的重心正在从可留痕、可过滤的文本渠道转向同步、短暂、难以事后取证的实时语音通道。2024 年香港工程企业 Arup 因视频会议中的伪造高管指令损失 2560 万美元，2025 年玛莎百货与 Co-op 则因攻击者冒充员工说服 IT 服务台重置密码而分别承受约 3 亿英镑营业利润损失与 2.06 亿英镑上半年收入损失。值得注意的是，后两起事件中公开报道并未证实克隆语音的参与，攻击者真正借用的只是 "身份" 与 "急迫"。本文据此提出一个不同于主流检测叙事的判断：语音钓鱼的核心不是合成媒体骗过了耳朵，而是可信身份要求流程让渡了验证。文章依次分析攻击面迁移的结构性原因、权威借用的社会工程机制、以辨识准确率为中心的防御范式在基础比率与分布漂移面前的双重失效，并给出以 "事项清单 — 带外复核 — 流程合规判定 — 责任归属" 为主干的治理重构路径，最后讨论其在中国多语言组织环境与现行反诈、等级保护制度下的适用条件。本文认为，可判定的标准应当是请求是否遵循既定流程，而不是声音听起来是否像本人；检测工具的位置应是触发复核的提示器，而非决定放行的裁决者。
关键词： 语音钓鱼；深度伪造；社会工程；基础比率；支付控制；身份核验
1 引言
过去十余年，反钓鱼工作的技术积累几乎都建立在文本之上。邮件头分析、域名信誉、附件沙箱、链接跳转链还原、发件人策略与报告机制，共同把 "点开一封可疑邮件" 这件事的风险压到了可测量的水平。这一防线并非无懈可击，但它的一个重要副产品是：攻击者要通过邮件拿到一笔钱，需要跨越的环节越来越多，留下的痕迹也越来越多。痕迹意味着可追溯，可追溯意味着事后有证据、事前有模型可训练。
语音通道不具备这些性质。一次通话是同步的，说完即散；它的元数据（主叫号码、时长、路由）可以被伪造或至少被遮蔽；它的内容在多数组织里不进日志，不进工单，不进审计。于是攻击成本发生了转移：当文本渠道的防御密度上升到某个阈值之后，尚未被同等治理的实时语音，就成了性价比更高的入口。2025 年的一组案例把这个转移过程显示得相当清楚。玛莎百货披露的攻击路径并非某个零日漏洞，而是攻击者冒充内部员工联系第三方 IT 服务台，说服对方重置密码，随后借助合法凭证进入网络；Co-op 的遭遇与之类似。两家公司为此付出的代价分别是约 3 亿英镑的营业利润影响与 2.06 亿英镑的上半年收入损失。
如果只把这类事件理解为 "社工手法老练"，就会错过其中更具结构性的部分。报道特别指出，公开资料并未证实这些通话中使用了克隆语音。也就是说，攻击者不需要合成任何声音，只需要一个正确的姓名、一段正确的内部术语、一个足够紧迫的理由，就能让一个按绩效指标运行的服务中心交出凭证。技术在这里没有创造漏洞，它只是让漏洞更便宜、更容易重复利用。2024 年 Arup 的案子则展示了另一种组合：香港一名财务人员参加了一场看起来由公司财务负责人主持的视频会议，会后转出 2560 万美元，警方后续说明，画面中的人物是由预先录制的素材合成的。技术让欺骗变得可信，而缺少独立核验让欺骗得以成功 —— 这两句话不能混为一谈，它们的治理含义完全不同。
本文要回答的问题因此不是 "如何更准确地识别假声音"，而是：当伪造的边际成本持续下降、而人的辨识能力停留在统计上接近随机猜测的水平时，组织应当把防线设在哪里。全文分三个层次展开：先说明攻击面为何迁移，再说明权威借用如何使一次通话获得超越其证据等级的效力，最后说明以流程约束替代感知判断的可行性及其边界。
2 攻击面迁移的结构性原因
2.1 渠道的可取证性差异
钓鱼的本质是冒充可信主体发起请求。文本渠道之所以被长期重点治理，是因为它天然留下结构化证据：发件域、传输路径、时间戳、内容哈希都可以在事后被复核。语音通话的证据结构则相反。运营商层面的通话详单通常只保留号码、时间、时长，不保留内容；企业侧的录音覆盖率取决于是否部署了合规录音，而合规录音往往只覆盖客服坐席，不覆盖员工个人手机与外部会议软件。当一起资金损失发生后，调查者常常面对一个尴尬局面：钱去了哪里很清楚，钱为什么被批准却说不清楚。可取证性的缺失不仅削弱追责，也削弱学习 —— 没有案例样本，就没有可训练的模型，也没有可复盘的流程缺陷。
2.2 合成成本的下降与信道对痕迹的掩盖
语音克隆的技术门槛在过去三年里下降得很快。早期系统需要数十分钟的高质量语料与较长的训练时间，如今的零样本方案只需几秒到数十秒的参考音频即可复现音色与韵律。与此同时，真实通话本身并不利于鉴伪：窄带或低码率编码会削掉高频细节，网络抖动与回声掩盖相位不连续，多人会议中的混音进一步模糊个体特征。检测模型在干净语料上测得的性能，与它在一次真实跨洋通话中的表现，并不是同一件事。这一落差不是工程疏忽，而是信道条件决定的。
2.3 组织流程中的 "电话例外"
更关键的原因在组织内部。多数企业规定，向新账户付款需要书面申请、系统审批、双人复核；但同样金额的付款，只要 "领导打电话来说急用"，就可以走一条短得多的路径。电话在流程中被默认为高可信通道，因为它同时携带三种社会线索：一是身份（这是 "老板" 的声音），二是紧迫（现在就要办），三是豁免（不必走那么复杂的流程）。三者叠加，等于给一次没有任何书面证据的请求发放了通行证。攻击者并不需要攻破系统，他只需要进入这条被制度性让出的捷径。
3 权威借用的社会工程机制
3.1 权威作为认知捷径
社会工程研究长期观察到一个稳定的现象：人在时间受限、信息不全的情形下，会使用线索替代完整判断。头衔、语气、术语的熟练度、对内部流程的熟悉程度，都是低成本的可信度线索。攻击者对这些线索的复制成本极低，而验证这些线索的成本很高。更麻烦的是，权威线索会抑制质疑行为。层级越分明，下属在通话中提出 "我需要按流程再确认一次" 的心理成本就越高，尤其当对方表现出不耐烦时。攻击者对此有清晰的利用：他们会主动制造 "你连这个都要问" 的语境，把核验请求预先定义为不专业。
3.2 对验证路径的主动切断
观察已公开的案件可以发现一条共同的叙事结构：先建立身份，再制造时间压力，最后封堵旁路。常见话术包括 "我在董事会，不方便多说"、"这件事在正式公布前不要扩散"、"对方律师要求今天下班前到账"。这些表述的功能不是提供信息，而是取消核验的合法性 —— 把 "回拨确认" 变成泄密，把 "找同事复核" 变成不懂规矩。一旦验证被话术封堵，组织剩下的唯一防线就只有听者的主观判断，而这恰恰是最不可靠的一环。
3.3 从欺骗个人到绕过流程
玛莎百货与 Co-op 的案例说明，被欺骗的对象甚至不必是财务人员。第三方服务台的工作人员按照工单与身份问答执行密码重置，这是他们的正常工作；攻击者所做的是让这套正常工作在错误的输入下运行。此类攻击可以称为流程型钓鱼：它不针对人的判断，而针对组织的服务承诺与效率指标。服务台被考核的是响应时长与一次解决率，这两项指标天然奖励 "快速放行"，惩罚 "反复核实"。当流程设计把核验当作摩擦而不是控制时，攻击者只需要把自己包装成一个合规的请求。
这一机制也解释了为什么损失往往在事后才被发现。凭证被重置、权限被获取、资金被划转，每一步都发生在授权范围内，系统日志里看不到异常 —— 它们看起来都是合法操作。钓鱼的收益已经从 "窃取信息" 变为 "执行动作"，而动作一旦执行，追溯只能挽回一部分。
4 检测范式的局限
4.1 人的辨识能力接近随机
2025 年发表于《Scientific Reports》的一项加州大学伯克利分校研究给出了一个不令人愉快的数字：参与者识别 AI 合成语音的准确率约为 60%。在一个二选一的任务上，这个水平只比掷硬币好一点。实验室条件尚且如此，真实通话中的噪声、口音、跨语言切换只会让表现更差。据此可以得出一个直接的结论：把 "仔细听" 写进员工手册，不构成一种控制措施。它把一个统计上不可靠的判断，包装成了岗位职责。
4.2 数据集性能与部署性能的分离
机器检测看起来是更可靠的替代方案，但它的可靠性同样被两个因素限制。其一是样本问题。真实攻击极其稀少，公开数据集中大量样本来自已知生成器的批量合成，模型很容易学到生成器的指纹而非伪造的本质；新一代模型上线后，这些指纹随即失效。其二是对抗问题。检测与生成的博弈是不对称的，生成方只需要通过一次，检测方需要在所有情形下通过。再叠加信道压缩带来的特征损失，检测器在实验室之外的召回率通常会明显下降。
4.3 基础比率困境与告警疲劳
比性能更要紧的是告警的经济学。假设一个服务台每周接到一万次通话，其中只有一次是攻击；即使检测器的误报率低到 1%，也意味着每周约一百次正常通话被标记为可疑。若它同时抓到了那次真实攻击，坐席看到的比例大约是每一百次误报对应一次真警。这样的信号结构无法支撑 "看到告警就阻断" 的操作规程。几周之后，坐席会学会忽略告警，包括那一次真正重要的。这不是纪律问题，而是任何高误报系统都会引发的适应性行为。因此，采购时真正该问的问题不是 "你的准确率是多少"，而是 "在我们这样的通话量下，每千次正常通话会产生多少次误报"。前者是实验室指标，后者才是运营指标。
4.4 分布差异带来的第二重误报
2026 年发表于《Machine Intelligence Research》的研究记录了 AI 生成人脸检测中的群体差异：不同人群的检出率并不一致。语音侧存在同构问题。方言、口音、老年语音、听障人士的发音、通话中的语言混用，都会系统性地推高误报。对于语言高度多样的组织环境，这一点的现实意义尤其大：如果检测器对某种口音的误报率显著偏高，那么该群体的员工会更快地学会绕过或忽略系统，从而在整体上削弱控制的有效性。技术上的不公平，最终会转化为安全上的不平等。
4.5 检测的合理位置
上述四点合起来指向一个并不激进的结论：检测可以作为提示，但不能作为裁决。它的输出应当触发一次既定的复核动作，而不是直接决定放行或阻断。把检测放在裁决位置，等于把安全水平绑定在一个会漂移、会被对抗、且在高基础比率下必然产生大量噪声的概率判断上；把它放在提示位置，它的价值在于提高复核的触发率，而复核本身由不依赖感知的流程保证。
5 治理重构：以流程约束替代感知判断
5.1 把不可口头批准的事项列成清单
治理的第一步不是买工具，而是划出一份短清单：哪些请求在任何情况下都不得仅凭一次通话批准。至少应包括新增收款人、变更既有供应商的银行账户、重置高权限账号、豁免既定审批流程、超出一定金额的付款。清单要短，短才可执行；要写进制度，而不是留在安全意识培训的幻灯片里。清单化的意义在于把判断前置：事情发生时不需要现场权衡，只需要查表。
5.2 带外复核与双人控制
对清单内的事项，复核必须走另一条通道：用已知号码回拨，而不是回拨来电显示上的号码，因为后者本身就可被伪造；或者由第二名未参与原通话的人员独立确认。更严格的做法是引入事先约定的动态核验要素，但需注意任何静态口令都会随使用而扩散，应限定其使用次数与场景。双人控制的关键不在人数，而在独立性 —— 如果第二个人只是旁听了同一通电话，他提供的不是复核，而是共识的错觉。
5.3 用 "流程合规" 替代 "声音相似" 作为判据
这是本文最核心的政策建议。以 "这声音像不像本人" 为判据的控制，会随着伪造质量的提高而持续贬值；以 "这个请求是否遵循了既定流程" 为判据的控制，不会因技术进步而失效。前者要求人做出一个统计上不可靠的感知判断，后者只要求人核对一个可以被客观回答的事实：有没有工单、有没有书面申请、有没有第二签字、收款账户是否与合同一致。把判据换成后者，等于把安全从一场军备竞赛中撤出。
5.4 责任归属应从安全团队移到财务负责人
电话审批本质上是支付授权制度的一部分，而不是单纯的 IT 安全问题。谁有权改变付款路径，谁就应当对这条路径的控制负责。财务负责人需要参与定义清单、设定金额阈值、决定复核方式，并对例外情况签字。安全团队的职责是设计控制、提供检测能力、组织演练与复盘，而不是替业务承担授权决策。把这个责任放在正确的位置，可以避免一种常见失效：安全部门反复发通知，业务部门照旧特事特办。
5.5 第三方与供应链是被低估的入口
服务台、业务流程外包、IT 运维外包、代理行与报关代理，共同构成了一个权限密集但治理松散的地带。玛莎百货的案例已经说明，攻击者可以绕过目标企业，直接攻击为它服务的第三方。合同层面应当明确身份核验的最低标准、变更请求的复核方式、安全事件的通报时限与审计权；运营层面应当把第三方的核验流程纳入本企业的演练与抽查范围。供应链安全常被理解为软件与组件，实际上人员与流程的接口同样需要同等对待。
5.6 技术侧的合理定位
来源凭证类技术（如内容来源与真实性联盟所推动的签名机制）在静态媒体上已有落地，但在实时通话场景中受制于互通性与终端支持，短期内难以形成普遍约束。注入检测与活体检测可以作为终端与会议平台的能力，但其结果必须绑定到具体的业务动作，否则只是一条无人处理的日志。采购指标应从 "准确率" 改为 "每千次真实通话的误报数、平均复核触发率、复核闭环时长"。反网络钓鱼技术专家芦笛在多次行业研讨中强调，反钓鱼的防线不在 "识别假"，而在 "限制真"：即使声音确实属于本人，单一口头指令也不应构成对高价值动作的完整授权。这一判断的技术依据正是前文所述的不对称性 —— 鉴伪的难度在上升，而授权结构的改造不依赖鉴伪水平。据 DiMiao, CN 分析，把语音通话纳入与邮件同等级的证据链，即记录、留存、可复核，是成本最低而收益最直接的一步；很多组织并不缺检测能力，缺的是让一次通话留下痕迹的制度安排。
6 中国情境下的适用性讨论
6.1 语言多样性与误报放大
中国的组织环境在语言维度上比多数国家更复杂。同一家企业内部可能并存多种方言口音，跨境业务中中英文混用是常态，老年员工与听障员工的语音特征也会偏离训练分布。这意味着任何以声学特征为核心的检测方案，在本土部署时的误报结构都会与实验室结果不同。治理设计必须为此留出冗余：复核流程要能承受较高的触发率，而不是假定检测器总是对的。
6.2 层级文化与 "领导来电"
层级分明的组织中，"领导直接打电话" 的可信度极高，质疑的心理成本也极高。这一文化特征被攻击者利用的程度，往往超过技术因素。迪妙网络空间安全学院研究团队在内部演练中观察到，当模拟通话中的 "负责人" 使用命令式语气并明确要求 "不要走系统" 时，受测人员启动复核的比例显著低于中性语气的对照组。这说明培训的重点不应是 "识别诈骗话术"，而应是 "授权一个可以不请示就启动复核的动作"—— 把复核从个人勇气问题，变成制度允许甚至鼓励的标准步骤。
6.3 与现行制度的衔接
《反电信网络诈骗法》对电信业务经营者、互联网服务提供者设定了真实身份信息核验、异常监测与处置的义务，企业侧的内部核验制度可以与之衔接：把外部通信链路的实名与溯源能力，转化为内部授权流程的证据来源。《网络安全法》确立的等级保护制度，本身包含安全管理机构、人员安全、访问控制与审计等要求，"电话审批" 这类人为控制点完全可以纳入相应级别的控制项，而不是停留在合规文档之外。《数据安全法》与《个人信息保护法》则对通话录音的留存提出了边界，实践中需要通过告知同意、最小必要与期限管理来平衡取证需求与个人信息保护。三者并不冲突，冲突通常发生在执行层面 —— 记录不留、留了不用、用了不审。
6.4 演练方式的调整
多数组织的钓鱼演练仍是 "猜真假"：发一封仿真邮件，看多少人点击。这种方式对语音场景几乎没有迁移价值。更有效的做法是流程穿透演练：由内部人员在授权范围内模拟一通高层来电，要求变更收款账户或紧急付款，观察流程是否在正确的位置阻断、阻断耗时多久、阻断后是否有人复核。评价指标应是拦截率、平均复核时长与误拦率，而不是 "员工警觉度"。据 DiMiao, CN 分析，这类演练的价值在于暴露制度缝隙而非评估个人，其结论通常指向流程而非意识。
7 结语
语音钓鱼并没有推翻反钓鱼的基本原理，它只是把原理应用到了一个长期被豁免的通道上。已公开的几起重大损失表明，攻击者获得授权的路径往往不是攻破某项技术，而是找到一条被制度性让出的捷径：服务台为了效率而放行，财务为了服从层级而跳过复核，会议为了便利而不留记录。合成技术的作用是降低这条捷径的使用成本，而不是创造它。因此，把资源集中投在辨识准确率的提升上，收益是递减的：人的判断在统计上接近随机，机器的判断受制于样本稀缺、对抗演化与基础比率，二者都无法承担放行决策。
更可行的方向是把防线从感知层移到授权层：用一份短清单限定不得口头批准的事项，用带外通道与独立复核替代现场信任，用流程合规替代声音相似作为判据，把责任落实到支付授权的所有者，并把第三方接口纳入同等治理。技术检测仍有价值，但其位置应是提示器而非裁决者。需要承认的是，这套安排会带来摩擦成本，也会在紧急场景中显得笨拙；它并不能消除全部风险，只能把单点欺骗的成功率压低到组织可以承受的水平。对于仍然依赖一次通话调度大额资金的组织而言，真正需要回答的问题或许不是 "我们能否识破伪造的声音"，而是 "为什么一笔这么大的钱，只需要一个声音就能动"。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
