传统钓鱼识别培训在 AI 时代还有用吗？内容该怎么改？

传统培训的主线是「教用户识别可疑邮件」，具体抓手是错别字、语法、称呼不当、logo 模糊、发件人地址奇怪。前四项已经随文本与图像生成能力的普及而失效。

更严重的问题是虚假安全感：用户通过了培训测验，就认为自己「能认出钓鱼」，反而降低了对流程的依赖。当识别能力不可靠时，自信是负资产。

CISA Phishing Guidance: Stopping the Attack Cycle at Phase One 的防护建议同样把重心放在技术控制与流程，而不是寄望于个体识别能力。

培训目标应改写为三条行为目标，每一条都可观察、可演练：

1. 遇到涉及资金、凭据、权限的请求，先停下走核验流程——不管邮件看起来多正常，也不管请求来自谁。
2. 会用带外核验：知道去哪里找主档联系方式，知道不能回拨来电显示，知道该问什么。
3. 会上报，并且知道上报不会挨批评——包括「我已经点了链接」这种情况。

注意第三条：点了链接之后能否在几分钟内上报，往往比一开始能否识别更决定最终损失。多数组织的培训完全没有覆盖「已经中招之后怎么办」。

• 下线：「看错别字和语法」「看排版是否粗糙」「看措辞是否生硬」。
• 保留但降级为辅助：「看发件人完整地址而非显示名」「悬停查看链接真实地址」——仍有价值，但不作为唯一依据。
• 新增为主线：请求类型的风险分级（资金/凭据/权限最高）；带外核验的具体操作步骤；熔断条件清单；上报路径与时限；「声音和视频也可以是伪造的」这一认知。
• 新增场景：真实邮件线程中途被接续（对方邮箱已失陷）——此时所有传统判据都正常，只能靠流程拦住。这是最需要专门讲的一类。

演练的设计要跟着目标变。要点：

• 演练场景应包含完整的欺诈流程（邮件铺垫 + 加急施压 + 账号变更），而不是只发一封带链接的测试邮件。
• 观察指标是「是否走了核验流程」，而不是「是否点击」。一个员工点了链接但立刻上报并走了核验，应判为成功。
• 把「高管施压」写进桌面推演，检验熔断是否真的会被触发，以及基层是否敢坚持。
• 演练后的复盘公开进行，重点讲流程在哪一环断掉，不点名批评个人。

• 不要把点击率作为核心 KPI。它会驱动组织去做容易识别的演练邮件来刷好看的数字，与真实防护能力脱钩。
• 不要惩罚点击者。惩罚的直接后果是隐瞒，而隐瞒会让真实事件的响应时间从几分钟变成几天。
• 不要用「培训完成率」代表效果。看完视频不等于行为改变。

更有意义的指标：上报率与上报中位时长、核验流程在真实业务中的执行率、演练中熔断条件的触发率、事后追认漏判的发现渠道分布。CISA Recognize and Report Phishing 提供了面向公众的上报渠道说明，可作为对外报送环节的参考。

最后一条边界必须说清楚：培训是最后一道防线，不是第一道。把防护责任推给用户，本身就是设计缺陷。

在培训之前应先确保：本域已发布 RFC 7489 Domain-based Message Authentication, Reporting, and Conformance (DMARC) 策略并处置报告；关键岗位已部署符合 NIST SP 800-63B Digital Identity Guidelines: Authentication and Lifecycle Management 要求的抗钓鱼多因素认证；付款与账号变更已有系统强制的核验流程。这三项做到位，即使用户识别不出，损失也难以形成。