政府机构、私营企业和非营利组织数十年来一直试图教育员工不要点击可疑链接或下载不可信文件，但近期证据表明，这种网络安全意识培训在很大程度上效果有限，甚至可能适得其反。

各组织依赖网络安全教育——从网络钓鱼模拟到年度网络研讨会——来训练员工识别并阻断数字威胁。安全行业告诉组织，人是其最薄弱的环节，并强调培训是解决方案，由此催生了一批网络安全培训项目。然而，这些项目作为现代安全战略的基石，却未能达到预期效果。

根据Cybersecurity Dive对2008年以来发表的十余项研究和元分析的梳理，常见的网络安全培训方法并未显著降低人们落入网络钓鱼攻击的概率，在某些情况下甚至使人们更容易遭受此类攻击。这些研究对强制性培训的价值提出质疑，批评了对测试失败者所提供的补救教学，并揭示了早期研究中的方法论缺陷。

“意识培训，就其现状而言，并非解决方案，”研究人类行为的网络安全研究员兼顾问Arun Vishwanath表示，“我常用的类比是：你去医生办公室，他扔给你一颗药丸，那就是意识培训。然后你回去，病人仍然生病，他们给你更多药，不断给你更多，最后却责怪你。”

意外后果

大多数提供网络安全培训的组织采用两种方式之一（或两者兼有）：定期评估（通常每年或每月一次），以及嵌入式培训课程（在用户未通过网络钓鱼测试后显示）。但近期研究对这两种标志性工具的有效性提出了质疑。

在夏季多个会议上提交的一篇广受讨论的论文中，芝加哥大学和加州大学圣迭戈分校的研究团队发现“没有证据表明年度安全意识培训与网络钓鱼失败率降低相关”。研究人员原本预期近期完成培训的人员表现更佳，但他们的研究发现，用户完成网络钓鱼培训的时间与在网络钓鱼测试中的表现之间并无显著关联。

“年度意识培训并未向用户提供有意义的新知识或教育，”芝加哥大学计算机科学助理教授、该研究作者之一Grant Ho表示。

Ho及其合著者写道，网络安全界“应重新审视此类培训，以其当前交付形式，是否能提供有意义的安全收益”。

补救课程的分配方式同样存在严重问题。

首先，这些课程仅向测试失败者提供，这意味着排除了其他可能在未来失败的人。“这种设计隐含地假设，未落入一次网络钓鱼诱饵的用户无需培训即可防范未来攻击，”Ho及其合著者写道，“不幸的是，我们的结果显示，我们组织中的大多数用户，只要有足够时间，最终都会落入模拟网络钓鱼攻击。”由于嵌入式网络钓鱼课程无法覆盖所有需要学习的人，研究人员认为，这是一种低效的教育方式。

其他研究则对在用户失败后立即提供通过未来测试的信息的重要性提出质疑。在2024年末发表的一项研究中，苏黎世联邦理工学院的研究人员发现，“在事件发生次日告知员工相关演练并引导其学习培训材料……似乎与‘即时’嵌入式培训同样有效。”换言之，无需在用户失败后立即进行干预。

2021年，苏黎世联邦理工学院的研究人员报告了关于嵌入式培训的更令人担忧的结果。他们写道，这种方法不仅“不能使员工对网络钓鱼更具韧性”，还可能产生负面副作用，“使员工更容易遭受网络钓鱼”。

研究人员在近期论文中详细阐述了这一发现，指出嵌入式培训“可能使员工对自己的能力以及网络钓鱼测试中的错误不会带来后果这一事实过度自信”。由于嵌入式培训可能“引发误解和过度自信”，他们建议组织在部署时应保持谨慎。

研究还表明，对于最易遭受网络钓鱼攻击的人群，强制性培训并非有效的干预措施。

在2024年苏黎世联邦理工学院的研究中，研究人员将网络钓鱼测试参与者分为两组，并警告其中一组，两次失败将导致强制性培训。他们发现两组人员的表现并无统计学显著差异。“对于最易受影响的参与者，”研究人员写道，“强制性培训并未带来额外益处。”

哈佛大学及其附属医疗系统的研究人员在2019年的一项研究中发现了类似结果。他们向一家未具名医疗机构的5400多名员工发送了20次网络钓鱼活动，并在第15次活动后，要求点击至少五次诱饵的人员接受强制性培训。培训“并未对点击率产生实质性影响”，研究人员写道，“违规者仍更有可能点击网络钓鱼模拟。”

效果短暂

即使培训似乎提高了人们识别网络钓鱼攻击的能力，这些效果也未能持久。

“关于项目在推动持续行为改变方面成功的证据有限，”澳大利亚阿德莱德大学的三位研究人员在2023年对数十项网络钓鱼意识培训项目研究的综述中总结道。

根据2020年会议上提交的另一项研究，人们在培训后立即及四个月后区分真实与欺诈邮件的能力显著提高，但到六个月时，这种改善已消失。

“我们的习惯比我们收到的提示更强大，”Vishwanath表示，并补充说，关于风险的先入为主观念比短暂的培训材料“具有更大的惯性”。

知识并不足够

有效安全意识培训的最大障碍之一是将知识转化为行为的难度。培训课程可能教会人们识别网络钓鱼攻击，但仍无法保护他们免受攻击。人类行为是知识、态度和激励的复杂混合体，许多培训项目未能认识到人们行为背后的原因。

“虽然培训显著提高了终端用户行为的预测因素，如态度或知识，但行为变化只能观察到极小部分，”荷兰莱顿大学的研究人员在2024年对69项研究的元分析中写道。

“我们在改变这些行为前兆方面已变得极为擅长，但并未改变确保安全所需的实际行为，”莱顿大学博士生、该元分析及另一项近期综述的合著者Julia Prümmer表示。

牛津大学的研究人员在2019年的一篇论文中得出了相同结论。

“知识和意识是改变行为的先决条件，但不一定充分，因此必须与其他影响策略结合实施，”他们写道，“正确回答问题并不意味着个人有动力根据意识项目中获得的知识行事。”

2024年苏黎世联邦理工学院的研究发现，定期的“提示”——关于网络钓鱼攻击危险及阻断其重要性的提醒——是网络钓鱼培训有效性的主要驱动因素，而非培训模块的内容，后者甚至被“最易受影响的参与者”描述为无用。

苏黎世联邦理工学院高级科学家、该研究合著者Kari Kostiainen表示，关于提示和内容的发现应促使组织“重新考虑其整体网络钓鱼防御”。

“与其强调测试/欺骗方面，”他说，“重点可以放在提醒和报告上。”

对“人为”条件的批评

多年来，许多研究发现安全意识培训能改善人们的安全实践，但由于方法论问题，这些发现可能并不像表面看起来那样有意义。

许多网络钓鱼培训研究涉及志愿者在研究实验室中接受测试。这种环境中，参与者高度专注于培训材料并对网络钓鱼危险保持警惕，可能产生不切实际的“关于培训效果的积极结果”，芝加哥大学和加州大学圣迭戈分校的研究人员在近期论文中写道。他们表示，其研究结果显示“在现实环境中，很少有用户参与嵌入式培训”。

澳大利亚研究人员强调了在“人为实验条件”下进行的研究的有限价值，这些研究“无法提供关于项目在自然条件下推动持续行为改变成功的真实见解”。

一些产生积极结果的研究也承认了其局限性。在2008年一篇关于网络钓鱼意识视频有效性的论文中，德国和苏格兰研究团队指出，参与者的表现“绝对应被视为‘最佳情况’情景”，因为他们被引导专注于安全。“他们在现实世界中的实际检测率可能更低，”研究人员写道。

根据莱顿大学团队2024年的文献综述，网络钓鱼培训研究还受到其他方法论限制。一些研究样本量较小，另一些则未对参与者进行足够次数的测试，无法可靠判断其是否易受欺骗。其他研究仅提供一次培训课程便评估其技能。

在某些情况下，根据文献综述作者的说法，研究人员关注了错误的指标。“结果测量通常不关注网络安全行为，而是聚焦于行为意图、态度和感知变化或其他指标，”他们写道，“虽然许多行为理论已将这些因素确定为行为变化的预测因素……但这种关联往往较弱。”

理解根本原因与塑造习惯

当前学术界共识是，“常见部署的培训形式仅提供微小或最小的保护益处”，芝加哥大学研究员Ho表示。改进培训项目需要显著改变其设计、交付和评估方式。

牛津大学研究人员表示，网络钓鱼培训应侧重于通过经过验证的说服策略来改变行为——并避免适得其反的策略。他们的建议包括：

  • 恐吓或羞辱人们“并非有效策略”；
  • 教育内容应“有针对性、可操作、可行”；
  • 组织应提供“持续反馈”以帮助用户养成良好习惯。

研究人员表示，组织还应优先考虑塑造人们安全态度的培训，这将影响其动机，进而影响其行为。

Vishwanath创建了一个模型来分类影响网络钓鱼易感性的心理冲动，他认为当前的意识培训忽视了行为科学，转而采用易于扩展、一刀切的知识传递。

“这些项目都不涉及纠正习惯，”他说。它们也未能解决对安全威胁的误解。“你对自身行为风险的信念非常重要。没有任何安全意识项目解决这一点。”

Prümmer对此表示赞同。“嵌入式培训通常不关注某人为何落入网络钓鱼邮件的根本原因，”她说，“我们需要首先理解什么导致在线受害增加，然后才能尝试修复。”

最终，没有一种培训方案能适用于所有组织和情境，因为用户表现出各种令人担忧的行为。“我们需要找到适合我们试图单独解决的每种网络安全行为的培训方法，”莱顿大学研究团队主张。

展望未来，Vishwanath表示，研究人员应更多关注修复有缺陷的培训，而非批评许多受监管公司必须使用的项目。

目前，企业和政府机构仍然容易受到违规行为的影响，而这些违规行为在意识大幅提高的同时也急剧增加。

“我认为在网络韧性方面，我们并不比（意识活动）之前更进步，”Vishwanath说，“我们感觉自己正在采取行动。我们为此花费了大量资金。但我们真的更好了吗？我不这么认为。”