推进系统性防御：网络安全领导者谈如何应对网络钓鱼和欺诈

• 网络钓鱼和网络犯罪诈骗正以惊人速度增长，其背后推手是网络犯罪分子对人工智能的使用。

• 网络安全必须向上游转移，采取更具系统性的方法，将安全性嵌入数字基础设施之中，而不是依赖用户来发现威胁。

• 来自Paladin Global Institute、微软和安全与技术研究所的三位领导者强调，需要采取协调一致的行动。

随着网络犯罪迅速演变，由人工智能驱动的网络钓鱼和诈骗如今正使全球经济蒙受每年超过1万亿美元的损失——这一惊人数字凸显了需要采取更加系统化和协调一致的应对措施。

世界经济论坛的打击网络犯罪伙伴关系，与安全与技术研究所（IST）合作，正在推进“系统性防御”项目，探索多方利益相关方参与的系统性方法如何将责任向上游转移，并更好地防御网络钓鱼和网络犯罪诈骗。

在2025年5月举行的RSA大会上，来自Paladin Global Institute、微软、IST和世界经济论坛的领导者齐聚一堂，共同探讨这一工作。

他们并非仅依赖终端用户的行为，而是探讨了系统性方法如何促进建立更安全、更值得信赖的网络空间。通过将工作重心转向上游，该倡议旨在主动加强数字环境，并缓解助长犯罪利用的技术漏洞。

为深入探讨，我们就网络钓鱼和网络犯罪诈骗的增长态势，以及可采取哪些措施加以遏制，询问了参与的专家。以下是他们的分享：

政府如何制定激励措施，促使基础设施参与方为用户默认提供“默认安全”？

Kemba Walden，Paladin Global Institute总裁

政府必须以战略性方式重塑市场力量，将网络安全责任交给最有能力降低风险的主体，在保障创新与竞争的同时，将后果从弱势群体身上转移开。当我审视美国政府每年7600亿美元的采购能力时，我看到了以大规模方式重塑数字安全的战略机遇。

这不是抽象的战略，而是切实的市场现实。当联邦机构要求技术默认安全并以安全设计为本时，我们便会在整个数字生态系统中产生连锁反应。当这些技术在关键环境中（从云基础设施到身份管理系统）经过实战检验时，安全功能便不再是昂贵的附加项，而开始成为标准要求。

我们需要一种务实的方法来推动安全可靠的基础设施，既包括施加法律责任，也包括提供激励。政府可以就不安全的软件产品向软件提供商追究责任；同时，也可以设立资助计划，将安全性融入关键技术，并利用政府采购提高问责水平。

该体系应奖励那些内置基本防护措施的提供商，例如安全的域名系统、抗网络钓鱼的多因素身份验证以及实时欺诈检测。这些并非前沿创新，而是一个正常运转的数字社会的基本门槛。

由行业主导、在技术上可靠且在运营上可行的“安全基础设施”明确基准至关重要。政府必须与行业合作，确保这些基准不仅在技术上可靠，而且相互协调，并无缝融入数字生态系统。

关于网络犯罪，你可能不知道的3件事

04:08

为何当前遏制网络钓鱼和网络犯罪诈骗的努力未能奏效？科技公司又能在扭转局面中发挥何种作用？

Kelly Bissell，微软企业副总裁，安全与欺诈

尽管在网络安全上投入了数十亿美元，网络钓鱼和网络犯罪诈骗不仅没有消失，反而愈演愈烈。原因何在？因为应对它们的斗争从根本上就存在缺陷。我们建立了防火墙和过滤器，却低估了最易被利用的漏洞：人性。

网络犯罪分子无需入侵机器，只需入侵人心。他们利用信任、紧迫感和恐惧，而且正变得令人胆寒地擅长此道。借助人工智能生成的电子邮件、深度伪造的语音和冒充的网站，如今的网络钓鱼攻击几乎与真实情况无法区分。系统不断提醒用户“保持警惕”，但持续的警报让真正的威胁淹没在背景噪音之中。

我们的防御是被动的。我们在遭到入侵后才打补丁，在诈骗发生后才设立黑名单，在用户点击之后才对其进行培训。与此同时，犯罪分子行动敏捷、身份隐匿，并在国际合作薄弱和法律过时的情况下更加肆无忌惮。

网络犯罪成本低廉、覆盖全球且回报丰厚。那么，我们能做些什么？作为一个整体，我们必须采取以下7个步骤：

• 停止指责用户，开始像对待资产一样对其进行培训：用户并非最薄弱的环节，而是最未被充分利用的防御力量。我们应当摒弃通用型培训，转而采用沉浸式、针对特定角色且贴近现实的模拟训练。停止惩罚错误，转而营造一种让警惕成为本能的文化。

• 如果黑客使用人工智能，我们也应如此：毫不留情。网络犯罪分子利用人工智能精心炮制天衣无缝的网络钓鱼并模仿人类。为何还要依赖过时的检测系统？以火攻火：部署能够学习、适应并实时行动的人工智能。自动化威胁遏制，毫秒决定成败。

• 网络犯罪具有全球性，我们的防御也应如此：国界对黑客而言毫无意义。那么，我们为何仍以碎片化的国家层面政策与之对抗？我们需要实时的跨境情报共享和统一的法律框架，使网络犯罪分子无法藏身于司法管辖权的漏洞之中。如果我们不建立全球联盟，就只是在玩打地鼠游戏，并且正在输掉这场游戏。

• 不信任任何人，验证一切：隐性信任的时代已经结束。每一台设备、每一位用户和每一项访问请求都必须经过验证，而且是持续验证，而不仅仅是在注册时。零信任并非流行语，而是基本门槛。我们还必须淘汰旧有系统：如果它们无法打补丁，就构成了责任隐患。

• 让网络犯罪无利可图：网络犯罪之所以猖獗，是因为它成本低廉、操作简便且利润丰厚。让我们扭转局面。利用区块链取证追踪并冻结被盗资金。以我们应对实体威胁时同样的力度，摧毁网络钓鱼工具包、僵尸网络和暗网市场。

• 开始团队协作作战：网络安全不是单打独斗的运动，而是一项团队事业。如果某家公司遭到攻击，整个生态系统都将面临风险。停止囤积情报，应在全球反诈骗联盟等论坛中进行共享。我们需要实时威胁情报源、共享的入侵指标以及协作式防御。沉默助长攻击者，共享则能遏制他们。

• 以创新超越攻击者，否则就会被甩在身后：网络犯罪分子从不停止适应，我们也不应停止。通过在安全运营中心嵌入人工智能、扩大机器学习和数据科学的应用以提升检测能力，并构建安全设计，推动变革。大力投资人工智能以及研发工作，打造能够跟上威胁步伐的工具。

你认识的人中是否有人落入过冒充祖父母的骗局？以下是如何防范黑客的方法。

03:58

您认为基础设施层面应做出哪一项关键改变，以防止网络钓鱼和网络犯罪诈骗？

Steve Kelly，安全与技术研究所首席信任官

在成为联邦调查局特工并参与网络调查之前，我曾是一名注册专业工程师，从事交通运输领域的工作。

在思考互联网固有的不安全性以及它所助长的肆无忌惮的犯罪时，我想到了前职业的一个类比：道路的设计和建造本身就是安全的，而互联网却并非如此。

直观的设计要素（如几何线形、标志和标线）符合驾驶员的预期，有助于避免意外；没有危险障碍物的宽容路边可以减轻失误的后果；城市中以行人为导向的开发则减少了机动车与行人或骑自行车者之间发生致命冲突的机会。

那么，我们如何将基本的工程原则引入互联网的核心基础设施，使用户安全，并让不法分子无法得逞？

在我们的小组讨论中，我们探讨了将信任与安全引入域名系统（DNS）的重要性、利用支付生态系统的机遇，以及政府支持的数字身份证等身份认证计划可能发挥关键作用的方式。

利害攸关，无辜者正在遭受伤害，我们不能袖手旁观。因此，请拿出你的计算尺，戴上安全帽吧；将核心互联网基础设施打造为安全设计，早已刻不容缓。

总之，网络欺诈和网络钓鱼的规模与影响日益扩大，仍是重大的全球性挑战。论坛的打击网络犯罪伙伴关系致力于推进系统性解决方案，将负担从用户身上转移开，转向更加协调、位于上游的防御措施，以更好地保护网络上的人们。