大多数针对公民的网络攻击未被报告，也未被衡量，这使我们在理解其规模、模式和影响方面存在严重空白。
针对个人的攻击具有高度针对性、受心理因素驱动，并且跨越多个领域，但行业和政策制定者却将其视为各自独立的问题。
我们需要一个共享模型来绘制和追踪这些威胁，从而帮助我们设计有效的预防措施、提升平台问责水平，并降低数字经济面临的系统性风险。
当一个主要品牌或关键国家基础设施遭受网络攻击时，它会登上全国新闻头条。政府召集会议，监管机构采取行动，网络安全行业迅速动员。而当一位单亲母亲被骗走积蓄，或一名青少年的私密图像在未经同意的情况下被传播时，应对却是支离破碎、缓慢迟滞，而且往往根本不存在。
对许多人来说，优先应对这些大型攻击是合乎情理的，但问题的全貌远不止于此。针对个人的攻击正在大规模发生，其累积影响，尤其是长期影响，很可能对社会造成灾难性后果。当人们对在线互动失去信任时，我们如何以数字方式运行经济和公共服务？
个人和家庭正被抛在身后。在英国，近70%的受害者不向警方报案。在向警方报告网络犯罪的人中，约98%会收到“不予进一步处理”的决定，其案件在没有任何实质性行动的情况下结案；87%的案件则会立即结案。对大多数人而言，报案是一条死胡同。
这一情况在全球范围内都普遍存在。犯罪已经变得更加依赖技术，而刑事司法系统和受害者支持领域却没有跟上。
其影响是毁灭性的。受害者常常报告严重的心理健康、网上信心、身体健康以及日常生活能力方面的影响。对许多人而言，这甚至导致了生命的丧失。
致命的知识鸿沟
在全球范围内，每年都有数以亿计的个人沦为受害者。我们只能看到这些攻击及其运作方式中极小的一部分。
其后果是严重的测量失灵。如果缺乏关于规模、模式和受害者特征的准确数据，就不可能设计有效的预防措施、合理分配资源、建立支持服务，或制定能够反映公民真实负担的政策。
针对个人的网络攻击并不只是针对组织攻击的缩小版，两者在本质上截然不同。企业攻击利用的是技术漏洞，而针对个人的攻击则绝大多数是心理层面的。一通语音钓鱼电话利用的是信任；一场“网络诱骗”（catfishing）行动操纵的是情感依恋；私密图像滥用则将羞耻感武器化。这些都是人的问题，需要以人为本的应对方式，而当前的网络框架并不能提供这样的应对。
人工智能和其他技术正在推动针对个人的攻击手法迅速演变。我们不能继续将个人视为事后才考虑的对象，并任由他们独自应对。
对针对个人的攻击如何展开的理解，仍然分散在求助热线、银行、研究人员、执法部门和平台安全团队之中——各方各自为政，所产生的数据很少被比对或整合。结果是：我们无法识别新出现的模式，无法针对不同受害者特征提供量身定制的建议，无法衡量干预措施是否有效，也无法在人们受害之前及时向其发出预警。
保护公民的行动指南
要使针对网络犯罪受害者的支持和成效实现质的飞跃，我们首先需要真正理解威胁，并论证什么样的应对才是有效的。
攻击框架已经改变了网络安全行业理解对手并进行防御的方式。它们提供了一个开放、结构化的攻击者战术和技术目录，被全球的企业、政府和安全厂商广泛使用。通过标准化威胁的描述、检测和缓解方式，这些框架已成为基于威胁情报的防御的基础。
现在是时候为个人做同样的事情了。
一个完善的“公民网络攻击框架”应当审视个人在网络上可能受到伤害的所有途径，并研究不同攻击类型之间如何相互交织。它不仅应当对攻击模式、实施者的战术、技术和程序进行系统化归纳，还应概述基于证据的应对措施，并描绘这些攻击对个人及其生活造成的真实影响。
该框架将成为一个共享工具，可以推动在线平台和新技术实现“安全设计”。它将为政府政策提供重点，并指导一线服务如何有效应对。它还将助力塑造相关的公众教育项目。
作为一个行业，如果我们做对了这件事，不仅可以确保更少的个人沦为受害者，还能对我们正在进行的以数字化方式运行关键系统的努力产生积极影响。
