网络钓鱼与社会工程学有什么区别？
社会工程攻击是指通过操纵他人来获取信息、金钱或访问权限的行为，其中最常见的是通过电子邮件或虚假网站实施的网络钓鱼。CISA 还列出了通过语音实施的语音钓鱼和通过短信实施的短信钓鱼。
设想一家虚构的建筑设计公司，名叫卡洛韦合伙事务所，共有 30 名员工。某个星期二，财务助理莉娅收到了三条信息。第一封邮件于 7.58am 发出，发件人自称是“总经理”：“莉娅，我今天全天开会，需要你今天向附件中的供应商付款，银行账户信息是新的，这件事不要告诉别人”。第二条是短信：“你的包裹已被暂扣，请在此支付 £1.45 的重新配送费”。第三个是电话，对方自称来自公司的信息技术服务商，要求她读出他刚刚发送的六位数验证码，说是“为了修复你的邮箱”。这三种情况看起来不同，用的却是同一种骗术。
钓鱼消息会用哪些手段施压？
网络钓鱼消息常用五种施压手法，NCSC 将其归纳为权威、紧迫感、情绪、稀缺性和时事。识别这些手法，比查找错别字更可靠。
权威性
消息声称来自上司、银行、政府机构或供应商，让你觉得应该照办。
紧急程度
设置紧迫的期限或以处罚相威胁，让你来不及核实就采取行动。
情绪
恐惧、恐慌、好奇或希望，让你来不及思考就作出反应。
稀缺性
制造稀缺感，例如退款期限即将截止或票量有限。
时事
关联新闻、报税截止日期或广为人知的服务中断事件，让这条消息显得合乎情理。
AI 如何改变了网络钓鱼？
AI 让钓鱼消息写得更加像样，因此拼写和语法正确已不能证明消息真实。CISA 的指南如今也明确指出了这一点。攻击者还可以模仿同事的语气、根据你的工作定制消息，或在通话中模仿你熟悉的声音。这让过去检查拼写错误和奇怪问候语的方法不再那么有效，也让核实请求本身变得更加重要。无论听起来多么可信，只要请求涉及转账、更改银行账户信息、分享验证码或绕过正常流程，都应核实。
如何逐步核实可疑消息？
核实可疑消息时，不要通过消息本身提供的渠道操作：绝不要使用其中的链接、电话号码或回复地址，而应通过你已信任的联系方式联系相关个人或机构。
1. 暂停并指出所用手法
问一问：对方正在施加哪种压力。保密、催促和金钱同时出现，是典型的付款诈骗模式。
2. 核查请求内容，而不只是发件人
显示名称和来电号码都可能被伪造。无论对方看起来是谁，银行账户信息变更或索要验证码都是警示信号。
3. 通过独立渠道核实
使用自己记录中的电话号码联系对方，或自行输入该机构的网址。CISA 和 NCSC 都提出了这一建议。
4. 绝不分享验证码或密码
真正的技术支持团队和银行不会要求你读出一次性验证码或密码。
5. 上报事件
使用邮箱的举报按钮，并通知负责信息技术的同事。在英国，可以将可疑邮件转发至 [email protected]；在美国，可通过 CISA 的“报告网络问题”服务提交报告。
较差的回应和出色的回应分别是什么样的？
应对不当时，人会轻信表象。莉娅看到总经理的名字，回复询问这笔付款是否真的很急，很快就从同一个假冒地址收到'是的，请现在就付'的回复，于是付了款。她没有理会那条短信，却出于帮忙的心态，把验证码念给了来电者，对方随即用它登录了她的邮箱。
妥善的应对会核实请求。莉娅注意到，对方同时利用了权威、紧迫感和保密要求，于是拨打员工通讯录中总经理的手机号码；总经理表示自己什么也没发。她删除了包裹短信，没有点击链接。她告诉来电者，自己会回拨 IT 服务商，随后挂断电话，拨打公司合同中列明的服务商号码；对方表示并未打过电话。她将这三起情况都报告给 IT 部门，并把邮件转发到举报邮箱。没有支付任何款项，也没有泄露任何验证码。
如果已经点击链接或回复了消息，该怎么办？
如果你已经点击、回复或分享了内容，请立即告知信息技术联系人，因为及时行动可以减少损失，任何人都不应因报告问题而受到责备。对于你曾输入过账户信息的任何账户，请换一台设备修改密码，并启用多重身份验证。如果涉及款项或银行信息，请立即使用银行网站或银行卡上的电话号码联系银行。
防范网络钓鱼时，有哪些常见错误？
最常见的错误是回复可疑消息来核实真伪，这等于让攻击者自己确认。其他错误包括：相信显示名称或来电显示；依靠拼写错误来识别诈骗；点击退订链接；读出一次性验证码；以及出错后因为尴尬而不报告。
这节课在 Tosheo.ai 中属于哪一部分？
本课属于网络安全分类和网络安全课程。在 Tosheo.ai 中，练习任务会给你一组虚构消息，要求你指出每条消息使用的手法、写出核实步骤并起草一份报告，评分标准会显示你漏掉了哪些警示信号。这是面向员工和管理者的安全意识培训，不是技术性的电子邮件安全课程。
来源与范围
NCSC：如何识别诈骗邮件、短信或电话（核查日期：19 October 2026） ↗
NCSC：举报诈骗邮件（核查日期：19 October 2026） ↗