告诉用户“避免点击不良链接”仍然没用？英国国家网络安全中心告诉你为什么
2025年3月13日，英国国家网络安全中心（NCSC）发布了一篇博文，毫不留情地指出长期以来我们奉行的“教育用户避免点击不良链接”的安全策略，其实效果甚微，甚至可以说根本没用。
这可不是危言耸听。NCSC作为英国权威的网络安全机构，其结论基于大量的安全数据分析和用户行为研究。这意味着，即使你一遍又一遍地提醒你的员工、家人朋友“千万别点可疑链接！”，最终还是会有人不小心或疏忽地踩中陷阱。
那么，为什么这个看似理所当然的安全建议会失效呢？NCSC在博文中给出了几点关键原因：
1. 网络钓鱼技术日益精湛：
- 以假乱真，难辨真伪： 如今的网络钓鱼邮件或信息越来越逼真，它们不仅能模仿真实的品牌标识和通信风格，还会巧妙地伪装成紧急通知、账单支付、优惠活动等，让人防不胜防。
- 个性化定制，精准打击： 攻击者不再是漫天撒网，而是通过收集用户的个人信息，进行定制化的攻击。这意味着他们会利用你的个人爱好、工作信息、甚至家庭关系，来引诱你点击链接。
2. 人性弱点难以克服：
- 好奇心驱使： “看看这个你绝对没见过的视频！”、“看看谁在背后议论你！” 这些诱人的标题往往能抓住人的好奇心，即使你知道可能存在风险，仍然忍不住点击。
- 时间压力下的疏忽： 在工作繁忙、时间紧迫的情况下，人们更容易疏忽大意，快速浏览邮件，而忽略了其中的可疑之处。
- 权威效应： 伪装成银行、政府机构或公司高管的诈骗邮件，利用人们对权威的信任，更容易让人上当受骗。
3. 安全意识与实际行动的脱节：
- 理解但不执行： 很多人都知道点击不明链接存在风险，但在实际操作中却难以应用这些知识。他们可能无法分辨真假链接，或者在紧急情况下忘记了应有的防范措施。
- 过于自信： 很多人认为自己“阅历丰富”，能识别出大部分的诈骗信息，因此放松了警惕。
那么，既然“教育用户”这条路行不通，我们应该怎么办？ NCSC给出了以下几个建议，将关注点从“教育用户”转移到“技术防御”：
1. 强化技术防御：
- 部署多层安全防护： 部署防火墙、入侵检测系统、反病毒软件、邮件安全网关等，构建多层次的安全防御体系，降低攻击成功的概率。
- 邮件安全解决方案： 采用能够有效过滤垃圾邮件、识别恶意链接和附件的邮件安全解决方案，将钓鱼邮件扼杀在摇篮之中。
- 启用多因素认证（MFA）： 为关键账户启用多因素认证，即使密码泄露，也能有效阻止攻击者访问。
2. 减少点击链接的需求：
- 验证渠道多样化： 避免完全依赖邮件或短信中的链接进行身份验证。例如，可以在网站上提供独立入口，让用户手动输入验证码或进行其他验证操作。
- 鼓励直接访问： 鼓励用户直接访问银行、购物网站等常用网站，而不是点击邮件中的链接。
3. 加强安全事件响应：
- 建立完善的事件响应流程： 制定明确的安全事件响应流程，包括事件报告、分析、处理和恢复等环节。
- 定期进行安全演练： 通过模拟钓鱼攻击等方式，检验员工的安全意识和响应能力，并及时改进安全措施。
- 快速响应，及时止损： 一旦发现安全事件，应立即采取行动，隔离受影响的系统，防止损失扩大。
4. 重新审视用户安全教育：
- 以人为本，注重实效： 安全教育不应该只停留在口头宣传，而应该结合实际案例，提供实用的安全技巧，并进行定期的安全演练。
- 持续改进，更新内容： 网络安全威胁 constantly evolving，安全教育的内容也需要不断更新，以应对最新的攻击手段。
- 营造安全文化： 建立一种鼓励员工报告安全问题、积极参与安全活动的组织文化，让安全意识渗透到组织的每一个角落。
总结：
NCSC的这份报告给我们敲响了警钟：不要指望用户能永远不犯错，而是要通过技术手段，最大限度地降低风险。与其花费大量精力教育用户，不如将资源投入到更有效的技术防御措施上。只有双管齐下，才能真正提高网络安全水平。
这不仅仅适用于企业，对于个人用户而言，也应该重新审视自己的安全习惯，不要盲目自信，加强安全意识，并采取必要的安全措施，才能更好地保护自己的网络安全。
人工智能提供了新闻。
以下问题用于从 Google Gemini 生成答案：
2025-03-13 11:22，’告诉用户“避免点击不良链接”仍然无法正常工作’ 根据 UK National Cyber Security Centre 发布。请撰写一篇详细的文章，包含相关信息，并以易于理解的方式呈现。
40