c't 播客：安全心理学家 Angela Sasse 谈“用户不是敌人

攻击者既不需要深度伪造，也不需要人工智能。一通荷兰语电话就足够了：2026年初，一名冒充IT同事的人让移动运营商Odido呼叫中心的一名女员工登录了一个仿冒的登录页面——包括第二因素。据该公司称，最终有超过六百万客户的数据被泄露。此次攻击被怀疑是犯罪团伙ShinyHunters所为。荷兰警方后来在电视上播放了来电者的声音。

广告后继续阅读

在c't播客“They Talk Tech”中，Angela Sasse与Svea Eckert和Eva Wolfangel交谈时表示，把这类事件归咎于人为失误，未免过于简单。这位心理学家兼计算机科学博士在伦敦大学学院研究了近30年，自2018年起担任波鸿鲁尔大学以人为中心的安全学教授。1999年，她与Anne Adams共同发表了论文《用户不是敌人》，至今仍是该领域被引用最多的文章之一。她在文中研究了人们为何常常忽视IT安全，例如使用易于猜测的密码，而不是复杂的字母数字字符串。

高昂成本、恼火的员工、毫无安全

“当时就已经清楚，计算机科学的经典安全措施行不通，因为它们没有针对人进行设计，”Sasse说。许多IT安全专家没有从中得出合乎逻辑的结论、开发人们也能很好执行的安全机制，而是把用户视为问题所在。

直到今天，Sasse仍在研究企业员工如何应对安全要求——无论是密码，还是当前流行的意识培训和测试钓鱼邮件。结果是：这些规则超出了人类记忆的能力，它们被绕过，并耗费大量工作时间。“于是就产生了高昂成本、不满的用户，却毫无安全，”Sasse总结道。只不过：这些成本往往不被看到。Angela Sasse最简单的指导原则自此便是：谁制定了一条安全规则，就必须确定谁需要花费多少时间来遵守它。“据估计，直到今天，90%的企业都没有这样做。”

推荐编辑内容

经您同意，此处将加载一个外部播客（Podigee GmbH）。

我同意向我显示外部内容。由此可能会将个人数据传输给第三方平台（Podigee GmbH）。更多信息请见我们的隐私政策。

她认为密码是20世纪60年代的遗物，当时只有少数专家能访问计算机。如今许多人拥有数百个账户。Sasse认为Passkeys是过去几年的一大进步：不再使用密码，而是交换加密密钥，这些密钥无法在伪造的登录页面上被窃取。

意识培训的商业模式

广告后继续阅读

但她警告说，当然会出现新问题，而人们却用同样的思维方式去应对。例如钓鱼邮件，它们不仅越来越精良，而且越来越频繁地成为网络攻击的基础。“第一反应总是：‘那我们就给员工更多培训’，”Sasse说。但这会导致与密码相同的问题和挑战。因为在日常邮件量中，对每一条消息都进行批判性审查是一项不可能完成的任务。“如果我们这样做，就没法工作了，”她说。

而其中许多问题其实可以通过技术手段解决：例如，利用加密方法可以对电子邮件进行分类，使只有那些确实来自其声称发件人的邮件才进入收件箱。这样，就只需全神贯注地检查少数未经验证的消息。Sasse将这类解决方案很少被采用，也归因于意识培训提供商的商业模式：至少短期内，培训比技术措施更便宜，因此企业负责人相信了这样的承诺：受过培训的员工能够阻止网络攻击。但这行不通。“我们之所以如此易受攻击，是因为我们忽视技术措施，”Sasse解释道。“最终，意识培训要昂贵得多。”不仅因为它让人无法工作，还因为在日常工作生活中，要可靠识别每一封钓鱼邮件根本不可能。

Sasse忧心忡忡地关注着软件开发中的人工智能。“如果企业现在认为可以省掉一半的开发人员，这会加剧现有问题，”她警告说。因为AI生成的代码包含外行无法识别的安全漏洞。AI也有助于发现安全漏洞，但这并不能抵消上述问题。“发现漏洞很简单。修补漏洞则要费事得多。”

“They Talk Tech”每周三在所有播客平台上发布。Svea Eckert和Eva Wolfangel讨论一个科技话题，或采访科技界及周边的鼓舞人心的女性。

(mond)