社会工程

钓鱼与社会工程

点击率是错的指标。总会有人点，而公布一份谁点了的排行榜，只会教会员工把这件事藏起来。真正能预测一起真实事件走向的数字，是第一个人上报这封邮件用了多久，以及他上报之后有没有事情发生。

看上报，不看点击

我们向您提供汇总数字，不会交出谁点了的名单。这是刻意设下的约束，并且只在「更注重隐私」的方向上可商量，反向不可。理由是务实而非清高：一次产出处分名单的演练，造就的是一支会把下一封真钓鱼邮件藏起来的队伍 - 而那恰恰是您想避免的失效模式。

我们确实精确度量的，是上报这条链路。多久出现第一份上报、经由哪个渠道、之后又发生了什么。一家四成人点击、但第一份上报在九十秒内抵达并触发响应的机构，其处境远好过一家只有百分之五点击、却没人告诉任何人的机构。

由能够代表受测人员作出授权的人签署的书面授权、一份明确的目标名单、一份明确的排除名单，以及一个划定的时间窗口。不使用冒充真实具名员工、监管机构、医疗机构，或触及真实个人紧急情况的任何话术。除「确有凭据被提交」这一事实外，不收集任何凭据内容；我们只记录它发生过，不记录它是什么。

话术的质量，决定了一次演练是能教会些什么，还是人人一眼识破。我们用关于贵机构真正可被发现的信息来构建话术 - 与攻击者会用的公开来源完全相同；而当可被发现的面比您预想的更大时，这本身就已经是一项发现。这项工作的背后，是关于钓鱼手法与可信基础设施滥用的已发表研究。

不会，这是刻意为之。您拿到的是汇总比率，以及对上报链路的详细刻画。点名到个人，必然会造就一支把下一封真钓鱼邮件藏起来的队伍，其代价高于这次演练所能带来的收益。

用关于贵机构公开可查信息构建的逼真话术。绝不冒充真实具名员工、监管机构、医疗服务方，或个人紧急情况。这些边界会在任何邮件发出之前写进交战规则。

我们只记录有凭据被提交这件事，不存储凭据本身。如果目标是意识提升，落地页也可以配置为完全不含凭据输入框。

在相关司法辖区合法、并取得书面授权的前提下，语音话术可以纳入范围。物理闯入不属于本项目。

逐案确定，依目标名单规模、话术数量与时间窗口长度而定。

通话三十分钟，24 小时内给出书面固定价格；如果这并不是您需要的项目，也会直说。