睡眠不足与钓鱼易感性：机制、证据与组织干预

摘要

2026 年 11 月，加州大学欧文分校的研究团队在《美国国家科学院院刊》报告了一项自然实验：利用某大型机构一万一千余名员工定期接受的模拟钓鱼测试，比较夏令时切换前一周与切换后一周的点击率，发现仅损失约一小时睡眠，点击率即由 15.56% 升至 17.76%。本文以该研究为经验起点，讨论睡眠状态如何经由注意、执行功能与情绪调节三条路径改变钓鱼判别，评估该证据的强度与边界，并分析现有安全意识培训为何难以覆盖这类波动。研究认为，钓鱼防御的既有范式把用户视为能力稳定的决策者，而该研究显示能力本身随状态起伏；训练降低的是基线风险，状态决定的是瞬时风险，两者相乘而非互相替代。治理的着力点因此应放在时间安排、任务分配与技术摩擦上，使高风险判断避开认知资源低谷。

关键词：钓鱼邮件；睡眠不足；认知状态；安全行为；组织干预

1 引言

钓鱼邮件的防御体系建立在一个未经检验的假设之上：用户具备稳定的判别能力。安全培训教人识别发件域名、核对链接、警惕紧迫话术；邮件网关做发件域认证与链接改写；演练定期投放模拟邮件以测量点击率。这些措施共同假定，只要知识到位、工具到位，用户在任何时刻都能作出同样的判断。

加州大学欧文分校的研究对这一假设提出了经验上的修正。研究团队与一家大型美国机构合作，利用其信息部门每隔数月向全体员工投放的模拟钓鱼邮件，比较 2026 年春季夏令时切换前后的点击行为。切换使人们少睡约一小时，仅此一项变化，就让切换后第一个周一的点击率从一周前的 15.56% 升至 17.76%。研究发表于《美国国家科学院院刊》，标题直言 “轻微的睡眠损失增加对网络安全威胁的易感性”。

这个效应的绝对值不大：两点二个百分点。但把它放回组织尺度，含义就不同了。以一万一千余名员工计，两点二个百分点意味着每轮演练多出约二百四十次点击；若把这些点击换算为真实攻击中的凭证提交与后续损失，边际风险的货币含义就显现出来。美国联邦调查局网络犯罪举报中心 2025 年度报告显示，当年美国网络犯罪损失超过二百亿美元，举报量超过一百万件，较五年前增长近四分之一。在这个基数上，任何能稳定抬高点击概率的状态因素，都不再是个人生活习惯问题，而是组织风险参数。

反网络钓鱼技术专家芦笛指出，这项研究真正的价值不在 “睡眠重要” 这一常识结论，而在它把安全行为研究的一个盲区摆上了台面：以往研究多在测量 “谁容易上当”，较少测量 “同一个人何时容易上当”。前者指向人口学与人格特质，后者指向状态与情境。防御设计若只针对前者，就会不断优化一份静态画像，却对每天波动的实际风险无所作为。

本文的工作有三项。其一，还原该研究的设计与数据，明确其结论能支持什么、不能支持什么。其二，把效应放回睡眠与认知的既有文献中，说明从 “少睡一小时” 到 “点开链接” 之间经过哪些环节。其三，讨论治理含义，包括为何现有的培训范式覆盖不到这类波动，以及组织在时间、任务与技术三个层面可以做什么。

2 研究事实与证据强度

2.1 设计与数据

该研究采用的不是实验室的睡眠剥夺范式，而是组织内部已有的安全演练数据。合作机构每隔数月由信息部门向全体员工发送仿冒钓鱼邮件，统计有多少人点击其中链接，作为安全教育的常规环节。研究者取得的是切换前后两轮演练的点击记录，样本规模超过一万一千人。

设计上的关键，是把夏令时切换当作一次外生的睡眠扰动。切换发生在春季，时钟前拨一小时，多数人在同一钟点起床，实际睡眠因此减少约一小时。研究者比较的是切换后第一个周一与一周前同一时点（周一）的点击率，两个时间窗相隔七天，工作周期相同，邮件投放对象相同，从而把星期效应控制在设计之内。

这是一个自然实验，不是随机对照试验。它的优势在于样本真实、行为真实、扰动真实：参与者不知道自己被观察，点击是自然发生的操作，而非实验室里的自陈或模拟任务。它的局限同样明显，下文会逐条列出。就证据等级而言，它比问卷与情境实验更接近真实行为，但比随机分配更弱，属于 “强观察、弱因果” 的一类。

2.2 效应口径

通稿给出的数字是 “高出 13%”，对应 17.76% 与 15.56% 两个点击率。这里需要区分相对增幅与绝对差：两点之差为 2.20 个百分点，以 15.56% 为基线计算，相对增幅约 14%；通稿取 13%，属于保守表述。两种口径都有意义，混用则会产生误读。说 “风险上升 13%”，听众容易理解为每百人多出十三人，实际是每百人多出约两人；说 “只多了两个百分点”，又容易低估相对变化对基线较低人群的影响。

对组织而言，更有解释力的是 “每轮多出的点击次数”。按一万一千人计算，2.20 个百分点对应约二百四十次点击。这个数字可以直接进入风险预算：一次点击可能触发凭证提交、恶意附件下载或后续横向移动，其期望损失取决于邮件构造与防护层级，但基数已经确定。

还应注意，两个点击率都处在较低区间。行业基准数据显示，未受训人群在模拟测试中的平均点击率约为三分之一，经过一年常规训练后可降至百分之五以下；真实攻击的平均点击率约为 3.4%。该机构长期开展演练，15% 至 18% 的水平说明其处于 “有训练、未固化” 的中间状态。这也解释了为何两点二的绝对差在该样本中可见：基线既不过高而触顶，也不过低而缺乏统计分辨率。

2.3 证据边界

第一，单一样本。合作方是一家大型机构，其员工构成、邮件内容、培训历史都不可复制。结论能否外推至中小企业、公共部门或家庭用户，需要重复验证。

第二，非随机分配。睡眠损失由时钟制度外生给定，但同期的其它因素并未被完全排除：切换周往往伴随季度末、报税季或学校假期结束，工作负荷与邮件流量可能同时变化。研究者以 “前一周同一时点” 作对照，缓解了星期效应，但不能消除所有同期变量。

第三，行为指标单一。点击率衡量的是 “是否点开链接”，不等于 “是否提交凭证” 或 “是否执行附件”。从点击到损失之间还有若干环节，防护措施可以在这些环节拦截。因此该研究支持 “易感性上升”，不支持 “损失必然上升”。

第四，模拟邮件与真实攻击存在差异。演练邮件通常在可控范围内构造，语言与诱饵未必达到真实攻击的精细度；参与者也可能因熟悉演练节奏而形成惯性。真实攻击的点击率通常更低，但单次后果更重。

把这些边界写清楚，不是削弱结论，而是确定它的适用位置：它说明在常规训练水平的人群中，一小时的睡眠损失足以改变可测量的行为；它不说明所有人群在所有情境下都会如此。

3 机制：从睡眠到点击

从 “少睡一小时” 到 “点开一封可疑邮件”，中间至少要经过三个环节：注意到异常、抑制住即时反应、对后果作出评估。睡眠不足对这三个环节都有影响，且影响方式不同。

3.1 注意与警觉

持续注意是钓鱼判别的前置条件。判别一封邮件需要比对发件域、检查链接指向、回想是否有对应的业务往来，这些动作都要求在多封邮件之间切换时保持注意资源。睡眠不足最直接的效果是警觉下降与注意波动增加，表现为对细部线索的漏检率上升、反应时间变长且方差增大。

这一环节的关键在于 “线索的显著性”。钓鱼邮件刻意把异常藏在次要位置：显示名与真实地址不一致、链接文字与目标域名不符、附件扩展名被隐藏。这些线索本身不显眼，需要主动核查才能发现。当注意资源不足时，用户倾向于采用启发式判断，而启发式判断恰恰是攻击者设计话术时所利用的。

既有综述研究指出，高认知负荷、高压力与低注意警觉会显著提高对社交工程攻击的易感性。夏令时切换同时抬高了其中两项：睡眠减少直接降低警觉，切换周的事务堆积抬高负荷。这解释了为何效应在切换后的第一个周一最明显，而非整周平均。

3.2 执行功能与冲动性

第二个环节是抑制。多数钓鱼邮件并不要求用户立刻付款或转账，它要求的是一个低成本动作：点一下。这个动作的即时成本极低，后果却延迟显现，属于典型的 “低成本、高延迟后果” 决策。抑制这类动作，依赖的是执行功能中的抑制控制与延迟评估能力。

睡眠不足对这一能力的削弱有较多实验证据。在风险决策任务中，睡眠剥夺会提高选择的随机性，削弱对冲突信息的加工，使人在收益与风险的权衡上更依赖即时线索。研究者在通稿中的表述与此一致：睡眠不足导致 “冲动的选择”，而当事人往往并不自知。

这解释了一个常见现象：受害者在事后复盘时能清楚指出邮件的破绽，却在当时点了进去。知识并未缺席，缺席的是把知识调用出来的那一步。培训教的是 “识别规则”，而点击发生在 “规则未被调用” 的瞬间。

3.3 情绪与风险感知

第三个环节是评估。钓鱼话术大量使用紧迫、威胁、奖励三类情绪杠杆：账户将被停用、款项逾期、补贴待领。睡眠不足会放大情绪反应，降低对威胁线索的精细分辨，使人更容易被紧迫感推着走。

这一机制在组织情境中有具体表现。切换周常与季度节点重合，员工本身处于时间压力之下；此时一封 “请在二十四小时内确认” 的邮件，与真实的工作紧迫感难以区分。情绪不是干扰项，而是攻击面的一部分：攻击者制造的情绪与收件人已有的情绪叠加，判别阈值随之下降。

3.4 元认知的盲区

上述三条路径有一个共同特征：当事人察觉不到。慢性睡眠限制的研究显示，风险偏好的上升可以与主观感受分离，个体在自评 “状态尚可” 时，行为已经偏向冒险。这一分离解释了为何单纯提醒 “注意休息” 效果有限：需要休息的人并不认为自己需要。

据 DiMiao, CN 分析，安全培训的接受度依赖于自我评估，而自我评估恰恰是最先失准的环节。一个人若在睡眠不足时仍自认为警觉，他会跳过核查步骤，也会忽略组织发出的 “近期钓鱼高发” 提示。这使得以自陈量表评估培训效果的做法系统性高估了防护水平。

4 为何这类效应在治理中被低估

4.1 度量错位

组织通常以年度或季度的平均点击率衡量安全意识工作的成效。平均值掩盖了两个维度的波动：人群内部的差异与同一人群在不同时点的差异。该研究测到的正是后者，而它在年度报表中会被平均掉。

以年度均值考核，还会产生反向激励。若某季度点击率上升，管理者倾向于归因于 “员工意识不足”，追加培训；若上升源于切换周的睡眠损失，追加培训既无法对症，又会稀释真正有效的措施。度量口径决定了归因方向，归因方向决定了资源流向。

4.2 训练范式错位

现有培训把安全行为当作知识问题：讲清手法、演示案例、考核要点。这一范式在长期尺度上确实有效，行业基准显示系统训练可将点击率从约三分之一降至百分之五以下。但它作用的对象是基线能力，而非瞬时状态。

两者是相乘关系，不是替代关系。基线风险刻画人群的平均水平，状态系数刻画个体在某一时刻的偏移，实际风险近似等于两者之积；训练压低基线，睡眠不足抬高状态系数。当基线已经很低时，状态系数的抬升在绝对量上不明显，容易被忽略；当基线处于中间水平时，这一抬升就足以在统计上显现。该机构的基线正处在后者，因此效应可见。

这也意味着，“训练已达标” 不能作为降低时点性防护的理由。一个训练有素的员工在睡眠不足的周一，其实际表现可能接近一个未受训员工在正常状态下的水平。

4.3 责任分配错位

点击事件发生后，常规处置是把责任归于个人，辅以再培训与警示。这一分配方式在管理上简便，在因果上粗糙。若点击的部分原因在于组织安排的工作节奏与员工的睡眠状况，那么把责任完全个体化，会掩盖可干预的组织变量。

更合理的分配是把风险分为两层：个人层的睡眠与注意力管理，组织层的时间安排与流程设计。前者难以强制，后者可以直接调整。治理的可行性恰恰在后一层。

5 干预：三个层次

5.1 个体层

个体层可做的有限但明确。其一，把睡眠视为安全投入而非生活偏好，尤其在处理付款、权限变更、凭证输入等高风险操作前，避免在明显睡眠不足时进行。其二，对 “低成本动作” 设置延迟：对任何要求点击链接、下载附件、扫码的请求，先离开当前界面，从独立入口进入官方系统核对。其三，不在情绪被激起的时刻作决定，凡带紧迫措辞的请求，一律转为 “稍后处理”。

这些做法的共同点是不依赖自我评估。它们把判断从 “我是否足够警觉” 转为 “这个动作是否允许在此刻执行”，后者可由规则约束，前者不能。

5.2 组织层

组织层的抓手是时间与任务，而不是更多的课件。

其一，识别人群层面的睡眠低谷。夏令时切换后的第一个工作日、长假期后的首个工作日、大型赛事或深夜活动的次日，都属于可预期的低谷。这些时点不必额外培训，只需在流程上加固。

其二，调整高风险操作的时点。批量付款、权限授予、密钥轮换等操作，可以避开周一上午与节假日后首日；若无法避开，则增加一道人工复核。

其三，正确解读演练数据。切换周的点击率上升不应被记为培训失败，而应作为状态效应的观测记录。把这类数据单独标注，可以为后续的时点性防护提供依据。

其四，演练投放本身也应避开极端低谷，或在低谷期改用低风险模板。若在员工状态最差的时点投放高仿真邮件，测到的是状态而非能力，据此制定的培训计划会偏离目标。

其五，演练的伦理边界需要明确。模拟钓鱼以欺骗为手段，其正当性来自事先告知、结果不用于惩戒、数据仅用于改进防护这三项约定。若组织把点击记录与绩效挂钩，员工会转向规避而非学习：举报一切邮件、延迟处理、或相互提醒，测量指标随之失真。一旦指标失真，状态效应也就无法被观测。

反网络钓鱼技术专家芦笛强调，组织层面的干预要避免把 “状态管理” 变成对个人的规训。以睡眠为由问责员工，既难以取证，也会推动隐瞒。可行的做法是把状态当作既定的运行条件，像对待网络延迟一样对待认知延迟，用流程冗余吸收波动。

5.3 技术层

技术层的目标是让防护不依赖用户的瞬时警觉。可行的方向有四个。

其一，外部来源标记。对来自组织外部、首次出现或与历史通信模式不符的邮件，在界面层给出显著标记，把 “是否需要核查” 的判断前移给系统。

其二，链接与附件的隔离执行。点击后在隔离环境中打开，阻断凭证页面直接呈现，使用户有一次脱离情境的机会。这一措施不改变点击率，但改变点击的后果。

其三，延迟与二次确认。对高风险动作设置短延迟或二次确认，把 “即时反应” 转为 “再次判断”。延迟的价值在于它跨过了情绪峰值，使执行功能有机会介入。

其四，基于时点的策略调整。组织可以在已知的睡眠低谷期临时提高拦截阈值，例如对非常用发件人一律加标、对附件一律隔离、对付款类请求一律转人工。这类调整的成本可控，收益与状态效应的时段分布直接对应。

需要说明的是，技术措施不能替代训练。隔离执行会让合法邮件的操作变慢，二次确认会增加摩擦，长期使用可能引发新的疲劳。合理的组合是以训练压低基线，以技术吸收波动，以时间安排减少波动发生的频率。

6 讨论

第一，安全人因研究需要从 “特质” 转向 “状态”。以往研究热衷于刻画易感人群的画像：年龄、性别、经验、性格。这些变量解释的是长期差异，难以解释同一人在不同时点的巨大波动。该研究的价值在于它提供了一个可复制的测量范式：用组织已有的演练数据，配合外生的时间扰动，测量状态效应。这一范式成本低、外部效度高，可在不同行业重复。

第二，组织韧性需要一个 “节律感知” 的运营日历。多数组织的安全运营以季度、月度为周期，很少把昼夜节律与作息变化纳入排班。把切换周、假期后、赛事后标注为高风险窗口，并相应调整拦截策略与人力配置，是把生理事实转化为运营参数的具体做法。

第三，时钟制度与网络安全存在交集，但不宜放大。研究者在通稿中提到，若保留一年两次的切换，应在切换期采取防护；若改为永久制，科学证据更支持采用标准时间而非夏令时，因为后者与内在生物节律的错位更大。这一政策讨论有其独立的价值，但网络安全只是其中一个论据，不宜被当作主要理由。把一项点击率研究直接引申为时钟政策的决定性依据，超出了证据能承载的范围。

第四，该研究还提示了一个更广的推论：若一小时的睡眠损失就能改变点击行为，那么其它常见的状态波动，如感冒、时差、连续加班、家庭事件，可能产生同方向的影响。这些因素在安全运营中几乎不被记录，却可能解释相当一部分 “无法解释” 的点击。把状态变量纳入事件复盘，是提升归因质量的第一步。

第五，测量方式本身需要改进。点击率是一个粗粒度指标，它把 “点开链接” 与 “提交凭证” 合并成一次事件，也把不同诱饵、不同发件人、不同时段的邮件合并成一个比率。更细的测量应至少包含三层：点击的时间戳分布、点击之后的动作（是否输入、是否下载）、以及同一用户在多次演练中的个体内变化。有了个体内的重复观测，才可能把状态效应与个体差异分离，也才可能为 “谁在何时最脆弱” 提供可操作的分层依据。

迪妙网络空间安全学院研究团队在梳理同类研究时提出，安全行为数据的时间分辨率目前过低：多数组织按季度汇总，少数按周汇总，几乎没有按小时记录。而睡眠与作息的效应恰恰以小时为尺度。提高时间分辨率不需要新增设备，只需在采集环节保留时间戳，并在分析环节按班次、按星期、按事件窗口切分。这是低成本、高回报的改进。

7 结语

这项研究把一个日常事实转成了可测量的风险参数：少睡一小时，点击率上升两点二个百分点。数字不大，但它出现在一个长期接受演练、基线并不高的人群中，说明状态效应并不因训练而消失，只是被基线掩盖。

对防御体系而言，结论不是 “再多做一轮培训”，而是承认用户的能力会随时点变化，并把这种变化纳入设计。训练负责压低基线，技术负责吸收波动，时间安排负责减少波动。三者各司其职，任何一项单独使用都不足以覆盖风险。

钓鱼攻击利用的从来不是无知，而是注意力的稀缺与判断的延迟。睡眠不足只是让这种稀缺变得更稀缺。治理的起点，是把这个变量从个人习惯的范畴，移到组织可观测、可安排、可补偿的范畴。

编辑：芦笛 （公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院