Pistachio 247万次钓鱼模拟：点击率掩盖凭据泄露风险

资讯专家

Pistachio 公布了一项覆盖 247 万次模拟钓鱼攻击的研究，结论很直接：只用点击率衡量安全意识培训效果，会低估真实钓鱼风险。企业应同时跟踪点击、凭据泄露和上报三类行为。

研究背景与规模

Pistachio 是一家 2019 年成立于挪威奥斯陆的自动化人员风险管理与安全意识培训公司，在伦敦和瓦伦西亚设有办公室。2025 年 6 月 1 日至 2026 年 5 月 31 日，该公司向 1200 多个组织、超过 123000 名员工发送了 247 万次模拟钓鱼攻击，并分析了点击、凭据泄露和上报三类用户行为。

模拟攻击通过其自有的 AI 驱动培训平台投递，渠道包括电子邮件和 Teams。邮件内容和难度根据收件人在公司中的角色，以及其在以往模拟钓鱼中的响应方式动态调整。

主要发现

• 30.27% 的技术开发员工和 28.53% 的 IT 员工至少点击过一次模拟钓鱼邮件。技术团队并不天然低风险。
  
• 近 20% 的建筑与房地产行业员工在钓鱼成功后泄露了凭据。
  
• 同一套测试在不同团队中的结果差异明显：至少点击一次的比例从设计部门的 26.35% 到建筑行业的 41.31% 不等。
  
• 金融服务行业在点击率、凭据泄露率和上报率三项指标上均优于其他行业。
  
• 在首次模拟中，上报可疑邮件的用户多于点击的用户，但仍有 1.57% 的用户泄露凭据。按此比例，一家 500 人的公司可能有约 8 人会交出登录凭据。
  

为什么不能只看点击率

报告强调，模拟钓鱼测试需要从关注用户点击转向关注用户响应。单纯点击一次链接只是浪费员工时间，并不构成重大钓鱼风险；真正产生风险的是用户提交凭据或其他被索取的信息。这也意味着，如果内部钓鱼测试只统计点击，可能让组织对自身真实的抗钓鱼能力产生误判。

报告原文指出：“点击率，这个大多数钓鱼项目用来评判效果的指标，只是图景的一部分。更强的改进指标必须超越点击率，观察点击、泄露和上报行为如何随时间共同变化。”

Pistachio 首席执行官兼联合创始人 Joe Jones 进一步解释：“低点击率可能制造虚假的安全感。点击钓鱼链接只是员工行为链条中的一刻，单看它几乎无法说明某个人或整个组织是否真的变得更有韧性。更重要的是接下来发生什么：员工是否交出凭据，是否识别出攻击并停止操作，还是上报给团队让更大范围的业务可以采取行动？”

持续培训与行为变化

报告认为，抗钓鱼能力应体现为更少的点击、更少的凭据泄露，以及更多的上报。在该项目为期 12 个月的周期结束时，用户上报可疑邮件的频率接近其点击频率的两倍，说明有效且持续的安全意识项目可以培养警觉性，而不只是压低点击数字。

但培训不能只靠一次模拟攻击发送。在 Pistachio 的测试中，点击率和凭据泄露率在项目前六个月持续上升，之后才开始下降。这意味着安全意识项目需要长期运营，短期测试数据并不足以反映真实趋势。

地理维度缺失

值得注意的是，Pistachio 的研究规模说明其覆盖范围具有跨国性质，但报告没有做地理分析。原文作者对此表示失望：分析虽然呈现了行业和团队之间的差异，却没有区分地理位置。目前没有普遍证据表明不同全球区域的钓鱼易感性存在优劣，但这项研究本可以验证或否定这一点。在最坏情况下，这类数据或许能帮助判断跨国组织是否需要为特定地点提供额外培训。

整体来看，这份报告适合在制定任何钓鱼模拟测试之前参考，无论是内部自建还是采购第三方服务。

热心网友1

看完最大的感受是，钓鱼演练的考核指标确实该从“点击率”往“点击、凭据泄露、上报”三项一起看。点击链接本身未必是重大风险，真正让风险落地的是把账号密码交出去。首次模拟里上报的人比点击的人还多，但仍有 1.57% 泄露凭据，500 人公司约 8 人交登录信息，这个数字比单纯点击率更有说服力。 另一个值得注意的点是技术团队并不天然低风险，技术开发 30.27%、IT 28.53% 至少点过一次。行业差异也很明显，建筑与房地产点击和泄露都偏高，金融服务三项指标都更好。这说明按部门、行业拆开看很有必要，不能让全公司平均数掩盖高风险群体。 落地时我会倾向于把指标拆成点击率、凭据提交率、上报率，并且看 6 到 12 个月的趋势。报告里提到前六个月点击和泄露还持续上升，之后才下降，单次测试或短期数据很容易误判。演练难度按角色和历史响应动态调整也很关键，不然不同团队的数据可比性会受影响。地理维度没做确实可惜，跨国组织自己复盘时可以补上这一块。

热心网友4

感谢分享，这个结论确实挺有参考价值。平时一说钓鱼演练，大家最容易盯点击率，但真正要命的是有没有人把凭据交出去。500人公司可能有约8人泄露登录凭据，这个换算很直观，也说明光看点击会低估风险。技术开发和IT也并不天然低风险，不同团队从设计部门到建筑行业差异那么大，说明培训还是得结合角色和实际行为来调。最有启发的是不能只靠一次模拟，前六个月点击和泄露还上升，之后才下降，安全意识确实需要长期运营。以后内部评估最好把点击、泄露、上报三个指标放一起看，不然很容易有虚假安全感。地理维度没做分析是有点可惜，跨国组织可能挺需要这类参考。

热心网友6

这个研究挺有参考价值。最值得记住的是，钓鱼演练不能只盯点击率，点击只是行为链中的一环，真正要跟的是有没有交凭据、有没有停止操作、有没有上报。只压点击数字，很容易让组织产生虚假的安全感。 技术开发和 IT 员工点击率也不低，说明技术岗位不等于天然抗钓鱼，培训覆盖不能跳过他们。建筑与房地产的凭据泄露接近 20%，而不同团队点击率从设计部门到建筑行业差距明显，说明培训内容和模拟难度还是得结合岗位与行业来设计。 首次模拟里上报人数多于点击，但仍有 1.57% 泄露凭据，按 500 人公司算约 8 人交出登录凭据，这个换算很直观。另外点击率和泄露率在前六个月持续上升、之后才下降，也说明安全意识项目要长期运营，短期数据很难反映真实趋势。金融行业三项指标都优于其他行业，值得研究其做法，但不能简单照搬。 地理维度缺失确实遗憾，跨国组织自己做演练时可以考虑补上地区分析。整体来看，这份报告适合在制定钓鱼模拟测试前作为指标框架参考。