社交工程演練怎麼做才有效：從「抓誰點了」到「多少人通報」

為什麼要做：台灣的規範要求什麼

上市櫃公司：證交所資通安全管控指引

證交所《上市上櫃公司資通安全管控指引》要求公司每年定期辦理電子郵件社交工程演練，對誤開啟信件或連結的人員進行教育訓練，並留存相關紀錄^[1]。指引也要求所有使用資訊系統的人員每年接受資訊安全宣導課程，負責資安的主管及人員每年接受專業課程訓練^[1]。證交所資通安全專區在 2026 年 11 月更新了指引與修正條文對照表（對照表日期為 2026 年 11 月 9 日），演練條文由第 30 條移為第 31 條，內容沒有修正^[1]。依指引附則，除法令及證交所、櫃買中心章則另有規定外，上市櫃公司可以衡量產業特性、規模大小及資安風險適度採行^[1]。

公務機關與特定非公務機關：資通安全管理法

《資通安全管理法》第 10 條要求公務機關及特定非公務機關配合主管機關的規劃辦理資通安全演練，演練內容由主管機關訂定^[2]。特定非公務機關指關鍵基礎設施提供者、公營事業、特定財團法人，以及受政府控制之事業、團體或機構^[2]。

《資通安全事件通報應變及演練辦法》原名《資通安全事件通報及應變辦法》，2026 年 1 月 5 日修正名稱及全文，自發布日施行^[3]。現行辦法規定，總統府、國家安全會議與五院的直屬機關，要為自身及所屬、所監督的公務機關辦理演練，直轄市、縣（市）政府也要為自身、所屬機關及所轄鄉（鎮、市）公所等辦理；內容至少包括每半年一次社交工程演練、每年一次資通安全事件通報及應變演練，完成後一個月內把執行情形及成果送交主管機關^[4]。特定非公務機關則要配合中央目的事業主管機關規劃或辦理的演練，項目可以包括社交工程演練；演練若有侵害該機關權利或正當利益之虞，須先取得其書面同意^[4]。特定非公務機關違反辦法中演練作業的規定，由中央目的事業主管機關令限期改正，屆期未改正者按次處新臺幣 10 萬元以上 500 萬元以下罰鍰^[2]。

《資通安全責任等級分級辦法》2026 年 1 月 7 日修正後的附表一至附表八，沒有把社交工程演練列為獨立的應辦事項；與人員有關的是教育訓練時數，例如 A 到 E 各級的一般使用者及主管，每人每年都要接受 3 小時以上的資通安全通識教育訓練^[5]。附表也允許中央目的事業主管機關另行訂定所管特定非公務機關的應辦事項^[5]，受管單位仍要向主管機關確認。法規全貌見資通安全管理法重點，通報及應變演練的做法見資安桌上演練。

規範要的是「有做、有紀錄、有後續」

上述條文要求的是定期辦理、留存紀錄，以及對點錯的人進行教育訓練，都沒有訂出點擊率必須低於多少^[1][4][5]。法遵決定了你一定要做；演練有沒有用，取決於你怎麼設計與衡量。即使公司不在上述範圍內，客戶稽核或驗證時也可能問到演練紀錄，同樣值得把它做成真正有用的東西。

只看點擊率，會看錯什麼

點擊率反映信的難度，不只反映人

NIST 指出，演練結果通常用點擊率（點了連結或附件的人數占收件人數）與通報率（向公司通報的人數占收件人數）衡量，但這兩個數字只是「多少人上鉤」的單一切面，沒有反映不同釣魚信本身的辨識難度^[6]。NIST 在 2020 年介紹 Phish Scale 的新聞稿中也提醒，點擊率低可能只是因為演練信太簡單、和收件者沒有切身關係，或和上一次演練太像；只看數字，容易產生虛假的安全感^[7]。

在 NIST 人本資安團隊主持、2026 年發表的一場專家座談中，研究者 Grant Ho 引用他的大規模研究：有受過訓練的人上鉤的機率，只比完全沒受訓的人低約 2%，而研究中的演練信能穩定讓多達 10% 到 30% 的員工上鉤，或至少點了連結^[8]。他也開玩笑說，想讓點擊率好看很簡單：第一個月寄一封很難的信、第二個月寄一封很簡單的，點擊率就「下降」了^[8]。

NIST Phish Scale：先評難度，再比較結果

NIST Phish Scale 是讓演練執行者評估「一封釣魚信對收件者來說有多難辨識」的方法，NIST 在 2023 年 11 月出版使用指南（NIST TN 2276）^[6]。它看兩件事：一是信中可以察覺的線索（cues），例如錯字、寄件者名稱與地址、連結網址、急迫或威脅的語氣，線索越少越難辨識；二是信件情境與收件者的契合度（premise alignment），由五個要素各給 0 到 8 分：是否模仿公司內部流程、與收件者工作的相關性、是否搭上當下的內外部事件、不點擊是否令人擔心後果，以及收件者是否受過針對性的訓練或警示^[6]。兩者合併後，把信件評為最不困難、中等困難或非常困難等等級^[6]。

評了難度，結果才有辦法比較：很難辨識的信點擊率高是可以預期的；反過來，若一封「最不困難」的信也有很多人點，才代表這群人需要調整或加強訓練^[6]。NIST 在指南中註明，這個方法學術用途可免費使用，商業用途須向 NIST 洽詢授權^[6]。

懲罰點擊的人，只會讓人不敢通報

英國國家網路安全中心（NCSC）的釣魚防護指引直說：沒有任何訓練（包括釣魚演練）能讓使用者識破每一封釣魚信；既然沒有人做得到，因為點了公司自己寄的信而受罰，就開始像是「誘捕」，所以辦演練前一定要先和人資部門確認^[9]。NCSC 也指出，責怪點擊的人沒有用：人會點擊有很多原因，可能是個性，也可能只是當下很忙、壓力很大，威脅處罰改變不了這些因素；演練還會侵蝕員工對資安團隊的信任，擔心丟工作的員工不會回報自己的錯誤^[9]。NIST SP 800-50 Rev. 1（2024 年 9 月）同樣建議，演練不應帶有懲罰性質，也不應點名任何員工的反應，並應事先告知員工公司會不定期演練、結果將用來規劃後續學習^[10]。

該看的指標：通報、時間與後續處置

NCSC 認為，指標反映組織重視什麼：如果看起來只在乎「沒有人回報問題」，就等於鼓勵大家對問題保持沉默；它建議把成功也納入指標，除了統計多少人點擊，更要看多少人通報^[9]。NIST SP 800-50 Rev. 1 建議的「行為改變」指標，也是以收到演練信後適當通報的人數來計算^[10]。實務上可以這樣設計：

• 通報率：收到演練信並透過正式管道通報的人數占收件人數。點擊之後才通報的也要算進來，並另外統計；NCSC 強調要讓使用者即使已經點了，也覺得可以站出來說^[9]。
• 第一次通報時間：從信件送達到第一個人通報、到多數通報進來，各花多久。NCSC 的案例中，一家約 4,000 名員工的金融業公司收到 1,800 封夾帶 Dridex 惡意程式變種的假發票郵件，1,750 封被郵件過濾擋下；進到信箱的 50 封中共有 25 封被通報（包括點擊後才通報的），這是公司第一次察覺攻擊突破了第一層防線^[9]。被點開的 14 封裡，13 次因為設備已更新而沒有成功執行，唯一被安裝的惡意程式在回連時被偵測並封鎖^[9]。
• 實際輸入帳密或啟用附件的比例：只點開連結，和在假登入頁送出密碼，風險差很多。把「點擊」「送出帳密」「開啟附件並啟用巨集」分開統計，才知道哪一關最需要補強。
• 重複點擊者：連續幾次都點擊的人，安排一對一說明與更多支援，而不是處罰。NCSC 建議對較容易成為目標的人員，例如面對客戶、收到大量陌生來信的部門，以及能存取機敏資料或管理財務與 IT 系統的人，提供額外支援^[9]。參與 NIST 座談的業界研究者也提醒，有些人的工作就是每天處理大量帶連結的外部郵件，與其處罰，不如加強這些職務的技術防護^[8]。
• IT 與 SOC 有沒有處理通報：真實的可疑郵件通報進來後，多久完成判斷、是否搜尋並移除其他人信箱裡的同類郵件、是否封鎖惡意網址，以及有沒有回覆通報者。NCSC 建議快速告訴通報者採取了什麼行動，讓他們知道通報有用^[9]。

通報變多，誤報也會變多。參與 NIST 座談的業界研究者認為這不是壞事：寧可多報，也不要員工自己判斷「這應該不是釣魚」就不告訴資安團隊；他也提到，通報工具難用，本身就會讓人難以通報^[8]。

演練怎麼設計

事前：說清楚規則，先過人資與法務

NCSC 建議辦演練前先和人資部門確認^[9]；NIST 則建議讓法務參與演練的設計與審查，避免在誘餌中使用真實品牌或點名政府機關，導致這些單位接到詢問信件或電話^[10]。在台灣，假冒物流業者、銀行或政府機關的演練信尤其要先確認。也要讓員工事先知道公司會不定期演練、結果只用於規劃訓練^[10]；NCSC 指出，「通報不會惹上麻煩」這個訊息需要人資、支援部門與高階主管一致支持^[9]。

難度分級，主題貼近公司

每封演練信先用 Phish Scale 評出難度，在報告中和結果一起呈現^[6]。難度要有高有低：太容易的信只會製造虛假的安全感^[7]；參與 NIST 座談的業界專家則認為，把所有線索都拿掉的信沒有教育價值^[8]。主題可以從 Phish Scale 的情境要素出發，挑選和收件者日常流程相關的內容^[6]，例如給財務部門的假發票與付款通知、物流到貨通知、人資或薪資公告、密碼到期或 MFA 驗證要求，以及要求掃描 QR Code 的通知；這些手法的實際樣貌見網路釣魚與商業郵件詐騙。

有些主題即使攻擊者會用，演練也要審慎。同一場座談中，Ho 提到他研究的機構高層很在意以 COVID 或「你被開除了」當主題；另一位業界專家說，有些誘餌無論如何都越線，例如年底的獎金、與解雇有關的內容，而演練平台內建的範本也可能包含這類主題，使用者不能假設範本都經過把關^[8]。Ho 也指出這是取捨：如果目標是讓員工面對真實的攻擊，攻擊者並不會因為主題令人不快就不用^[8]。放到台灣情境，年終獎金、調薪、裁員名單、健康檢查異常這類主題，至少要事先和人資討論，並想清楚演練結束後如何向員工說明。

NCSC 也提出另一種做法：請員工自己動手寫釣魚信，反而更能理解攻擊者用的說服技巧；同事之間的友善競賽，可以避免演練變成「資安團隊對員工」的對立^[9]。

通報要一鍵完成，教育要當下給

在郵件軟體加上「回報釣魚」按鈕^[10]，並確認通報流程清楚、簡單、快速^[9]。點擊者看到的說明頁，要針對他收到的那封信指出可辨識的線索，而不是一般性的宣導頁。Ho 的研究發現，點擊後只看到靜態說明頁的人沒有改善；完成依所收演練信設計的互動式問答的人，之後演練失敗的機率比沒做的人低 20%，但多數人會直接關掉訓練頁面^[8]。所以當下的說明要短，再到課程或部門會議中補充。

和郵件過濾設定協調

演練信要先送達，才測得到人。以 Microsoft 365 為例，系統不允許用允許清單放行被判定為惡意程式或高信賴度釣魚的郵件，第三方演練平台的郵件要透過「進階傳遞原則」（advanced delivery policy）登記寄件網域與寄件 IP；使用者以內建回報按鈕通報這類演練信時，不會觸發警示或調查^[11]。微軟也提醒，不要為了繞過限制而把自家閘道或其他第三方寄件服務的 IP 加進演練設定，否則等於讓任何冒用該網域的寄件者都能繞過垃圾郵件過濾^[11]。不論使用哪一套郵件閘道，放行範圍都應限定在演練平台的寄件來源，演練結束後檢查設定。

不只電子郵件：電話、服務台與深偽

NIST SP 800-50 Rev. 1 列出的實作練習，包括以模擬方式進行的電子郵件釣魚、簡訊釣魚（smishing）與語音釣魚（vishing）^[10]。電話特別值得演練：美國 FBI、CISA 與多國機關對 Scattered Spider 集團的聯合通報指出，攻擊者會假冒公司 IT 或服務台人員，以電話或簡訊騙取員工帳密，或要員工說出 MFA 一次性驗證碼；也會反過來假冒員工，說服服務台重設密碼、把 MFA 轉移到攻擊者控制的裝置，並以大量 MFA 推播讓員工按下核准^[12]。

因此服務台本身就該是演練對象：由事先知情的主管安排一通「員工手機遺失、急著重設 MFA」的電話，看服務台是否照程序回撥登記的號碼、確認身分，並在重設後通知本人。重設程序的設計見多因素驗證導入指南的帳號復原一節；冒充主管的深偽語音與視訊、回撥驗證與暗語，見冒名與深偽詐騙。參與 NIST 座談的研究者也認為，面對語音釣魚與深偽，重要的是把「透過安全的另一個管道確認」納入敏感操作的流程^[8]。

演練取代不了技術防護

NCSC 把釣魚防護分成四層：讓攻擊者難以接觸使用者（例如 DMARC、SPF、DKIM 與郵件過濾）、協助使用者辨識與通報、降低釣魚得手後的影響（例如惡意程式防護與 MFA），以及快速應變；它也指出，訓練，尤其是釣魚演練，往往是被過度強調的那一層^[9]。前述聯合通報除了建議持續針對語音釣魚與魚叉式釣魚訓練員工，也建議盡可能對所有服務要求抗釣魚 MFA^[12]。點擊率不會降到零，所以要同步推動抗釣魚 MFA 與DMARC；如果真的有人在釣魚頁面輸入了公司帳密，處理步驟見公司信箱帳號被盜用怎麼辦。

行動清單

• 確認公司適用哪些規範：上市櫃公司對照證交所指引第 31 條，每年辦理電子郵件社交工程演練並留存紀錄；特定非公務機關向中央目的事業主管機關確認演練安排與應辦事項。
• 演練前與人資、法務確認：不處罰、不公開點名，誘餌不冒用真實品牌或機關，獎金、裁員、健康等敏感主題事先討論。
• 在郵件軟體部署一鍵通報按鈕，並設定通報後的自動回覆與人工回饋。
• 每封演練信先用 Phish Scale 評難度；報告同時列出難度、點擊率、帳密送出率、通報率與第一次通報時間。
• 點擊者導向與該封信相關的簡短互動說明；重複點擊者提供一對一協助，並檢視其職務是否需要額外技術防護。
• 用郵件系統的專用機制放行演練信，只放行演練平台的寄件網域與 IP，演練結束後檢查設定。
• 每次演練順便檢查真實通報的處理：多久完成判斷、是否移除同類郵件、是否回覆通報者。
• 每年至少一次針對服務台的電話演練，測試密碼與 MFA 重設的身分確認程序。
• 同步推動抗釣魚 MFA 與 DMARC，並從釣魚相關通報挑選真實案例作為演練主題；需要外部協助設計演練與教材，可參考資安意識訓練。