第10节：保护您的非营利组织免受诈骗和欺诈
在本节中，您将学习：
保护您的非营利组织免受诈骗和欺诈
您已经了解了如何保护账户、设备和信息，如何与服务提供商合作，以及如何为安全事件做好准备。本节将这些防护措施综合起来，针对组织面临的另一种入侵途径：诱使某人采取看似合理的行动。.
网络犯罪分子可能会利用多种手段获取贵非营利组织的信息、账户和资金。.
|
方法
|
可能呈现的效果
|
有帮助的保障措施 |
|---|---|---|
|
利用技术漏洞 |
利用过时的软件或不安全的设置。. |
更新、支持的软件、安全设置和访问控制 |
|
使用被盗的凭据 |
使用通过其他服务泄露或在虚假登录页面上被窃取的密码进行登录。. |
唯一密码、密码管理器、多因素认证（MFA）和受保护的密码恢复方案 |
|
诱使某人采取行动 |
说服某人发送信息、批准访问权限、安装软件或更改支付信息。. |
核查程序、明确的审批、演练和及时报告 |
这些方法可以协同作用。一条欺骗性消息可能会窃取密码，随后攻击者利用该密码访问电子邮件账户。攻击者可以利用该账户向他人发送看似真实的付款请求。.
诈骗与黑客攻击的交汇点
诈骗和欺诈是指通过欺骗手段获取金钱、信息、访问权限或其他利益的行为。. 人们常使用 黑客行为 用于描述未经授权访问账户、设备或系统的情况。.
诈骗可能成为入侵账户或设备的途径。例如，冒充技术支持人员的人可能会诱使志愿者安装远程访问软件。还有些诈骗无需接管账户就能造成危害，例如诱使员工发送客户信息或将款项转至其他账户。.
这两者都属于网络安全范畴，因为它们可能会导致信息泄露、访问权限遭到破坏，并扰乱贵组织的工作。.
为什么验证很重要
本节重点介绍 旨在说服人们采取影响信息、账户或资金的行动的请求。. 安全专家将这种操作称为 社会工程学. 这可以通过电子邮件、短信、电话、社交媒体和视频会议来实现。.
威瑞森（Verizon）的《2026年数据泄露调查报告》发现， 在所审查的违规事件中，有62%起涉及人为因素, ，包括社会工程学、凭证被盗以及操作失误。这凸显了为何在采取技术防护措施的同时，还应建立明确的流程并为人员提供支持。.
某项请求看似再普通不过：打开一份文件、更新付款信息、提供一份报告，或是协助解决账户问题。提出请求者可能会自称是同事、捐赠者、客户、供应商、资助方或支持代表。.
一项请求即使看起来并不异常，也可能需要进行核实。请根据所要求您做的事情来进行核查。.
熟悉并不意味着已核实
一条消息可能语法正确、带有可识别的品牌标识，且项目细节准确无误。它可能出现在现有对话中，也可能来自某人的真实账户——尽管该账户此前已被黑客入侵。.
来电显示和发件人信息也可能被篡改。显示的熟悉姓名或电话号码并不能证明联系你的人的真实身份。.
警示信号可以提醒你暂停一下，但没有这些信号并不意味着请求就是合法的。保护措施不应仅依赖于发现拼写错误、陌生的口音或明显离奇的故事。.
你可能会听到这个术语 网络钓鱼 指那些试图获取信息或诱使他人采取行动的欺骗性信息，通常通过链接或附件实现。.
定向网络钓鱼, ，也称为 鱼叉式网络钓鱼, ，是专门为某个人或某个组织量身定制的。.
人工智能如何改变诈骗手段
人工智能为诈骗者提供了更多手段，使他们的请求更具说服力，并能大规模生成此类请求。.
措辞得体且个性化的信息
请求内容应采用专业措辞，提及您的项目，并在不同语言中听起来具有说服力。.
声音克隆或变声
来电者或语音留言听起来可能像是执行董事、同事或合作伙伴。.
深度伪造图像和视频
捏造或篡改的内容可能会让人看起来好像说了或做了自己实际上并未做过的事情。.
实时通话中的冒充行为
语音或视频通话中，对方看似是熟人，实则可能已被诈骗分子操控。.
加拿大网络安全中心对人工智能辅助的社会工程学进行了描述，其中包括个性化信息以及语音或深度伪造冒充。.
在保护贵组织之前，您无需确定是否使用了人工智能。. 仅凭可识别的声音或面孔，不足以作为授权依据来披露信息、更改访问权限或汇款。.
视觉异常或言语异常并非识别人工智能的可靠依据。请通过独立建立的联系渠道确认该请求，并遵循贵组织的审批规则。.
商定哪些操作需要进行检查
利用第2节中的职责和政策，对后续行动建立统一的核查机制。.
|
要求采取的行动
|
继续操作前需确认的事项
|
|---|---|
|
转账、退款或购买商品 |
收款人、用途、金额及所需审批 |
|
更改银行、工资或付款信息 |
使用独立设立的联系方式变更授权联系人 |
|
发送敏感信息或更改共享权限 |
请求者的身份、权限、获取该信息的需求以及经批准的交付方式 |
|
通过消息链接登录 |
通过该服务的官方应用或可信书签打开该服务，并在那里查看该请求 |
|
批准多因素认证（MFA）或提供登录验证码 |
请仅批准您自己发起的登录请求；切勿将验证码提供给主动联系您的陌生人 |
|
授予访问权限或更改恢复信息 |
该人员的授权及所需的内部审批 |
|
安装软件或允许远程控制 |
通过您批准的支持流程确定的需求和提供方 |
无论是来自高层领导还是其他人员的请求，都应进行审核。紧急的截止日期应触发既定的上报流程，而非取消相关保障措施。.
使用一条单独的可信路由
“核实”不仅仅是指回复一句“是你发的吗？”
如果账户遭到入侵，诈骗者可能会回复您的消息。拨打诈骗信息中提供的号码，也可能使您与诈骗者取得联系。.
请使用来自已建立的目录、先前经过核实的供应商记录或其他经独立确认的来源的联系方式。. 加拿大反欺诈中心 建议使用可信的电话号码来验证付款请求，尤其是涉及银行账户信息变更的情况。.
.
.
.
如果无法联系到该人员，请联系指定的备用联系人或决策人。在完成必要的核查之前，请暂缓采取行动。.
您可以参考以下回复： “本机构会通过既定流程核实涉及付款、敏感信息或账户访问权限的请求。在继续处理之前，我会根据我们的记录联系相关负责人。”
领导层应支持员工和志愿者使用这一回应方式，即使该请求看似来自领导层自身也不例外。.
练习使用该套件
在员工会议或志愿者培训会上，每次只讨论一个情景
问吧
- 哪些信息、账户或资金可能会受到影响？
- 必须验证什么内容，又应通过哪条可信途径进行验证？
- 该套件中的哪些安全措施适用？
- 如果有人已经采取了行动，我们该怎么办？
供应商更改了银行账户信息
您收到了惯常供应商开具的一张发票。金额和项目详情均无误。发票备注中说明该供应商已更换银行，并提供了新的付款说明。.
对练习的反馈： 暂缓支付变更。根据现有记录联系供应商的授权代表，确认相关细节，并按照贵公司的内部审批流程办理。.
与套件的连接： 明确的职责分工和付款审批程序可为决策提供保障。发票细节的准确性并不能证明变更已获授权。.
一位来电者的声音听起来像是你们的执行董事
一位听起来像是执行董事的来电者要求你尽快完成一笔付款。对方称自己正在开会，需要你立即处理此事。.
对练习的反馈： 说明该笔付款需要进行常规审核。挂断电话后，通过既定渠道联系执行董事。若其无法联系，请联系备用决策人。.
与套件的连接： 通过验证和备份机制，您无需判断该声音是否为克隆声音，即可做出响应。.
合作伙伴发送了一份文档链接
一位项目合作伙伴通过其常用的电子邮件账户发送了一条消息。点击该链接后，会打开一个页面，要求您登录才能查看共享文件。.
对练习的反馈： 直接打开已获批准的共享服务。如果无法在该处确认该文档，请自行联系合作伙伴。.
与套件的连接： 使用唯一的密码可降低跨账户的风险，而多因素认证（MFA）则能提供额外保护。但这两者都无法确保所有关联的登录页面都是安全的。若已输入凭据，请立即报告并启动账户应对流程。.
视频通话请求客户信息
视频通话中，一位看似同事的人要求你将客户名单发送到一个新的电子邮箱地址，以便制作报告。.
对练习的反馈： 独立核实该请求，确认收件人的授权资格，并确定实际需要哪些信息。使用经批准的递送方式。.
与套件的连接： 信息处理规则甚至适用于真实的请求。通过视频看到某人并不能替代这些核查程序。.
让练习成为一种支持
简短、开放式的练习无需借助模拟软件，也能帮助建立信心。请练习实际操作步骤：查找可信的联系方式、获得批准以及报告错误。.
查找流程中的漏洞。相关人员能否联系到备用联系人？他们是否知道如何上报？他们能否在不受到压力要求绕过规定的情况下核实请求？
应避免进行公开排名或旨在使他人难堪的演练。如果使用模拟的钓鱼信息，应首先明确授权、范围及隐私保护措施。切勿收集真实的密码或登录验证码，并在演练结束后向参与者进行情况说明。.
如果有人已经采取了行动
使用第9节中制定的应对方案：
- 停止进一步接触，并立即报告。.
- 保留相关消息，并记录发生的情况。.
- 如果已汇款，请立即联系该金融机构。.
- 请寻求可信赖的帮助，以确保受影响的账户或设备的安全。.
- 评估任何个人信息披露及通知要求。.
在报告潜在信息泄露之前，不要等到证实该请求是欺诈行为后再行动。及时报告能为组织提供更多机会来将损失控制在最小范围内。.
一项建议的政策规则
涉及付款、财务信息变更、敏感信息或账户访问权限的请求，必须遵循既定的核验和审批流程。核验必须通过独立设立的联系渠道进行。无论情况多么紧急、职位多么高级或对流程多么熟悉，均不得免除这些要求。如发现可能的欺诈行为或错误操作，必须立即上报。.
在采用该规则之前，请明确其涵盖的操作、联系途径、审批流程及备用方案。.
测试您的验证流程
请选择贵非营利组织经常收到的三类请求。.
使用已完成的流程演练一个场景。指定专人负责解决发现的任何问题。.
您的收获
学习完本节内容后，您应该能够：
- 已确定需要核实的措施。.
- 建立了可靠的联络渠道和审批流程。.
- 经过训练，能够应对看似可信的请求，包括由人工智能协助的冒充行为。.
- 将预防措施与及时报告及事件响应相结合。.
现在，您可以开始选择下一步的改进措施、明确责任归属，并将本工具包付诸实践了。.
总结部分
CyberCatalyst：非营利组织网络安全基础是 KnowledgeFlow 推出的一门免费、可自主安排学习进度的课程，专为预算有限且几乎没有或完全没有专职 IT 支持的组织设计。.
This kit helps you identify what needs attention. CyberCatalyst is a natural next step for developing the understanding and practical skills to carry out improvements. Staff, leaders and volunteers can work through the course at their own pace and bring their learning back to your organization.
Know when professional help would be useful
Many everyday improvements can begin within your team. Professional support becomes useful when you need specialist knowledge, an independent assessment or help putting several safeguards together.
Consider getting help when:
Moving toward standards and formal assurance
Standards and frameworks give organizations a structured way to assess and improve security. This kit introduces useful safeguards, but completing it does not establish compliance with a particular standard.
You can begin by aligning your practices with recognized guidance. If you later pursue formal compliance or certification, the work may also involve defining the scope, assessing risks, documenting procedures, maintaining evidence and checking that safeguards operate consistently.
Professional support can help you:
- Choose a framework or standard appropriate to your organization and obligations.
- Compare current practices with its requirements.
- Prioritize gaps according to risk, capacity and cost.
- Develop workable policies and procedures.
- Establish evidence, review routines and preparation for any required independent assessment.
Ask what outcome you actually need: a practical improvement plan, alignment with a framework, evidence for a partner, or formal certification. These are different goals and may require different levels of work.
Find support that fits your nonprofit
You can speak with KnowledgeFlow or another qualified consulting organization about your needs and the support available. Begin with your inventory, priorities and unresolved questions so the discussion leads to a clear scope.
Ask prospective providers to explain:
- Their experience with nonprofits of your size and capacity.
- What they will assess or implement.
- Which standard or framework they propose and why.
- What deliverables, costs and ongoing responsibilities are involved.
- Whether formal certification requires a separate assessment body.
Choose support that helps your team understand and maintain the improvements. Clear explanations and realistic recommendations matter alongside technical expertise.
Keep building
Cybersecurity is an ongoing part of caring for your organization and the people who trust it. Keep responsibilities current, revisit safeguards as your work changes and make questions and reporting welcome.
Start with your next three improvements. Build your knowledge through 网络催化剂, and seek professional support when your needs call for it.
English 
French 
Chinese 
Spanish 
Ukrainian 