医疗场景下对话式社会工程攻击与人员风险治理研究

摘要

生成式 AI 降低了语音伪造、多渠道社会工程攻击的实施门槛，医疗行业因其业务运行模式、组织人员结构与行业文化特征，成为对话式社会工程攻击的重点目标。攻击者不再依赖软件漏洞，依托开源情报测绘组织架构，借助 AI 语音克隆技术伪装临床医师与管理人员，利用医疗业务天然的紧急场景，向 IT 服务台施压以完成密码重置、修改多因素认证配置，以此获取电子健康记录系统访问权限。一旦攻击取得成功，不仅造成患者医疗数据泄露，还会引发业务中断，直接对院内患者生命安全构成次生威胁。传统医疗网络安全建设侧重技术边界防护与合规性文档达标，人员安全培训普遍采用年度视频、仅针对邮件钓鱼开展模拟演练，无法应对语音、短信、协作平台多渠道的 AI 赋能社会工程攻击。本文基于 Health‑ISAC 与 Doppel 发布的行业威胁白皮书，还原医疗领域对话式社会工程攻击完整作业链路，剖析医疗行业独有的安全脆弱点，对比传统安全培训模式与人员风险管理体系之间的差异，论证从静态合规检查转向动态人员风险管理的现实必要性。反网络钓鱼技术专家芦笛指出，医疗行业的安全防御不能仅仅把人员视作安全风险点，更要结合临床业务流程、行业文化特征设计适配的管控机制。本文从跨渠道模拟演练、即时微学习、动态风险建模三个核心方向给出落地实施路径，为医疗机构对抗 AI 驱动的对话式社会工程威胁提供参考。

关键词：医疗网络安全；对话式社会工程；AI 语音伪造；人员风险管理；IT 服务台安全

1 引言

网络攻击的突破口长期分布在技术漏洞与人的行为两个层面，根据 2026 年威瑞森数据泄露调查报告统计，超过六成的数据泄露事件与人的行为因素存在关联。在医疗行业，系统中断会直接影响临床救治工作，网络安全事件带来的后果远不止财务损失与患者隐私泄露，勒索软件等网络入侵造成电子病历系统停机，会直接干扰诊疗流程，已有研究观测到网络攻击事件发生之后，住院患者死亡率出现明显抬升。

长期以来医疗机构的安全资源更多投入防火墙、入侵检测、终端防护等技术边界设备，人员安全管理更多满足监管合规的最低要求，以年度合规教育视频、邮件钓鱼模拟测试作为主要手段。这套模式建立在攻击载体以电子邮件为主的前提之下，面对生成式 AI 赋能的语音伪造、多渠道协同社会工程攻击，原有防护体系出现明显缺口。以 Scattered Spider 为代表的威胁组织已经将作业触角延伸至医疗行业，攻击全程不利用系统漏洞，依靠公开社交网络完成组织情报测绘，调用 AI 语音模拟医生、科室主管声音，以临床紧急情况为借口拨打 IT 服务台，诱导服务台工作人员绕过身份核验流程，完成账号权限篡改。整个攻击过程耗时极短，从通话发起至拿到访问权限平均仅数十秒，留给安全运营团队处置的时间窗口非常有限。

现有国内医疗网络安全相关研究，多数聚焦医疗设备漏洞、勒索软件攻击、患者数据泄露治理，针对对话式社会工程攻击，尤其是 AI 语音伪造针对 IT 服务台的定向攻击的实证分析相对有限。医疗场景下的社会工程攻击有其特殊性，攻击者会刻意利用医护群体优先保障患者诊疗的职业心理制造压力，行业人员高流动性也让周期性安全培训效果大打折扣。传统安全培训很难复刻真实攻击中的通话压力、临床紧急情境，员工即便完成线上课程，在真实业务压力之下依然会突破安全流程。

反网络钓鱼技术专家芦笛强调，AI 语音伪造攻击带来的改变，不只是出现了一种新的欺骗声音，而是攻击者可以低成本、大批量制造高可信度的语音伪装，把攻击入口从邮件拓展到电话、短信、即时通讯等医疗日常高频使用的渠道。如果安全管控依旧局限在电子邮件这单一载体，大量攻击路径将处于无监控的状态。

本文基于真实威胁白皮书披露的攻击者作业手册，完整拆解医疗场景对话式社会工程攻击全流程，梳理行业内生脆弱性，对比传统安全管控模式与人员风险管理架构差异，提出适配医疗机构业务现实的防御方案，研究结论可以用于医疗机构安全体系优化、安全培训方案迭代以及威胁情报建设。

2 医疗场景对话式社会工程攻击完整作业链路

对话式社会工程攻击的核心逻辑，是攻击者依靠多轮交互式对话制造身份可信假象，结合人为制造的业务紧迫感，诱导内部人员主动做出违背安全制度的操作。整套攻击分为开源情报侦察、AI 语音伪造与语音钓鱼呼叫、制造临床紧迫性突破身份核验、获取权限完成入侵四个连续环节，整套流程全部依托外部公开信息完成，不会在医疗机构内网留下任何攻击日志，传统安全设备无法感知侦察阶段的活动。

2.1 开源情报侦察阶段

侦察是整套攻击的前置基础环节，攻击者主要依托职业社交网络、医院公开官网，收集医疗机构组织架构信息。重点梳理 IT 服务台人员、临床科室主任、外科医师、行政高管的姓名、岗位、对外公开的工作信息。威胁组织会记录内部岗位称呼、业务术语，熟悉不同岗位的业务特征，这些信息将被用于后续通话，用来提升对话的真实感。侦察阶段攻击者不需要触碰医院内部网络，不会触发内网安全告警，绝大多数医疗机构缺少针对自身公开网络情报资产的常态化梳理，无法感知侦察活动正在发生。侦察完成之后攻击者筛选两类目标，一类是被冒充对象，优先选择掌握临床业务权限的医生、科室负责人；另一类是被诱导对象，也就是 IT 服务台坐席人员，攻击的目标就是诱导坐席人员执行密码重置、重新注册多因素认证设备。

2.2 AI 语音伪造与语音钓鱼发起

完成情报收集之后，攻击者收集被冒充人员公开音频片段，使用生成式语音模拟工具复刻目标人物声线，随后发起对内部 IT 服务台的电话呼叫。在医疗场景下攻击者普遍选择冒充被系统锁定账号的临床医师，叙事脚本固定为手术即将开展、急诊救治需要调取电子健康病历，但是账号被系统锁定，没有时间走正式工单审批流程。AI 语音克隆技术降低攻击门槛，攻击者不需要攻击者掌握高超的话术表演能力，只需要少量公开音频样本就生成高度仿真的语音通话内容。

2.3 构建临床紧迫性，突破身份核验流程

这是攻击取得成功的关键环节，攻击者除了伪造人声之外，还会在通话背景中叠加模拟手术室警报、监护设备告警、病房嘈杂环境等临床环境音效，进一步强化紧急诊疗的场景氛围。多重心理压力施加给 IT 服务台工作人员：一边是来电者听起来是真实的临床医生，一边是虚构的患者救治时间压力。医疗机构内部的业务文化要求工作人员尽可能消除业务阻碍，保障患者诊疗工作优先推进，攻击者精准利用这一心理，向坐席人员施压，希望跳过标准身份核验流程，直接完成账号解锁、密码重置，或是重新绑定多因素认证设备。

现有安全制度虽然规定电话办理权限变更必须执行多重身份校验，但是制度没有充分考虑极端业务压力下人的行为选择。当坐席人员感知到患者生命可能因为账号锁定受到威胁，部分工作人员会主观选择简化核验步骤。一旦服务台人员执行密码重置或者修改 MFA 绑定设备，攻击者即可拿到具备电子病历访问权限的账号凭证。

2.4 权限获取之后的后续危害

攻击者拿到账号访问权限之后可以访问电子健康档案、医学影像资料，既可以批量窃取患者隐私数据用于勒索或者黑市交易，也可以以此作为立足点横向移动渗透医院内网，部署勒索软件。医疗场景攻击的危害区别于普通企业，勒索软件造成系统停机，医护人员无法调取病历、影像、监护设备数据，直接影响院内正在接受治疗的病患，已有统计数据显示遭遇网络攻击的医疗机构，住院患者死亡风险会出现明显抬升。

攻击链路各个环节全部发生在人员交互层面，不存在恶意附件、恶意链接，传统基于恶意特征的安全防护技术无法检测阻断攻击。攻击的完整杀伤链全部依靠人的心理诱导完成，防御重心必须落实在人的行为风险管控层面。

3 医疗行业面对对话式社会工程攻击的内生脆弱性

医疗行业的安全风险不完全来自外部攻击者技术能力，大量风险根植于行业自身运营模式、人员构成、组织文化、通信工具体系。这些现实业务约束，恰好被 AI 赋能的社会工程攻击充分利用，可以归纳为人员高流动性、照护文化被攻击者武器化、多通信渠道带来安全监控盲区三个维度。

3.1 劳动力高流动性削弱周期性安全培训效果

医疗机构存在大量轮班人员、旅行护士、临时签约医师、外包接待人员，人员轮换频次高，大量短期在岗人员的工作周期短于年度安全培训周期。传统合规模式下的年度集中视频培训，时间周期与人员流转节奏互相错配。临时工作人员刚刚完成安全课程，轮岗就已经结束；新到岗的外包人员还没有参加年度培训，就已经接触内部业务系统与接打电话的工作权限。年度培训模式建立在人员长期固定在岗的假设之上，面对医疗行业大量短期、外派、外包工作人员，培训覆盖缺口持续存在。同时轮班倒班的工作模式，也很难组织全员同步集中的安全演练，传统安全培训的落地效果进一步被削弱。

3.2 照护者共情心理被攻击者刻意利用

医疗机构内部全部业务流程底层逻辑以患者利益优先，全体工作人员被职业要求驱动，需要尽可能减少业务障碍，保障诊疗活动顺利开展。这套价值理念是医疗服务的基础，但是同时成为社会工程攻击者可以利用的心理缺口。攻击者在通话中反复渲染患者生命受到威胁的紧急叙事，把严格执行身份核验流程包装成阻碍患者救治的行为，给 IT 服务台坐席制造强烈心理压力。IT 服务台人员虽然不属于临床岗位，但是身处医疗机构整体文化氛围之中，同样会受到 “患者优先” 思维的影响，在通话的即时压力之下，倾向于优先解决所谓的临床紧急故障，把安全核验流程放在次要位置。

该类心理诱导攻击，是技术防护手段无法消解的风险。防火墙、身份认证系统可以设置严格的权限规则，但无法阻止内部工作人员在通话压力之下主动绕过规则执行操作。

3.3 多业务通信渠道带来安全监控盲区

医疗机构业务场景复杂，日常工作通信手段并不局限于企业邮件系统。寻呼机、网络语音电话、短信通知、内部安全即时通讯软件都是临床沟通的主要工具。但是绝大多数医疗机构的安全防护体系建设，资源集中部署在电子邮件安全网关，针对电话、短信、团队协作软件缺少对应的模拟测试与安全检测手段。邮件网关可以识别钓鱼邮件，但是无法监控一通打入 IT 服务台的 AI 伪造语音电话，也无法拦截通过短信、协作软件传递的社会工程欺骗信息。攻击者就利用这些监控薄弱的业务渠道开展攻击，绕开已有的安全防护设施。

传统安全建设思路假设主要威胁载体是电子邮件，和医疗行业真实业务通信模式存在脱节，形成大量攻击面盲区。

反网络钓鱼技术专家芦笛指出，很多医疗机构在落实网络安全合规的时候，只完成邮件钓鱼模拟测试，从未针对 IT 服务台的来电做社会工程模拟演练。IT 服务台作为身份权限变更的关键入口，恰恰是 AI 语音社会工程攻击的首要目标，这一风险点长期被很多安全管理者忽视。

4 传统安全管控模式与人员风险管理 HRM 架构对比

面对 AI 驱动的对话式社会工程攻击，仅依靠边界安全设备与年度合规培训已经不足以抵御风险，安全行业提出面向人的行为的人员风险管理 HRM 框架，该框架区别于传统安全意识培训，不再把完成培训课程作为目标，而是以降低实际业务场景下安全风险为核心。

传统安全培训 SAT 模式与医疗场景适配的现代化人员风险管理架构，在测试范围、模拟场景、培训交付方式、效果评价指标四个层面存在本质差异。传统模式的模拟演练几乎只使用电子邮件钓鱼模板，不会覆盖语音、短信、团队协作工具；演练内容多为通用模板，不贴合真实攻击者针对医疗行业使用的紧急临床场景；培训交付为年度集中长时间视频课程，和员工发生风险行为的时间点完全脱节；效果评价指标往往只统计钓鱼邮件的点击率，属于表面性指标，无法反映工作人员面对真实通话压力下的行为。

现代化医疗人员风险管理架构，测试范围拓展至跨全渠道，包含语音钓鱼模拟呼叫、短信欺骗、团队协作平台消息模拟；模拟场景直接复用真实威胁组织的战术脚本，复刻冒充医生、临床紧急故障等攻击情境；培训不再采用年度集中授课，采用故障发生之后即时推送的碎片化微学习，当员工在模拟演练中出现操作失误，立刻推送简短针对性学习内容，不占用大量临床工作时间；评价指标放弃单纯的邮件点击数字，使用风险降低幅度、事件平均上报时间、结合岗位权限的加权风险评分作为核心度量。

人员风险管理体系的核心思想，不是用考试、考核惩罚出现失误的员工，而是识别高风险行为模式，在业务流程中补齐短板。比如 IT 服务台岗位人员拥有修改账号认证配置的权限，属于高暴露岗位，需要开展高频次的语音模拟演练；而普通行政岗位风险权重相对更低，演练频次可以相应降低。风险评估和身份管理、安全信息事件管理系统打通，根据人员风险得分自适应调整访问安全策略，高风险人员访问核心电子病历系统强制要求硬件安全密钥，在入侵发生之前完成风险干预。

人员风险管理并不替代防火墙、身份认证等技术安全设施，而是补齐技术防护无法覆盖的人的行为层面，形成技术防护与人的风险管控互相补充的完整防御体系。

5 面向对话式社会工程威胁的医疗机构防御实施路径

结合医疗行业业务约束，本文从跨渠道自动化模拟演练、即时微学习机制、动态风险建模三个技术支柱展开，同时补充配套流程制度优化，给出可落地的实施建议。

5.1 部署跨渠道自动化模拟对抗演练

医疗机构需要把安全模拟演练从单一邮件场景拓展，针对 IT 服务台、患者接待、呼叫中心岗位开展深度伪造语音呼叫模拟，同时补充短信、企业协作软件的欺骗消息模拟。演练脚本必须还原真实攻击者战术，模拟攻击者虚构手术紧急故障、账号锁定、需要立刻调取病历的通话场景，观测在通话压力之下服务台坐席人员是否可以坚守完整身份核验流程。

演练不能只面向正式在编员工，必须将旅行护士、临时医师、外包接待人员全部纳入演练范围。演练目的不是考核处罚员工，而是发现业务流程中的薄弱点。如果多次模拟演练中大量坐席人员都会在紧急叙事下跳过核验，就说明现有业务流程设计存在缺陷，需要优化权限变更的审批机制，而不是简单归因为员工安全意识不足。模拟演练的结果输出给安全团队，用来迭代完善 IT 服务台的操作手册，明确在接到声称临床紧急的来电时，应当执行的核验步骤，不允许仅凭一通电话就执行密码重置、MFA 设备修改等高风险操作。

5.2 构建故障触发式即时微学习体系

医疗工作人员时间被临床业务高度挤占，长时间集中培训很难落地，传统年度课程对于大量短期轮换人员效果有限。应当采用故障触发式即时微学习模式，当员工在模拟演练中出现安全失误，立刻推送简短、高度贴合刚刚发生的欺骗场景的学习内容。微学习内容不需要长篇理论，重点拆解刚刚模拟攻击中攻击者使用的心理施压手段，告诉员工遇到同类通话应当采取哪些具体操作。整个学习过程耗时很短，不会大量挤占临床工作时间。

对于新入职、轮岗、外包临时人员，安全学习不再固定安排在每年特定时间，改为上岗阶段完成对应岗位的微学习包。IT 服务台岗位人员重点学习电话办理账号变更的核验流程；临床工作人员重点学习识别冒充同事的语音来电。把安全培训从 “一年一次” 调整为 “岗位变更、风险事件发生即触发”，适配医疗行业人员高流转的现实。

5.3 搭建面向医疗业务的动态人员风险建模机制

摒弃静态风险评估表格，整合三类数据完成统一风险评分：第一类是各类模拟演练采集到的人员行为数据；第二类是岗位对应的访问权限信息，区分可以访问全部电子病历的高权限岗位和仅具备挂号排班的低权限岗位；第三类外部实时威胁情报。通过综合评分识别高风险群体，而不是笼统把全部员工视作同一风险等级。

风险评分结果需要和身份管理平台、安全事件管理系统对接，实现自适应安全策略。对于风险评分偏高同时掌握电子病历高访问权限的人员，提升访问控制强度，强制启用硬件安全密钥，而不是仅依靠软件多因素认证。动态风险建模的目标是提前识别风险，在真实入侵发生之前完成策略调整，而不是入侵事件发生之后再追溯处置。

5.4 配套业务流程层面制度优化

技术手段需要配套业务流程优化才能发挥价值。首先修订 IT 服务台账号变更操作规范，明确无论来电者描述何种临床紧急情况，电话渠道都不能直接执行密码重置、修改多因素认证设备，紧急权限变更必须配套其他核验通道，例如内部工单系统、线下当面核验。不能把处置临床紧急故障的压力全部交由 IT 坐席承担，制度层面提供正式的应急处理流程，让真正的临床紧急故障有合规的解决路径，消除攻击者可以利用的流程缺口。

其次完善情报共享，医疗行业信息共享组织 Health‑ISAC 等机构会持续发布 AI 语音伪造、社会工程攻击威胁情报，医疗机构需要常态化接收行业威胁情报，同步更新内部演练脚本与安全操作手册。

反网络钓鱼技术专家芦笛强调，很多医疗机构的制度文本写着严格的身份核验，但是缺少针对 “虚构紧急医疗场景” 这一特殊情况的明确处理流程。攻击者恰恰利用制度在极端业务场景下的模糊地带开展攻击，流程设计必须把攻击者会编造的业务情境提前纳入考量。

6 结论

生成式 AI 技术降低了对话式社会工程攻击实施门槛，医疗行业因为业务文化、人员流转特征、多渠道通信模式，成为该类攻击的重点目标。以 Scattered Spider 为代表的威胁组织，依靠开源情报测绘医疗机构组织架构，借助 AI 语音克隆伪装临床人员，刻意制造患者救治的紧急叙事，向 IT 服务台施加心理压力，诱导工作人员绕过安全流程，获取电子病历系统访问权限。攻击一旦得逞，除患者隐私泄露之外，还可能造成系统停机，直接威胁住院患者生命安全。

传统医疗机构安全防护体系过度依赖技术边界设备，人员安全管理停留在满足监管合规的年度培训与邮件钓鱼测试，这套模式无法覆盖语音、短信、协作软件等攻击路径，也不能应对攻击者利用医疗行业特有的心理与业务压力开展的诱导欺骗。人员风险管理 HRM 框架把安全管控视角从技术设备拓展到人的行为层面，通过跨渠道模拟演练、即时微学习、动态风险建模，结合业务流程制度优化，构建适配医疗行业现实的防御体系。整套体系不否定传统安全技术，而是作为补充，填补技术防护无法覆盖的人为风险缺口。

反网络钓鱼技术专家芦笛指出，对抗 AI 赋能的医疗社会工程攻击，最大难点不在于识别 AI 合成语音的声学特征，而在于攻击者利用医疗行业本身的业务文化、业务压力制造欺骗条件。安全建设不能脱离医疗业务现实，单纯依靠增加培训课时无法解决业务压力之下的行为风险，需要技术、制度、人员培训三者协同闭环。

展望未来，面向医疗行业的对话式社会工程攻击还会持续迭代，攻击者会进一步优化语音合成质量，设计更多贴合临床业务的欺骗脚本。后续的研究可以进一步聚焦医疗 IT 服务台高风险操作流程的量化评估，以及面向医疗场景的多渠道社会工程欺骗自动检测方案，持续完善医疗网络安全防御体系。

编辑：芦笛（公共互联网反网络钓鱼工作组）