如果您的监控仪表板显示，某位员工的键盘或鼠标从来没有停下来过，连午休时间也不例外，那么您看到的很可能正是鼠标移动器（mouse jiggler）的典型特征。这种特征很容易发现。更难的是弄清楚员工为什么觉得有必要假装在工作，而这第二个问题比第一个更重要。
鼠标移动器（也有人称之为“鼠标晃动器”或“防休眠鼠标”）是一种小型设备或软件，它每隔一段时间移动一下光标或模拟按键，让电脑不会显示为空闲或“离开”状态。有的是插在 USB 接口上的小装置，有的是把鼠标放在上面、靠物理方式带动鼠标的小底座，还有的纯粹是软件。形式各不相同，目的却都一样：明明没有人在工作，状态却一直保持“在线”的绿色。随着远程办公和居家办公越来越普遍，这类工具也越来越频繁地出现在企业管理者的视野中。
本文从两个层面讨论这个问题。首先是技术层面：这类工具如何工作，有人使用时实际会留下哪些痕迹。其次，也是更重要的层面：为什么识别鼠标移动器只是整件事中最容易的那 10%，剩下的 90% 是什么样子，以及在中国开展员工监控时需要注意哪些法律要求。
鼠标移动器到底在做什么
硬件鼠标移动器通常是一个小巧的 USB 设备，外形类似一个小型接收器。它在操作系统中被识别为人机接口设备（HID），与普通键盘、鼠标属于同一类设备，并按固定的时间间隔发送微小的移动或点击信号。软件鼠标移动器不需要硬件也能做到同样的事：在后台运行的脚本按设定的间隔把光标移动一个像素，或者按下一个无关紧要的按键。此外还有纯机械式的产品，直接让鼠标本身物理晃动，根本不会作为独立设备出现在系统中。
所有这些产品存在的理由只有一个：绕过空闲检测。Teams、Slack 等协作软件的“离开”状态、屏幕自动锁定以及部分监控工具，都会在一段时间没有输入后才判定为不活跃。鼠标移动器恰好消除了这个信号，而实际上并没有人在做任何工作。
如何识别鼠标移动器：值得查看的信号
没有任何单一信号能证明有人在使用鼠标移动器，但在下结论之前，有几种模式值得仔细看一看。
- 节拍器般的规律。真人移动鼠标是不规则的：一阵忙碌、一阵停顿、再做些小调整。如果光标以可疑的均匀间隔（比如每 30 到 60 秒）移动同样一小段距离，那看起来更像机器而不是人。露出破绽的不是移动本身，而是它的规律性。
- 只有移动，没有结果。光标在动，但没有窗口切换，没有文档滚动，点击也没有落在任何地方。毫无后续效果的移动，是最有力的单一线索。
- 从不下降的活跃度。每个人的工作都有自然的间隙：接个电话、去趟洗手间、倒杯咖啡、吃午饭。整整八小时的工作时间里活跃状态没有任何下降，比带有正常休息的记录更值得怀疑。
- 各渠道对不上。有光标活动，但同一时段的程序切换、网站访问或即时通讯活动几乎没有变化。真实的工作通常会同时在多个渠道留下痕迹。
这些信号单独来看都不足以成为指责的理由。它们是开启一次谈话的契机，而不是处分的依据。
技术检测的局限
这是大多数指南略过的部分，但它很重要，因为它决定了您对技术检测能做到什么应抱有怎样的现实预期。
操作系统本来就不是为检测鼠标移动器而设计的。Windows 会记录新设备的接入（例如在“事件查看器”中），也可以通过组策略或 Microsoft Defender 的设备控制功能限制允许安装哪些 USB 设备。但这些只能说明设备情况，无法判断某个输入是否来自真人，“任务管理器”里也看不到任何相关信息。在 macOS 上，可以在“活动监视器”中查看正在运行的进程，在“系统设置”中或使用命令行工具 sfltool 查看登录时加载的后台项目；这样最多只能发现软件形式的鼠标移动器，永远发现不了硬件形式的。主流操作系统都没有内置鼠标移动器检测功能。
硬件鼠标移动器让情况更加复杂。由于它们被识别为标准 HID 设备，原则上可以通过厂商 ID 和产品 ID 加以识别。IT 部门可以把软件安装权限限制在管理员手中、只允许已登记的输入设备，或者在有新的 USB 输入设备接入时收到通知。但黑名单只能拦住已经录入的设备，而放在鼠标下面的机械式产品根本不会以设备的形式出现。软件鼠标移动器更难对付：一个把光标移动一个像素的脚本，在输入层面上几乎无法与轻轻碰了一下鼠标的真人区分开来。Windows 在内部确实会把软件生成的输入标记为“注入的”（injected）输入，但远程桌面、辅助功能工具等正当工具也带有同样的标记，而且这一标记可以被绕过——单凭它什么也证明不了。
这就是实际上的天花板：只依赖输入层面的检测，误报和漏报都无法避免，因为操作系统无法确定地区分“机器移动了它”和“人只是轻轻碰了一下”。无论在哪个平台上，把鼠标移动器警报当作证据都是错误的。
为什么上下文比鼠标记录更重要，以及中国法律的要求
如果光标和键盘记录无法给出答案，那什么可以？答案是上下文。在可疑时段拍下的屏幕截图能显示：文档是否真的打开并在编辑，某个应用程序是否在前台被使用，还是在鼠标移动器让状态灯保持绿色的整个时间里，屏幕一直停留在锁屏界面或空白桌面上。
模拟恰恰在这里露馅：鼠标移动器能骗过空闲计时器，却无法让一份没有被编辑的文档看起来正在编辑，也无法让一个没有使用的浏览器标签页看起来处于活动状态。输入数据显示的是“动作”，程序活动和截图显示的是“内容”——两类数据回答的是不同的问题。
在中国，《中华人民共和国个人信息保护法》（自 2021 年 11 月 1 日起施行）是基本框架，个人信息保护工作由国家网信部门统筹协调。监控中收集的活动记录和截图可能属于个人信息，处理时应当遵循合法、正当、必要和诚信原则，具有明确、合理的目的，并采取对个人权益影响最小的方式（第五条、第六条）。按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需的处理，可以不取得个人同意（第十三条），但处理前仍须以显著方式、清晰易懂的语言，告知处理目的、处理方式、个人信息种类和保存期限等事项（第十七条）。此外，根据《劳动合同法》第四条，涉及劳动纪律等直接关系劳动者切身利益的规章制度，应当经职工代表大会或者全体职工讨论，与工会或者职工代表平等协商确定，并向劳动者公示或者告知。截图可能拍到聊天内容等与工作无关的个人信息，因此应限定在必要范围内，并在有具体理由时才调取查看。
使用 CleverControl，管理者可以在安全的网页账户中查看可疑时段，并把屏幕截图与同一时段记录的程序和网站活动进行对照。如果光标一直在动，屏幕上却连续几个小时都是空白桌面或一个没人碰过的程序，这样的组合所说明的问题，远比单看光标记录多得多。具体使用哪些记录、使用到什么程度，应当限定在规章制度中写明并已告知员工的目的范围之内。
真正的问题：员工为什么要用鼠标移动器？
这是最重要的一部分，也恰恰是纯技术思路会完全忽略的部分。鼠标移动器不是原因，而是对某种情况的反应——通常是对一套员工认为不公平、不清楚，或者老老实实根本无法达标的制度的反应。
鼠标移动器的出现，实际上可能说明以下几种情况：
- 考核的是“在线”，而不是产出。如果决定一个人看起来是否高效的指标是“鼠标有没有在动”，那么您就亲手制造了伪装鼠标移动的动机。这并不是凭空出现的不诚实，而是对一个设计糟糕的指标的可预见反应。
- 工作量不匹配。如果一个人的实际任务每天四小时就能完成，却被要求展示八小时的可见活跃度，他就有动机去“制造”剩下的四小时。鼠标移动器是一场从未进行的工作量沟通的结果。
- 对监控本身的不信任。如果员工认为无论工作是否完成，空闲时间都会受到惩罚，那么伪装活跃就成了理性的选择，即使对本来工作做得很好的人也是如此。
- 确实存在欺骗意图。这种情况也会发生：有人就是没有在工作，并想把这一点掩盖起来。这是真实存在的，但它只是几种解释之一，不应该成为默认假设。
如果管理者把每一次鼠标移动器警报都当作最后一种情况的证据，而跳过前三种，那什么问题也解决不了。更糟的是，这会让整个团队学到：面对有缺陷的 KPI，最安全的做法不是提出问题，而是把自己藏得更好。关于如何在不落入这个陷阱的前提下发现职场中的“时间盗窃”行为，可以参阅我们的另一篇指南。
适度应对：具体应该怎么做
当一个可疑模式摆在您面前时，可以按照以下步骤处理：
- 先确认模式，再谈原因。在规章制度允许的范围内，查看可疑时段的上下文信息。在怀疑员工的动机之前，先排除技术性误报：计划任务、卡住的脚本、正当的辅助功能工具等。
- 检查 KPI，而不只是检查员工。问一问：这个岗位的目标是按可见的活跃度考核，按产出考核，还是两者兼有？如果答案是“主要看活跃度”，那就是最可能的根源，而且它影响的是整个团队，而不是某一个人。
- 先谈话，再处理。从观察到的事实谈起，而不是从结论开始：“我注意到，在屏幕看起来没有变化的时段里，记录显示输入一直没有中断——能跟我说说当时是什么情况吗？”这样能获得信息；一开口就指责，只会换来辩解。
- 区分两种情况。如果谈话暴露的是工作量或 KPI 的问题，那就要从制度上解决：调整指标、重新分配工作，或者讲清楚这个岗位的“高效”究竟意味着什么。如果查明是有人没有工作并刻意隐瞒，那就是违反劳动纪律的问题，应按照依法制定并已公示的规章制度处理，处理结果要与能够证明的事实相称。只有在劳动者严重违反用人单位规章制度的情况下，用人单位才可以依据《劳动合同法》第三十九条解除劳动合同。
- 纠正激励机制，而不只是处理个案。如果鼠标移动器的出现是因为制度奖励“看起来很忙”，那么和一名员工谈一次话，并不能阻止下一个人采用同样的办法。请重新审视您的监控究竟在衡量什么。
在这一点上，透明度比任何检测手段都更有效。如果员工知道公司在衡量什么、管理者能看到什么和看不到什么，就不太会往最坏处想，也更愿意直接提出工作量问题，而不是悄悄绕开它。具体做法可以参阅我们关于如何告知员工公司实施监控以及员工监控伦理的文章。规则不清楚，正是鼠标移动器可以钻的空子。
打造不需要鼠标移动器的企业文化
最持久的解决办法不是更好的检测手段，而是消除员工想用它的理由。
- 尽可能衡量结果。交付成果、响应时间、已完成的任务——任何比光标移动更接近真实产出的指标都可以。
- 公开监控政策。清楚说明记录什么、为什么记录，并确保政策的目的是核实成果、支持团队，而不是抓人把柄。
- 检查检查者。定期检查管理者是否以适度的方式使用活动数据，而不是把每一段空闲时间都视为可疑。对正常的休息反应过度，只会教会员工把休息藏起来。
- 让休息成为常态。如果您的政策暗中惩罚任何一次活跃度下降，您就恰好制造出了鼠标移动器所要回应的那种激励。
在中国，还有一点值得注意：考勤和工时规则同样属于直接涉及劳动者切身利益的规章制度，《劳动合同法》第四条列举的事项中就包括工作时间和劳动纪律。因此，与其盯着即时通讯软件里的绿色状态，不如把清晰、透明的工时记录规则写进经过民主程序制定并向员工公示的规章制度中。这样的标准比一个状态灯可靠得多，也让鼠标移动器失去了用武之地。
信任指标的团队不需要伪造指标。解决这个问题，比追逐市场上每一款新出现的鼠标移动器成本低得多。为此需要三样东西：一项说明衡量什么、为什么衡量的政策；一个反映真实产出而不是单纯在线时长的 KPI；以及经过培训、面对可疑模式时先提问而不是先下结论的管理者。这三点到位之后，围绕检测的技术军备竞赛基本就不再重要了。
常见问题
使用鼠标移动器违法吗？
设备本身并不违法。关键在于劳动合同、规章制度以及公司的监控和远程办公政策。如果用它来伪装实际上并没有付出的工作时间，可能构成违反劳动纪律的行为。严重违反依法制定并已公示或告知的规章制度的，用人单位可以依据《劳动合同法》第三十九条解除劳动合同；但具体如何认定，取决于规章制度的内容、情节轻重和证据情况。
监控软件能自动检测出鼠标移动器吗？
一些工具可以自动标记异常的活动模式，活动概览也能让异常情况一目了然，但标记并不等于确认的答案。管理者仍然需要查看上下文，判断这个模式究竟是机械性的，还是只是真实工作中输入较少的一天。把警报当作自动成立的证据，就跳过了真正弄清事实的那一步。
监控员工电脑需要取得员工本人同意吗？
不一定。根据《个人信息保护法》第十三条，按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需的个人信息处理，可以不取得个人同意。但某项监控措施是否属于“人力资源管理所必需”，取决于它的目的、范围和方式，而且前提是规章制度本身依法制定。无论是否需要同意，事先告知的义务（第十七条）都不能省略。建议在规章制度中写明监控的目的和范围，并保留已告知员工的记录。
如果怀疑员工使用鼠标移动器，应该怎么跟他说？
从您观察到的事实谈起，而不是从结论开始：描述记录中具体的模式，并请对方解释。这样您得到的是解释而不是防御性的反应，也给“问题出在工作量而不是不诚实”这种可能留出了空间。
硬件鼠标移动器比软件的更容易拦截吗？
稍微容易一些。USB 鼠标移动器会被识别为带有可识别的厂商代码和产品代码的输入设备，IT 部门原则上可以将其拦截，或通过白名单把它排除在外，但新设备出现的速度往往快于黑名单的更新速度。纯机械式产品在技术上根本不可见，而软件鼠标移动器模拟输入的层面，几乎无法与真实的轻度鼠标操作区分开来。
怎样判断真正的问题出在 KPI 而不是员工身上？
如果用来考核员工的指标奖励的是可见的活跃度，而不是完成的工作，这就是一个强烈的信号：在处理任何个案之前，应该先纠正激励机制。看看用同一指标考核的其他人是否也有类似的模式：如果整个团队都是这样，问题指向的是制度，而不是个人。
上线监控之前需要告知员工吗？
需要。根据《个人信息保护法》第十七条，处理个人信息前应当告知处理目的、处理方式、个人信息种类和保存期限等事项。如果监控规则属于劳动纪律等直接涉及劳动者切身利益的规章制度，还应当按照《劳动合同法》第四条，经职工代表大会或者全体职工讨论，与工会或者职工代表平等协商确定，并向员工公示或者告知。如果您在欧盟也有员工，还需要了解员工监控的 GDPR 要求；如果企业或员工位于中国内地以外的其他地区，适用的法律也有所不同。在上线任何监控政策之前，请先与专业人士确认适用于您企业的具体要求。
注：本文仅为一般性概述，不能替代针对具体情况的法律意见。
