内容摘要：去年冬天，某公司财务总监收到一封来自“CEO”的邮件，语气急促，要求她立刻向一个供应商账户转账46万元。邮件里的措辞、落款、甚至签名档都和老板平时发来的一模一样。她没多想，转了。三天后真老板回来问起这

去年冬天，什社某公司财务总监收到一封来自“CEO”的工攻邮件，语气急促，什社要求她立刻向一个供应商账户转账46万元。工攻邮件里的什社措辞、落款、工攻甚至签名档都和老板平时发来的什社一模一样。她没多想，工攻转了。什社三天后真老板回来问起这笔钱，工攻她才意识到，什社那封邮件的工攻域名其实拼错了一个字母。

这就是什社社工攻击——不靠黑客技术，靠的工攻是骗。它不暴力破解你的什社密码，而是让你自己把密码说出来；不植入木马，而是让你亲手点开带毒的附件。说白了，社工攻击就是对人性的精准打击：利用信任、恐惧、好奇、懒惰，以及我们骨子里那点想走捷径的冲动。

技术漏洞可以打补丁，人脑漏洞没法打。你防火墙配得再厚，也拦不住一个冒充IT部门的电话。对方客气地说：“您好，我是机房运维，需要验证您的账号权限，请提供一下验证码。”多少人就这么把短信验证码交了出去，还觉得对方挺专业。

我见过最狠的一次，是骗子先黑进了一个HR的邮箱，翻出公司内部通讯录，然后给全体员工发邮件，内容是“薪资系统升级，请点击链接重置密码，逾期将影响本月工资”。那链接做得跟公司内部系统一模一样，连备案号都抄对了。结果一上午，二十多个员工主动交出了自己的登录凭据。骗子甚至没费力气去猜任何一个人的密码。

社工攻击最可怕的地方在于它无法被完全防御。你不可能让员工对每一封邮件都怀疑，那样公司就没法运转了。但反过来，如果你对一切都信任，那你就成了攻击链条上最脆弱的一环。这里有个简单的判断标准：凡是要求你立刻行动、制造紧迫感的，凡是让你绕过正常流程的，凡是让你交出凭据或转钱的——哪怕对方自称老板、警察、银行经理，你都该停下来，用另一个渠道去核实一下。

别觉得这种事离你远。我有个朋友，平时自诩网络安全专家，结果在二手平台上卖相机，遇到个买家说“已付款但被冻结，需要卖家扫码激活”。他扫了，输了账号密码，卡里两万八没了。他后来跟我说：“当时脑子像被什么糊住了，明明觉得不对劲，但对方一直在催，我就照着做了。”

对抗社工攻击，最有效的工具不是软件，是习惯。养成在关键操作前停顿五秒的习惯；养成对任何“紧急请求”先验证再行动的习惯；养成绝不通过对方提供的链接和电话回拨去核实信息的习惯。这三点做到了，你能防住八成以上的攻击。

剩下的两成，靠的是承认自己也会被骗。别把面子看得比钱包重。真遇到事了，承认自己上当了，立刻改密码、冻结账户、报警——这比硬撑着不认错要划算得多。