去年秋天，社工攻击我收到一封邮件，社工攻击发件人显示为“公司IT支持”，社工攻击标题是社工攻击“紧急：您的邮箱容量已满，请立即点击链接扩容”。社工攻击链接指向一个和公司登录页几乎一模一样的社工攻击页面。我差点输了密码。社工攻击后来才知道，社工攻击那周有七个同事中招，社工攻击其中一个还是社工攻击安全部门的。社工攻击不靠技术漏洞，社工攻击它撬的社工攻击是人脑的锁。

说白了，社工攻击社工攻击就是社工攻击骗。不是社工攻击那种“我是你领导，打钱”的粗糙骗术——虽然那种也管用。真正老练的社工攻击，会花几周甚至几个月研究你。你的领英档案、你发过的朋友圈、你习惯用的密码提示问题，全是素材。有个经典案例：攻击者伪装成应聘者，给目标公司HR发了一份“简历”，实际是带宏病毒的Word文档。HR打开后，攻击者拿到了内网权限。整个过程没有扫描端口，没有暴力破解，就是一份简历。

我认识一个做渗透测试的朋友，他管这叫“社交工程学”——听起来挺学术，其实就是操纵。他给我演示过一招：打电话给前台，说“我是新来的IT，需要确认一下VPN的登录方式，能帮我转一下技术部吗？”前台转了。然后他对技术部说：“我是财务部新来的，老板让我远程办公，但我忘了VPN怎么连，能发个配置文档给我吗？”技术部发了。二十分钟，他拿到了内网入口。全程没提一个技术术语，靠的是“新来的”这个身份带来的信任感。

这种攻击为什么难防？因为防火墙拦不住“你好，我是你同事”。安全意识培训有用，但有限。人总有疲惫的时候，总有赶时间的时候，总有“这次应该没问题吧”的侥幸。攻击者要的只是你一次疏忽。而你要防的是每一次。这个概率差，就是社工攻击的生存空间。

更麻烦的是，AI让社工攻击升级了。以前你还能靠“这人中文语法不对”或者“口音奇怪”来识别骗子。现在，深度伪造语音能模仿你老板的声音，AI生成的钓鱼邮件没有拼写错误，甚至能根据你的社交动态定制话术。上个月有个案例，攻击者用AI合成了某公司CFO的声音，打电话给财务让转账。财务听到的是“老板”的声音，语气、停顿、口头禅都对。幸亏转账前财务多问了一句“您上周说的那个项目代号是什么”，对方答不上来，才露了馅。

那怎么办？技术手段当然要上：多因素认证、邮件过滤、零信任架构。但最管用的，反而是最原始的——确认。收到转账指令，打个电话回去确认。收到“IT部门”的链接，手动输入官网地址对比。有人自称是新同事，问他一个只有真同事才知道的细节。别嫌麻烦。社工攻击赌的就是你嫌麻烦。

我自己现在有个习惯：任何邮件里的链接，先悬停看真实地址。任何要密码的页面，先关掉，自己手动输网址。任何“紧急”的事，先等五分钟。五分钟够你冷静下来，也够你发现那封“紧急”邮件其实来自一个刚注册三天的域名。社工攻击利用的是人的本能反应——恐惧、好奇、服从权威、想帮忙。对抗本能很难，但至少可以给自己按个暂停键。

最后说个真事。某公司做了一次钓鱼演练，给全员发了假邮件。点击率23%。第二次演练前，他们没发通知，只在茶水间贴了张海报，写着“你上次点了吗？”点击率降到9%。有时候，让人意识到自己会被骗，比教他们怎么防骗更有效。社工攻击不会消失，但你可以让它变得更难。