内容摘要：2023年3月，某家市值百亿的SaaS公司财务总监收到一封看似来自CEO的邮件，要求紧急向某供应商转账80万美元。邮件措辞急切，语气与CEO平日无异——直到三天后真正的CEO在全员会上问起这笔钱，大家

2023年3月，黑客某家市值百亿的攻击SaaS公司财务总监收到一封看似来自CEO的邮件，要求紧急向某供应商转账80万美元。手段邮件措辞急切，黑客语气与CEO平日无异——直到三天后真正的攻击CEO在全员会上问起这笔钱，大家才发现，手段那封邮件来自一个仿冒域名，黑客发件人名字里藏着一个肉眼难辨的攻击Unicode零宽空格。这是手段典型的商业邮件诈骗（BEC），一种不依赖任何技术漏洞、黑客纯粹利用人类心理的攻击“低科技攻击”。但它每年造成全球损失超过500亿美元。手段

相比之下，黑客SQL注入算得上“古典艺术”。攻击攻击者在登录框里输入' OR '1'='1，手段如果后端代码偷懒没做参数化查询，数据库就会乖乖交出所有用户表。我见过一家创业公司的后台被这样拖库，攻击者甚至没用什么工具，直接在浏览器里敲了几行字符。这事发生在2021年，而SQL注入的公开讨论始于1998年。二十多年过去，依然有开发者在拼接字符串。

钓鱼邮件是另一个老熟人。但现在的钓鱼早就不玩“尼日利亚王子”那套了。攻击者会花一周时间研究你的社交动态，知道你刚参加完行业峰会，于是伪造一张“会议照片下载链接”发到你邮箱。链接指向一个伪造的Office 365登录页，页面做得比真的还真——连域名都用了rnicrosoft.com这种替换字符的把戏。一旦你输入密码，两分钟内攻击者就会用它登录你的真实邮箱，开始向你的联系人列表批量发送下一轮钓鱼。

勒索软件则更“暴力直接”。2024年某医疗机构被LockBit变种加密，CT机无法运行，急诊室被迫转院。攻击者并非黑进什么复杂系统——他们只是利用了一个未打补丁的VPN网关，管理员密码是Admin@123。这玩意儿不挑目标，扫描公网开放端口，像自动售货机一样批量投放。赎金通常要求加密货币支付，追查难度极大。

还有一类攻击悄无声息：供应链投毒。2023年PyPI（Python包索引）上出现过伪装成合法库的恶意包，名字叫requests-toolbelt2，下载量破万后开始窃取环境变量和AWS密钥。开发者往往只看到“功能正常”，不知道背后已经开了后门。这类攻击最阴险的地方在于——你信任了不该信任的代码，而信任在软件世界里是最脆弱的防线。

DDoS（分布式拒绝服务）攻击如今也变了味。早年间黑客用僵尸网络打瘫网站是为了炫技，现在更多是勒索的前奏——先打你十分钟，然后发邮件说“交五万比特币，否则打到你服务彻底挂掉”。中小型电商是重灾区，因为宕机一小时损失的可不止五万。

换个角度看，这些攻击手段背后藏着一个共性：攻击者永远在寻找“最省力的入口”。要么是人（BEC、钓鱼），要么是历史遗留漏洞（SQL注入、未打补丁的VPN），要么是信任链（供应链）。真正像电影里那样用0day漏洞攻破防火墙的案例，反而少之又少。所以下次听到“黑客攻击”这个词，别总想象黑帽黑客在暗室里敲代码——很多时候，他们只是比你更懂人性，或者比你更早发现你忘了关的那扇门。