教育系统防骗测试

上周三下午，教育我收到一条短信：“【教育系统】您的系统孩子本学期综合测评数据已更新，请点击链接查看详情。防骗”发件人号码是测试一串普通的手机号，不是教育官方短号。我差点就点了——因为我家孩子确实刚考完期中。系统这种精准的防骗“巧合”，就是测试教育类诈骗最常用的钩子。

学校不会用个人手机号发通知，教育更不会在短信里塞链接。系统这是防骗铁律。但骗子知道家长最关心什么：成绩、测试评语、教育分班结果、系统甚至“孩子在学校摔了”。防骗他们把这些关键词缝进一条短信里，赌的就是你手指比脑子快的那两秒。

我做过一个粗糙的测试。把同样格式的短信发给十位不同学校的家长，内容换成“期末评优名单已出”和“课后服务缴费通知”。七个人回复了“这是真的吗”，三个人直接点了链接——当然，链接指向的是我自制的404页面。这个数字不算高，但放在一个区、一个市，哪怕只有百分之三的点击率，背后也是成百上千个家庭。

教育系统内部的防骗测试，很多学校每学期都做。形式无非是发一张卷子，问“接到自称教育局的电话该怎么办”。学生勾选“挂断并报告老师”，满分。可现实里，骗子打来的电话往往显示为“区教育局”的改号号码，语气不急不缓，甚至能报出孩子的班级和班主任姓名。这些信息从哪来？校外培训机构的登记表、学校门口扫码领礼品的活动、甚至班级群里混进来的“家长”。

我见过一个真实的案例。某小学家长接到电话，对方自称是“区教体局资助中心”的，说有一笔贫困生补助要发放，需要家长提供银行卡号和短信验证码。这位家长确实申请过补助，但还没批下来。骗子说“今天最后一天，系统要关闭了”。家长一边接电话一边往银行跑，幸好路上碰到孩子的班主任，随口问了一句。班主任当场拨通教体局电话，对方说根本没有这回事。

问题出在信息泄露的链条上。学校采集学生信息，转给第三方平台做学籍管理；第三方平台的技术外包公司，可能把数据存在一个没有加密的服务器上。去年某地就出过事，一个学籍系统后台弱口令被撞库，几万条学生姓名、身份证号、家长联系方式被打包卖到境外。这些数据最终流向哪里？一部分进了诈骗团伙的“话术库”。

防骗测试如果只考学生，等于只锁了前门。家长才是骗子真正瞄准的入口。我建议学校把测试对象换成家长，题目就一道：收到任何涉及孩子信息的链接或电话，先挂断，再通过班主任核实。不用讲大道理，就练这一个动作。练到形成肌肉记忆，比背一百条防骗口诀管用。

还有一点，别在班级群里直接发通知链接。哪怕是真的。因为骗子会模仿。某中学班主任在群里发了一个“综合素质评价”的链接，第二天就有骗子复制了同样的头像和昵称，发了一个几乎一样的链接，只是域名多了个后缀。三个家长点了，其中一个填了银行卡。班主任后来在群里道歉，说没想到会被仿冒。这不是她的错，但规则可以改：重要通知只发文字，让家长主动去官方App或网站查。

最后说个细节。我收到的那个诈骗短信里，“测评”两个字写成了“测平”。一个错别字。但很多家长没注意到，因为他们的注意力全在“孩子”和“数据”上。骗子不需要完美，只需要你慌。防骗测试要测的，就是你在那一瞬间能不能停下来，看一眼那个错别字。