社工攻击从来不是社工技术活，它是攻击对人性的精准算计。去年我帮一位朋友恢复被盗的账号社交账号，发现攻击者根本没碰任何漏洞，密码只是社工用她三个月前晒过的一张外卖小票——上面有手机尾号、家庭住址和点餐偏好——成功骗过了客服验证。攻击你看，账号密码在这些人手里，密码不过是社工张写着“请进”的便签。

最常见的攻击套路叫“找回密码”。攻击者先花半小时翻遍你的账号公开动态，摸清你的密码生日、宠物名字、社工母校甚至初恋昵称。攻击然后他打开密码找回页面，账号假装是你本人，对着客服复述这些信息。有些平台的安全问题愚蠢得可笑：“你小学班主任的名字？”——你毕业照上清清楚楚印着。更讽刺的是，很多人为了好记，把密码设成“zhangsan520”，而张三的微博简介恰好写着“最爱5月20日”。

还有一种更阴险的手法，叫“信任嫁接”。攻击者先黑掉你一个朋友的小号，用那个号给你发条消息：“我手机丢了，验证码发你帮我收下。”你顺手就转发了。就这一下，他拿到了你短信里的验证码，接着用“忘记密码”功能重置你的账号。整个过程不超过四分钟，你甚至还在等朋友的下一条消息。

我见过最离谱的案例，是有人模仿某公司HR，给目标员工发了份“薪资调整表”的钓鱼邮件。附件里嵌了恶意宏，但真正高明的是邮件正文的措辞：“请于本周五前确认，逾期视为放弃。”那种压迫感和公司内部邮件一模一样。员工想都没想就点了启用宏——密码？根本不需要，他主动把电脑的控制权交了出去。

密码本身反而是最薄弱的环节。很多人在所有网站用同一套账号密码，像一把钥匙开所有门。攻击者只要从某个小论坛的数据库里拖出明文密码，就能挨个试银行、邮箱、甚至公司VPN。我认识一个安全工程师，自己都中过招——他老婆在育儿论坛的密码跟网银一样，结果被撞库转走了两万块。

说到底，社工攻击瞄准的是你的行为习惯、你的社交关系、你的情绪反应。它不破解密码，它骗取密码。你以为密码是你的私人秘密，但攻击者早就从你晒的机票、打卡的健身房、点赞的公众号里拼凑出了答案。真正的防御不是设个复杂密码，而是意识到：你在网上留下的每个痕迹，都可能成为别人打开你账号的钥匙。

所以下次收到“好友”发来的验证码求助，或者“客服”让你确认个人信息时，停三秒。问自己一句：这真的是对方本人吗？还是有人正拿着你两个月前晒过的快递单，在暗处轻轻敲着你的门？