渗透改据

老陈把手机递过来时，渗透改据屏幕还亮着。渗透改据一条短信，渗透改据号码是渗透改据银行官方短号，内容说他的渗透改据卡因异常交易被冻结，附了个链接要求验证身份。渗透改据他问我：“这能点吗？渗透改据”我看了眼网址，拼写里把“icbc”写成了“icbcc”，渗透改据多一个字母。渗透改据就这么个细节，渗透改据老陈差点把卡号密码全填进去。渗透改据

渗透改据这事，渗透改据说白了就是渗透改据信息在传递过程中被人动了手脚。改的渗透改据不一定是数据本身，有时候改的渗透改据是你对数据的信任。老陈收到的短信是真的从银行系统里发出来的——准确说，是从伪基站里“发出来”的。信号覆盖了他手机所在的那片区域，运营商基站被干扰，手机自动连上了那个假基站。短信落款、格式、甚至客服电话，全对得上。唯一不对的是那个链接。

我见过更隐蔽的。前年有个做外贸的客户，邮箱被盯上了。对方没盗号，只是在他和供应商的邮件往来里，悄悄改了一个银行账号。怎么改的？供应商发来的PDF发票，对方拦截后重新生成了一份，金额、公司名、日期全一样，唯独收款账号换成了自己的。客户直到付款后两周，供应商催款才发现。那笔钱追了八个月，最后只回来三成。

改据的关键在于“像”。不像的东西没人信，太像的东西反而容易露馅——完美得不像真的。骗子现在会刻意留点小瑕疵，比如邮件里带个错别字，或者发票日期比实际晚一天。这些“不完美”反而让接收方觉得“嗯，这像是对方那边的人干的活”。

技术层面，渗透改据通常走三条路。一是改传输通道，像伪基站、DNS劫持，数据在管道里就被换了。二是改存储端，黑进服务器改数据库，你看到的页面是正常的，但后台数字已经变了。三是改人，不是改人的身体，是改人的认知。比如在搜索引擎投假广告，你搜“XX银行客服电话”，排第一的是个看起来完全一样的钓鱼站。你信了，自己把数据交出去，这不叫骗，这叫“你主动配合”。

我试过用开源工具模拟一次中间人攻击。局域网里，用ARP欺骗把网关指向自己，再开个SSL剥离。受害者访问HTTP网站时，所有内容经过我机器，我想改什么改什么。那次实验里，我把一个新闻网站头条的“经济增长”改成了“经济负增长”，页面排版、字体、颜色全没动。旁边同事看了五分钟才发现不对劲。他说：“读起来怪怪的，但说不上哪里怪。”这就是渗透改据最可怕的地方——它不破坏载体，只替换内容，而人往往信任载体胜过信任内容。

防御这事，技术手段能解决一部分。HTTPS、证书校验、双因素认证，都有用。但老陈那种情况，技术防不住——伪基站发来的短信，手机根本没机会验证证书。真正管用的，是养成个习惯：任何要求你点链接、输密码、转账的指令，都从另一个渠道核实一遍。打电话，或者直接打开官方App看。别嫌麻烦。老陈后来每次收到这种短信，都先截个图发给我。上周他又收到一条，我看了眼说：“这次网址是对的。”他回：“那我也不点，我直接去柜台。”

这话听着像段子，但挺实在。渗透改据玩的是信息差，你多走一步，差就没了。