二〇一六年三月，网络孟加拉国央行被窃八千一百万美元。安全黑客没有攻破任何防火墙，工程没有利用任何系统漏洞。网络他们只是安全给银行职员发了钓鱼邮件，附上伪装成招聘启事的工程恶意文档。一名职员点开了它，网络SWIFT系统的安全操作权限就此易主。

这就是工程社会工程学——一种不攻击机器，转而攻击人的网络黑客技术。安全界流传一句老话：系统再坚固，安全也架不住一个疲惫的工程员工在深夜点开一封“紧急通知”。人，网络永远是安全安全链条上最脆弱的一环。

我认识一位白帽黑客，工程他给我演示过一场攻击。目标是一家中型企业的财务主管，他事先在LinkedIn上摸清了这位主管的社交圈，发现她最近在学烘焙。于是他伪造了一个烘焙论坛的账号，私信她“分享独家配方”，附上链接。主管点进去，输入了论坛密码——而那个密码，和她的企业邮箱密码一模一样。整个过程不到四十八小时。

这类攻击之所以屡试不爽，是因为它精准击中了人性弱点。恐惧、贪婪、好奇、急于助人，每一种情绪都可能成为突破口。冒充领导发短信要求紧急转账，利用的是下属对权威的服从；伪装成中奖通知诱导填写个人信息，利用的是贪念；而疫情期间层出不穷的“防疫调查”电话，则利用了人们对健康的焦虑。

有意思的是，技术越发达，社会工程学反而越猖獗。人脸识别、指纹锁、动态令牌，这些高科技防线把数字世界围得铁桶一般，攻击者却转身走向了客服热线。一个声音甜美的“IT支持人员”打电话告诉你系统升级，需要验证身份，你能分辨真假吗？我母亲上周就接到过“银行风控”来电，对方准确报出了她的姓名和身份证号后四位，她差点就信了。后来查证，信息来自半年前某电商平台的数据泄露。

防御社会工程学，光靠安装杀毒软件没用。你需要建立一种习惯：凡是涉及密码、转账、敏感信息的请求，无论对方是谁，都必须通过独立渠道二次确认。电话里自称领导的，挂掉，回拨办公室座机；邮件里附带的链接，不点，直接输入官方网址。这种“默认不信任”的态度，才是真正的防火墙。

再高明的黑客也骗不了一个坚持“先验证后行动”的人。技术可以修补漏洞，但人的警惕心需要持续训练。别指望企业培训那两小时PPT能改变什么，真正的防线，是你在深夜收到一条“紧急转账”短信时，愿意多花三十秒打个电话核实的那份谨慎。就这么简单，也这么难。