```html

社会工程学真实案例

2016年夏天，社会实案美国伊利诺伊州一家小型医疗设备公司的工程财务主管收到一封邮件。发件人显示为CEO的社会实案名字，内容很直接：公司正在秘密收购一家竞争对手，工程需要紧急向一个境外账户转账47万美元。社会实案邮件里甚至附了一份伪造的工程董事会决议扫描件，签名和公章一应俱全。社会实案这位财务主管没有打电话核实——因为邮件里写了“我在飞机上，工程落地前别联系任何人”。社会实案她转了钱。工程三天后，社会实案真CEO从度假地回来，工程才知道公司账上少了将近五十万美元。社会实案

这不是工程电影情节。FBI后来在案件通报里写得很清楚：攻击者只用了公开的社会实案领英资料、公司官网的组织架构图，以及一个模仿CEO语气的邮箱地址。成本不到一百美元。这就是社会工程学——不破解系统，只破解人。

凯文·米特尼克怎么拿到源代码的

上世纪八十年代，凯文·米特尼克想搞到一家软件公司的源代码。他没写一行漏洞利用代码。他打电话给公司研发部门的一个程序员，自称是新来的实习生，说“主管让我来取一份测试文档，但我把工位号记错了”。程序员让他报主管名字。米特尼克说：“就是那个戴眼镜、总穿蓝色衬衫的。”——他之前蹲点观察过。程序员笑了：“你说汤姆啊，他在三楼，你直接上去找他吧。”米特尼克上楼，在走廊里拦住一个端着咖啡的人，说“汤姆让我来拿源代码备份”。那人指了指服务器机房。二十分钟后，他抱着磁带走出了大楼。

整个过程中，米特尼克只做了三件事：观察、模仿、利用人的“帮忙惯性”。大多数人在接到看似合理的请求时，第一反应是配合，而不是质疑。这个本能，就是社会工程学最锋利的刀。

一个电话骗走200万美元

2019年，英国一家能源公司接到“上级公司”的IT支持电话。对方说系统要升级，需要远程协助。员工按指示下载了一个“补丁程序”——实际上是远程控制木马。攻击者花了三天时间，在公司内网里慢慢移动，从普通员工电脑跳到财务系统，最后用财务总监的账号发了一笔200万美元的付款指令。等安全团队发现异常登录时，钱已经过了三家中转银行。

这件事里有个细节很扎心：那个“IT支持”在电话里准确说出了公司最近一次团建的时间、地点，甚至提到了财务总监养的那只柯基。这些信息全部来自公司员工的社交媒体。攻击者没黑任何服务器，只是花了两周时间翻遍了Instagram和Facebook。

为什么防不住

技术防护可以拦住99%的自动化攻击，但社会工程学是人对人的。防火墙不会因为“对方语气很急”就放行，但人会。多因素认证能挡住密码泄露，但挡不住一个员工主动把验证码念给“IT支持”。

我观察到一个规律：越强调“高效执行”的公司，越容易被社会工程学击穿。因为员工习惯了快速响应指令，质疑上级或“合作方”会被视为不配合。攻击者恰恰利用这种文化。一个反例是某家德国制造企业，他们的财务制度里有一条：任何超过5万欧元的转账，必须由两个人分别用不同电话回拨确认。这条规则救过他们两次——两次都有人冒充CEO发邮件，两次都被回拨电话戳穿了。

最后说一个我亲历的事

去年我帮一个朋友检查他的小公司安全。我假装成快递员，打电话给前台：“有个到付包裹，收件人写的是‘张总’，但电话打不通，你能帮我确认一下他在不在吗？”前台说：“张总在开会，你放前台就行。”我又问：“那你们公司全称是什么？我要填单子。”她直接念了出来。挂了电话，我告诉朋友：如果有人冒充客户发一封带恶意附件的“合同”，前台大概率会直接转给张总。他愣了半天，第二天就加了邮件过滤规则和转账双人复核。

社会工程学不会消失。它利用的是人类几万年进化出来的合作本能——信任、礼貌、怕麻烦别人。技术可以升级，但本能很难改。唯一有效的防御，是把“怀疑”变成制度，而不是靠个人警惕。