劫持检测

深夜两点，劫持检测我的劫持检测手机屏幕突然亮了。一条来自“银行”的劫持检测短信，提醒我账户异常登录，劫持检测要我点击链接验证身份。劫持检测我眯着眼看了三秒——发件号码是劫持检测+86开头的手机号，不是劫持检测95588。这是劫持检测劫持。不是劫持检测手机被劫持，是劫持检测注意力被劫持。

劫持检测这事儿，劫持检测很多人以为是劫持检测技术活。其实它首先是劫持检测常识活。你走在路上，劫持检测有人突然拍你肩膀说“你钱掉了”，劫持检测你会下意识回头。回头那一刻，你已经被劫持了——不是被拍肩膀的人劫持，是被自己的条件反射劫持。网络攻击玩的就是这套。去年我们公司财务收到一封“老板”的邮件，语气急促，要求立刻转账。邮件域名是boss-company.com，比真域名多了一个横杠。财务没细看，转了八十万。事后追查，那封邮件在垃圾箱里躺了三天，系统早就标了“疑似钓鱼”。但人不会去看垃圾箱，人只会看收件箱里那个红色的“紧急”标记。

真正的劫持检测，检测的不是数据包，是人的情绪波动。攻击者永远在制造紧迫感、恐惧感、贪婪感。你收到“您的账户即将冻结”会慌，收到“中奖通知”会喜，收到“老板骂人”会怕。这些情绪一上来，理性就下线了。我有个朋友专门做红队测试，他说最有效的攻击不是写多精妙的代码，而是发一封“你被裁员了，点击查看补偿方案”的邮件。点击率百分之百。没人能忍住不看自己的裁员通知。

那怎么防？技术手段当然要有——防火墙、入侵检测系统、行为分析模型，这些是底线。但更实在的，是给自己设一道“情绪延迟”机制。任何消息，只要让你心跳加速、手心出汗、想立刻行动，就先关掉屏幕，去倒杯水，等三十秒再回来。三十秒足够让肾上腺素退潮。劫持的本质是让你在错误的时间做出错误的决定，而时间延迟是成本最低的对抗手段。

我手机里装了个APP，能检测基站信号异常。有一次出差，它突然报警，说当前基站位置跳了三百公里。我一看，手机信号满格，但时间对不上。那是伪基站，正在试图劫持我的通信链路。我没理会，直接关机重启，信号恢复正常。后来查新闻，那片区确实有团伙用伪基站发诈骗短信。技术检测有用，但更关键的是——我信那个报警，而不是信满格信号。信任什么，比检测什么更重要。

说到底，劫持检测是一场关于“默认值”的战争。系统默认你是可信的，所以它放行一切正常流量；人默认官方号码是安全的，所以它敢冒充银行。如果你把默认值反过来——默认任何主动找上门的消息都可疑，默认任何紧急请求都可能是陷阱，默认自己的第一反应不可靠——那劫持的成功率会断崖式下跌。这听着累，但习惯就好。就像过马路看红绿灯，起初觉得麻烦，后来就成了肌肉记忆。

那天深夜的短信，我最终没点。第二天上班，我特意去问了银行柜台，人家说根本没发过那条消息。我走出银行，阳光刺眼，手机又震了一下。这次是快递取件码。我看了两秒，确认是正规平台发的，才去取。不是所有消息都要信的，也不是所有消息都要防。关键的判断标准，永远在那三十秒的延迟里。