被攻破的不是电脑，而是人

想直接绕过防护，需要时间、设备和罕见的专业知识。通过人来绕过防护，只需要一部电话和一个听起来可信的故事。这种手法叫社会工程学，而且它比互联网更古老：当访问凭证还存放在纸质档案里，而不是应用程序中时，同样的套路就已经奏效了。

它能奏效，并不是因为电话那头的人愚蠢。请求会触发职场中的条件反射：帮个忙、别耽误进度、别在一个着急的人面前显得难缠。拒绝意味着眼下就要发生一个小冲突，而答应只需要一秒。这里的薄弱点不是人的性格，而是对方把人置于其中的情境。

凯文·米特尼克是90年代最著名的黑客，后来他描述了同一件事：相比编写代码，他更多是通过交谈获得访问权限的。从那以后，变化的是场景，而不是机制：从打电话给前台，变成来自“客服”的邮件和“银行发来”的消息。

准备工作通常比真正交谈花的时间更长。姓名、职位、谁向谁汇报、公司如何称呼内部系统，这些信息都会提前从公开来源收集：社交媒体、邮件签名、招聘信息。接下来，行动会按照熟悉的套路展开，而且几乎总是按同样的顺序推进。

关键一步就在最后。他们几乎从不直接索要密码，而是让你做一件单独看起来无害的事。比如报出消息里的验证码、点击应用中的“是我”按钮，或打开“检查登录”页面。你答应的只是一件小事，交出去的却是全部访问权限。

所有变体都有一个共同特征：他们催你，同时把你引离平时的渠道，带到另一个聊天软件、另一个页面，或者要求你现在立刻交谈。挂断电话一分钟后才开始怀疑，这很正常：对方算准的就是你的反应速度。真正的客服经得起暂停，也会平静地等你回拨。