被駭的不是電腦，而是人

要直接繞過防護，需要時間、設備和罕見的專業知識。要透過人來繞過防護，只需要一支電話和一個聽來可信的故事。這種手法叫做社交工程，而且比網際網路更早出現：以前存取憑證還放在紙本檔案裡，而不是應用程式中時，同樣的套路就已經有效。

這招奏效，不是因為電話另一端的人很笨。這個要求正好打中工作上的反射動作：幫個忙、別拖慢流程、別讓急著辦事的人覺得你很難搞。拒絕代表當下會有一點衝突；答應只要1秒。這裡的弱點不是你的個性，而是別人把你放進的情境。

凱文・米特尼克，90年代最知名的駭客，後來也描述過同一件事：他取得存取權時，更多是靠對話，而不是程式碼。從那以後，場景變了，機制沒有變：不再是打電話到櫃檯，而是收到一封「支援」寄來的電子郵件，或一則「銀行發來的」訊息。

準備工作通常比對話本身花更多時間。姓名、職稱、誰是誰的主管、公司怎麼稱呼內部系統，這些資訊都會事先從公開來源蒐集：社群媒體、電子郵件簽名、徵才公告。接著，行動會沿著熟悉的套路進行，而且幾乎總是按同樣的順序出招。

關鍵就在最後一步。他們幾乎不會直接問你的密碼，而是請你做一件單獨看起來無害的事。訊息中的驗證碼、應用程式裡「是我」的按鈕、寫著「檢查登入」的頁面。你答應做一件小事，卻把全部存取權交了出去。

所有版本都有一個共同特徵：他們催促你，同時把你帶離平常使用的管道，轉到另一個通訊軟體、另一個頁面，或要求你立刻通話。掛掉電話1分鐘後才開始懷疑，這很正常：對方算準的就是速度。真正的客服能平靜地等你暫停，也不怕你回撥。