被兜售的不是謊言，而是角色
釣魚郵件靠的是數量：寄給幾千人，總會有人點下去。預設情境攻擊則不一樣，對方會針對你編出一個故事。你部門的名稱、你確實往來的銀行、你真的在等的訂單。這些都不是機密資訊：社群媒體、資料外洩事件，甚至你自己的電子郵件簽名檔裡都可能有。
細節的作用不是證明什麼，而是讓你不再問：「這到底是誰？」當你核對一個細節，發現它對得上，其他細節你就不再查了，大腦會自行補完整個角色。一個對得上的小細節，就像是替整個故事背書。
設定情境。 事先準備好角色和理由：檢查登入、送貨、文件出錯。這個理由用來解釋為什麼偏偏是現在打給你。
一點真相。 一開始的幾秒鐘，對方會說出一些確實知道的你的資訊。這不是要求，而是為信任預先付出的一筆訂金。
製造急迫。 對方製造出一個時間窗口：「申請只會保留10分鐘。」你沒有時間查證，是刻意安排的，不是碰巧發生。
隔離你。 對方會要求你不要掛電話、不要和別人討論，或改用通訊軟體。任何第三人都可能打破這套腳本。
小小的要求。 一開始只要求你做件小事，確認、唸出內容，或按一下。你答應過一次，第二次就更難拒絕。
你會聽到什麼
這類對話幾乎總是單向進行：對方提問，你回答。明明是對方打給你，卻是對方在查驗你。下面是一段典型對話，別只看字面，也注意角色是怎麼轉移的。
這裡是安全部門。我看到你的帳戶有從其他城市登入的嘗試。
我沒有在其他地方登入。
我就知道。還來得及送出封鎖申請，但時間窗口只有10分鐘。
我需要做什麼？
把簡訊裡的驗證碼唸給我，這能確認我正在和帳戶持有人通話。
好，等一下。
這裡連續出現了3個警訊。你收到一則無法查證的危險消息。對方給了你期限。還要求你證明自己就是自己，明明這通電話不是你打的。簡訊裡的驗證碼對對方什麼也無法證明：它正是用來登入的，而真正的客服不會向你索取。
再注意一下，這裡到底是誰在急。這種對話裡的急迫感永遠屬於別人，是對方帶給你的。只要拿掉計時器，整套腳本就會瓦解，所以對方才要一直維持它。
這套腳本依靠的不是天真，而是幫忙、不爭辯、趕快把事情處理好的正常反應。所以最常被它找上的，往往是忙碌又有禮貌的人。
預設情境攻擊中，為什麼要說出你的一個真實小細節？
如果對方催你，還要求你提供簡訊驗證碼，怎麼辦？
來源
- 影響機制，參考羅伯特・查爾迪尼關於權威、稀缺性與一致性的研究；預設情境攻擊分析，參考凱文・米特尼克《欺騙的藝術》；警訊，參考銀行與CERT公開發布的防範指南。
「社交工程」系列的下一篇
網站上可讀全文 3 篇，App 裡還有 4 篇
