一条简单的消息如何击倒巨头

从被入侵的邮箱到陷入瘫痪的赌场，近年来一些最轰动的攻击，并不是从复杂的恶意软件开始的。它们始于一个诡计：一条消息、一通电话、一个被弄到手的密码。通过四个真实故事，看看攻击者为什么有时宁愿智取，而不是强攻。

如果最好的入侵方式，就是礼貌地请求呢？

想象这样一条消息：

您好，您的账户存在异常活动。
请点击此处保护您的账户。

一次点击。一个用户名。一个密码。突然之间，攻击者不再需要破门而入：他已经拿到了钥匙。

这就是网络钓鱼和社会工程学（操纵人而不是操纵机器的艺术）的全部逻辑：

• 制造一个可信的情境；
• 激起一种情绪：恐惧、紧迫、好奇、乐于助人；
• 促使对方不假思索地迅速行动；
• 拿到所需的信息或访问权限。

最惊人的往往不是钓鱼本身，而是之后发生的事。一个被攻破的账户，就可能引发一场真正的连锁反应。

四个真实故事，四种骗人的方式

🇫🇷 FICOBA：一个被盗账户，打开了通往 120 万个银行账户的大门

FICOBA 是法国的全国银行账户登记库，记录在法国开设的银行账户。这是一份高度敏感的数据库，只对获得授权的公职人员开放。

从 2026 年 1 月底到 2 月 13 日，一名恶意行为者使用了一位公务员（不属于法国税务总局 DGFiP）的登录凭据；此人因部委之间的信息交换而拥有该库的访问权限。攻击者由此得以查阅 FICOBA 的一部分。根据法国经济部的官方通报（法语），约 120 万个账户受到影响，不到该库的 1%：银行账户信息（RIB、IBAN）、身份、地址，有时还包括税号。

为什么引人注目？因为这里没有黑客“攻破”服务器的电影桥段。官方甚至明确表示，事件并非源于应用程序本身的漏洞。一切都始于一件平常得多的事：一个合法账户落入了错误的人手中。

截至目前，官方信息证实了凭据被冒用，但没有说明凭据是如何获取的。因此，不能确定地说这起事件涉及网络钓鱼。

值得思考的问题：如果攻击者根本不需要入侵数据库……因为他早已握有授权用户的钥匙呢？

🪟 微软：从一扇被遗忘的旧门进入

2023 年 11 月底，被微软称为 Midnight Blizzard 的组织（据美国和英国政府称与俄罗斯情报机构有关）盯上了……一个旧的测试账户。他们的手法是密码喷洒（password spraying）：拿少数几个非常常见的密码去尝试大量账户，而不是对单个账户尝试大量密码，以免触发警报。这个防护较弱的旧账户最终失守。

借助这个最初的立足点，攻击者访问了微软一小部分员工的邮箱，其中包括高层管理人员以及网络安全等专业团队成员的邮箱。微软后来表示，这些邮件中找到的信息被用来尝试访问其他内部系统。

耐人寻味的细节是：他们并没有直接攻击高管的账户，而是先找到了一扇侧门，再借此深入。在网络安全中，最重要的门不一定是正门：有时，它是那个早已无人问津的旧账户。

🎰 美高梅：一个诡计如何最终波及拉斯维加斯

2023 年 9 月，拉斯维加斯。老虎机熄灭，房卡失灵，预订系统陷入混乱。这就是袭击美高梅度假村（MGM Resorts）的事件，这家公司是美国赌场业巨头之一。

怎样才能进入这样一个巨头？不一定要正面攻击它的服务器。据媒体报道，攻击者瞄准的是 IT 服务台：他们利用网上找到的信息冒充一名员工，从而获得帮助，进入了该员工的账户。美高梅事后估计，这起事件造成的影响约为 1 亿美元。

教训是：服务台可能成为和服务器一样重要的目标。技术人员的职责本来就是帮忙。如果有人让他相信自己就是那个合法用户，系统最终就会做它被设计来做的事：提供帮助。

📨 约翰·波德斯塔：一封看似谷歌警报的邮件

2016 年 3 月，时任希拉里·克林顿总统竞选团队主席的约翰·波德斯塔收到一条消息，看上去像是谷歌的安全警报：“Someone has your password”（“有人知道了您的密码”）。消息声称检测到可疑登录，并催促他立即修改密码。

实际上，这个链接通向攻击者控制的一个假页面。据美联社报道，这个陷阱让攻击者进入了他的邮箱，拿到约 5 万封邮件，其中一部分后来在竞选期间被公开。

让这个故事耐人寻味的细节是：这封邮件曾被转给竞选团队的 IT 支持人员核实。回复是什么？说这是一封“合法”的邮件。回复者后来解释说，他本想写的是“不合法”。一个笔误，出现在最糟糕的时刻。

值得思考的问题：如果连负责安全的人都会上当，网络钓鱼为何如此可信？

这些故事的共同点

这些攻击使用的机制并不相同，而这恰恰是有意思的地方。

所以，共同点并不是“一封邮件”。真正的共同点是：获取信任或必要的访问权限，让系统自己把门打开。

为什么网络钓鱼变得更加危险

过去，人们常常能从漏洞中认出钓鱼邮件：“Dear Sir, your account is blocked, please click”、错误百出、地址古怪。

如今，一封钓鱼邮件可以写得完美无瑕、高度个性化、贴合受害者的职业，融入公开信息（社交网络、公司网站），并在最可信的时机发出。生成式 AI 让这种个性化前所未有地快速（参见网络钓鱼：研究人员与攻击者之间的猫鼠游戏）。

例如，2024 年 10 月底，微软披露了同一组织 Midnight Blizzard 发动的一场定向钓鱼活动，目标是 100 多个机构中的数千人。部分邮件冒充微软员工，并提及其他在线服务提供商。

变化是根本性的：网络钓鱼不再只是大量发送劣质邮件，而是要把对的消息发给对的人。

同样的套路，就在日常生活中

不必是跨国公司也会成为目标。同样的伎俩随处可见：

• 邮件：“您的账户将在 24 小时后被删除。”
• 短信：“您的包裹无法投递。”
• Discord：“快看这个视频 😂”
• Instagram：“您的账户即将被封禁。”
• 学校：“作业必须在今晚之前提交。”
• 假朋友：“能把你刚收到的验证码发给我吗？”

布景变了，身份变了，紧急程度也变了。但隐藏的信息始终如一：“马上行动，别花时间思考。”

黄金法则：打破剧本

与其列出十条规则，不如记住一个道理：攻击者想控制您的节奏。他希望您看到 → 慌张 → 点击 → 照做。目标是打断这条链：看到 → 停 → 核实 → 决定。

三个简单的习惯

1. 看真实地址，而不只是显示名称。大字写着“客户服务”什么也证明不了；完整地址，尤其是 @ 后面的域名，才更能说明问题。
2. 换个渠道。消息自称来自老师、银行或朋友？不要直接回复这条消息来核实：通过其他方式联系对方（电话、官方应用、当面）。
3. 登录时，从官方网站出发。如果邮件要求您登录，请自己打开网站或应用，而不是点击消息里的链接。

如果这条消息确实是个陷阱，最后一个有用的习惯是：举报它。使用 Baitback，只需粘贴邮件：工具会找出发送它的服务器及其托管商，并准备好举报，让这场攻击活动被关停。想了解为什么一封看似完美的邮件仍然可能说谎，另请参阅即使检查显示“通过”，邮件也可能在说谎。

攻击者不需要打败您

只要有人肯替他开门，攻击者就不必破门而入。

最惊人的攻击并不总是依赖未知的技术或轰动的病毒。有时，一切始于一条消息。一通电话。一个账户。一个几秒钟的失误。而这个小失误背后，可能是数以百万计的数据、一家陷入瘫痪的大企业，或者被曝光的机密信息。

在网络安全中，最薄弱的环节不一定是电脑。有时，是讲给屏幕前那个人听的故事。