你打开邮箱，可疑看到一封来自“IT支持部门”的邮件于邮件，标题写着“紧急：您的求提密码将于24小时内过期”。正文里有一个蓝色按钮，供密攻击点进去是码属一个和公司登录页几乎一模一样的界面。你输入了账号和密码。可疑第二天，邮件于你的求提邮箱开始向全公司联系人发送垃圾邮件，你的供密攻击网盘文件被加密，勒索信躺在桌面上。码属这不是可疑电影情节，是邮件于上周我朋友老张的真实经历。他收到的求提这封邮件，就是供密攻击典型的网络钓鱼攻击（Phishing）。

钓鱼攻击的码属核心逻辑很简单：伪装成你信任的人或机构，骗你主动交出敏感信息。密码、验证码、银行卡号，都是他们的目标。老张那封邮件里的“IT支持部门”其实是攻击者伪造的发件人名称，真正的邮箱地址是一串乱码。那个蓝色按钮背后的链接，指向一个由攻击者控制的服务器，页面是克隆的。你输入什么，对方就收到什么。

这类攻击为什么能成功？因为它利用的是人的惯性反应。你看到“密码过期”会紧张，看到“领导要求”会服从，看到“中奖通知”会好奇。攻击者不需要攻破防火墙，他们只需要让你自己把钥匙递过去。老张后来回忆，他当时确实犹豫了一秒，但邮件里写着“不操作将导致账号停用”，他怕麻烦，就点了。

钓鱼邮件通常有这几个特征：发件人地址与官方地址有细微差别，比如把“company.com”写成“cornpany.com”；正文里制造紧迫感，要求你“立即”“马上”操作；链接指向的网址和显示的文字不一致，鼠标悬停就能看到真实地址；附件可能是.exe或.scr文件，伪装成发票或简历。但攻击者也在升级，有些钓鱼邮件不带你点链接，而是直接回复“请把密码发给我确认身份”。这种更直接，也更危险。

收到可疑邮件要求提供密码，这属于社会工程学攻击的一个子类。社会工程学不靠技术漏洞，靠的是心理操纵。钓鱼是其中最普遍的一种，通过邮件、短信、电话甚至社交媒体私信实施。还有“鱼叉式钓鱼”，针对特定个人定制内容，比如冒充你的客户发来合同，附件里藏着木马。“鲸钓”则专门针对高管，冒充CEO要求财务转账。

怎么防？第一，任何索要密码的邮件，直接判定为攻击。正规公司永远不会通过邮件问你要密码。第二，别点邮件里的链接，手动输入官网地址登录。第三，开启双因素认证，即使密码泄露，攻击者还需要你的手机验证码。第四，收到可疑邮件，转发给IT安全部门，然后删除。老张后来做了这三件事，但损失已经造成——他花了三天重置所有账号，还向客户解释了那封奇怪的邮件。

我自己的工作习惯是：看到“紧急”“验证”“密码”这三个词同时出现在邮件里，直接标记为垃圾邮件。如果实在拿不准，用另一个渠道确认——比如给发件人打个电话，或者当面问一句。攻击者可以伪造邮件，但很难同时控制电话和面对面沟通。这个习惯帮我挡掉了至少五次钓鱼尝试。

钓鱼攻击不会消失，因为它的成本太低，回报太高。一封邮件、一个假页面，就可能换来一个企业的内网权限。作为普通用户，你不需要成为安全专家，只需要记住一条：密码是你最后一道防线，别把它交给任何人，哪怕对方看起来像你的老板、银行或政府机构。那封邮件里的蓝色按钮，点下去容易，收场很难。