2023年夏天，网络某跨国物流公司的安全案例财务总监收到一封来自“CEO”的紧急邮件，要求当天下午向一个新供应商账户转账28万美元。程原邮件语气急促，因分措辞精准，网络连公司内部项目代号都用得一字不差。安全案例财务总监没多想，程原照办了。因分三天后，网络真正的安全案例CEO在走廊里问他那笔钱是怎么回事——邮件是假的，发件地址只比真实域名多了个不显眼的程原“r”。

这案子不算高科技。因分攻击者没破解任何防火墙，网络没植入恶意软件，安全案例甚至没写复杂代码。程原他们只是花了两周时间，蹲在公司领英主页上，观察谁在跟CEO互动，谁负责财务审批，然后注册了相似域名，伪造了邮件头。整个过程像配钥匙——不需要撬锁，只要找到锁芯的形状。

事后调查发现，财务总监的邮箱里躺着七封来自“CEO”的邮件，前六封都是闲聊和会议安排，语气逐渐从“你们部门最近怎样”过渡到“有笔紧急款项需要处理”。这种渐进式铺垫，让最后一封诈骗邮件看起来不过是日常对话的延续。人的信任感一旦建立，就很难在关键时刻刹车。

更深层的问题出在流程设计上。公司规定单笔超过十万美元的转账需要双人审批，但财务总监和另一位审批人共用同一个邮件系统——攻击者只需要骗过一个人，另一个人的审批几乎成了橡皮图章。安全控制如果只停留在纸面上，就像给保险柜装了密码锁，却把密码写在柜门上。

还有个细节让我印象深刻。事后复盘时发现，攻击者最早接触这家公司的时间，比财务总监收到第一封“CEO邮件”早了整整一个月。那是一次伪装成行业研讨会的钓鱼邀请，发给了公司行政助理。助理没点链接，但回复了“谢谢邀请，届时参加”——就这六个字，让攻击者确认了邮箱地址真实有效，也确认了公司内部对陌生邮件缺乏警惕。

这类案例里，技术漏洞往往不是主角。防火墙可以更新，补丁可以打，但人的认知盲区像深海暗流，看不见摸不着。那位财务总监事后说：“我那天下午正好在赶季度报告，脑子全是数字，看到CEO的名字就条件反射地执行了。”疲惫、压力、上下文切换——这些人类特有的状态，恰恰是攻击者最精准的瞄准点。

有意思的是，同一个月里，另一家规模相近的公司遭遇了几乎一模一样的攻击手法，却成功拦截了。区别只在于那家公司的财务系统里有一条硬性规定：任何涉及外部账户的转账，必须通过独立于邮件系统之外的电话二次确认。就这一道人工关卡，把攻击者精心编织的叙事彻底切断。

网络安全从来不是一道数学题，更像一场心理博弈。攻击者研究的是人如何做决定，而不是代码如何运行。那些最成功的入侵，往往不是最技术性的，而是最懂人性的。我们总以为加固系统就能挡住攻击，但真正的漏洞通常藏在日常工作的缝隙里——在匆忙的下午，在信任的惯性中，在流程的名义下。