上周三下午，互联我同事老周收到一条短信，网安说他的全风银行账户有异常登录，需要点击链接验证身份。案例他当时正在赶项目，范文随手就点了。互联页面做得很逼真，网安和银行官网一模一样，全风他输完账号密码，案例还顺手填了短信验证码。范文三分钟后，互联他卡里两万八被分五笔转走。网安
银行客服说，全风这属于典型的案例钓鱼攻击，但钱已经进了境外账户，范文追回概率极低。老周后来翻看那条短信，发件人号码是+86开头的虚拟号，链接域名是bank-security-verify.com——跟真正的官网就差一个连字符。他懊恼地说：“我当时怎么就没想到先打个电话问问？”
这事让我想起另一个更隐蔽的坑。我表弟在游戏公司做运维，有次收到一封“内部系统升级通知”的邮件，发件人显示是IT部门主管的名字。邮件里说需要他配合测试新登录流程，给了他一个内网地址。他输入工号和密码后，页面提示“验证成功，请关闭窗口”。第二天，公司数据库被勒索软件加密，赎金要求是40个比特币。
后来查出来，那封邮件是从一个外包人员的个人邮箱发出来的——那个外包人员的电脑半年前就中了木马，攻击者一直在潜伏，专门盯着内部通讯录学话术。表弟说，真正的IT部门根本不会用邮件让员工改密码，他们内部有专门的OA系统，但当时谁会想那么多？
最让我后背发凉的其实是另一个场景。我邻居家的孩子上初二，用父母的手机玩一款换装游戏，游戏弹窗说“免费领取限定皮肤”，需要扫码授权。孩子扫了，还按提示刷了人脸。第二天，父母发现支付宝里被借走了八千块——用的是花呗额度，而且因为开了小额免密，整个过程连个验证码都没触发。
这些案例有个共同点：受害者都不是技术小白，老周是做了十年的程序员，表弟天天跟服务器打交道，邻居夫妻也都是本科毕业。问题出在哪儿？我琢磨着，攻击者早就不靠暴力破解了，他们都在研究人性。老周着急赶工时警惕性最低，表弟对“领导”有天然服从性，孩子对“免费”没有抵抗力。
安全圈有句话叫“人是最薄弱的环节”，我以前觉得是扯淡，现在信了。你装再贵的防火墙，架再复杂的入侵检测系统，只要有人愿意点那个链接、扫那个码，一切都白搭。
我自己的习惯是：但凡涉及账号密码的操作，一律手动输入官网地址，绝不从短信或邮件里的链接进去。验证码这种东西，谁要都不给。还有，手机里装个反诈App，虽然经常误报烦人，但至少能拦下不少明晃晃的诈骗电话。
说真的，互联网安全这事儿，三分靠技术，七分靠常识。技术那三分，厂商和运维能帮你搞定；剩下七分，得靠自己多留个心眼。别嫌麻烦，你嫌麻烦的那几秒钟，可能正好就是骗子最需要的窗口期。