黑客社工网站

去年秋天，网站我帮一个做外贸的黑客朋友查一票货的物流。他给了我一个网址，社工说“你上去填个单号就行”。网站我点开，黑客页面粗糙得像2008年的社工个人站，但域名很正经，网站带SSL锁。黑客填完单号，社工弹出一行字：“查询失败，网站请验证您的黑客邮箱以继续。”下面是社工一个输入框，和一个灰扑扑的网站“验证”按钮。我随手填了个临时邮箱。三秒后，跳转到一个页面，要求输入该邮箱的密码。我笑了，关掉。那就是个钓鱼站，只是伪装成物流查询。朋友后来告诉我，他公司有三个业务员在那上面填了真实邮箱密码，其中一个人的邮箱绑定了公司PayPal。

这类站点，圈内叫“社工站”——社会工程学网站。它们不靠技术漏洞入侵，靠的是让你自己把钥匙递过去。一个典型的社工站，可能同时挂着“查询快递”“下载合同模板”“领取行业报告”三四个入口，每个入口都指向同一个登录框。你输什么，它收什么。后台可能就是个txt文件，记录着email:password，然后被批量卖给撞库的人。

做社工站的人，通常不觉得自己在“黑”谁。他们管这叫“引流”或“数据采集”。一个做黑产的朋友（后来断了联系）跟我说过，他手里有三十多个域名，每天换着挂不同的诱饵。情人节挂“前任定位查询”，开学季挂“四六级答案”，年底挂“年终奖计算器”。他说：“总有人急，一急就不看域名。”他给我看过后台，一个Excel表，列着邮箱、密码、IP、时间。我问他这些数据怎么变现，他说：“打包卖，一毛钱一条。但如果是企业邮箱，能卖到五块。”

这些站点的生命周期极短。短的三天，长的不过两周。域名被封就换一个，服务器架在境外，成本低到可以忽略。一个完整的钓鱼页面模板，网上几十块钱就能买到，带后台、带邮件通知。甚至有人提供“一条龙服务”：你只管把链接发出去，数据自动同步到你的Telegram。技术门槛几乎为零。

“你不需要会写代码，你只需要会写文案。”——一个社工站运营者在某论坛的留言。

那普通人怎么防？说实话，很难。因为社工站攻击的不是系统，是人的习惯。你习惯用同一个密码，习惯看到“登录”就输账号，习惯相信“官方”两个字。我自己的做法是：任何要求输入密码的页面，先看域名。不是qq.com、taobao.com这种主域名的，一律关掉。其次，用密码管理器。它不会自动填充陌生域名，等于多了一道闸。最后，别懒。那个外贸朋友后来给公司定了规矩：所有物流查询，必须去官网，不许点别人发的链接。麻烦，但有效。

写这些不是要吓谁。社工站这东西，像街边的假ATM，你小心点就没事，但总有人赶时间。技术圈有句话：“你无法防御一个愿意给你密码的人。”社工站就是那个让你“愿意”的陷阱。它不高级，甚至有点笨，但它管用。因为人性里的急、贪、懒，从来没变过。

前两天又看到一个。伪装成“个人所得税退税查询”，页面挂着国徽，域名是tax-gov.cn。我截图发到群里，有人说：“这也能骗到人？”能。而且骗到的，往往是最需要那笔退税的人。