spoofing欺骗攻击

2023年10月，欺骗香港一家跨国贸易公司的攻击财务总监收到“CEO”的邮件，要求紧急向某供应商转账280万美元。欺骗邮件语气急切，攻击附上了完整的欺骗合同编号和发票。财务总监没有打电话核实——毕竟，攻击邮件签名、欺骗域名、攻击甚至语气都和平时一模一样。欺骗三天后，攻击真CEO在电梯里问起这笔款，欺骗财务总监才意识到，攻击那个“CEO”从未存在过。欺骗

这就是攻击spoofing，欺骗攻击。欺骗它不暴力破解密码，不植入木马，它只是伪装成你信任的人。攻击者伪造发件人地址、电话号码、IP地址，甚至整个网站界面，让你在毫不知情的情况下交出敏感信息或执行转账。

最典型的例子是邮件伪造。SMTP协议从设计之初就没考虑过身份验证，就像寄平信时你可以随便写个假回信地址。攻击者用简单的工具就能把发件人栏改成你的银行、你的老板、你的大学同学。普通人肉眼根本看不出区别——除非你点开邮件头部的原始代码，去逐行核对"Received from"路径。但谁又会每次收邮件都这么干呢？

电话诈骗里也有spoofing的变种。去年我接到一个电话，屏幕显示“110”，接通后是标准的女声播报：“您的社保卡已被冻结，详情请按1”。我按了1，对面立刻切到人工，一个操着福建口音的“警官”要我提供银行卡号。我挂了电话，回拨那个号码——语音提示是空号。这就是主叫号码伪造，运营商之间的信令协议漏洞被利用了。

更隐蔽的是DNS欺骗。攻击者入侵路由器或篡改本地hosts文件，让你访问的“google.com”实际指向一个钓鱼服务器。浏览器地址栏显示完全正确的域名，HTTPS小锁头也亮着——但证书是伪造的，页面是克隆的。你输入的每个字符都被实时转发到攻击者的数据库。这种攻击最难防范，因为它发生在你与互联网的必经之路上。

防御手段其实并不高深。多因素认证能挡住大部分账号接管型攻击；对紧急转账请求，用语音或视频二次确认；关键系统启用DNSSEC协议。但最有效的还是人的习惯——收到可疑邮件时，把鼠标悬停在链接上看看实际URL；接到来电显示“银行”的电话，主动挂断后拨打官方客服。

技术界有个尴尬的事实：spoofing攻击的成功率主要取决于人的疏忽，而非技术的精妙。攻击者研究的是人性——紧迫感、权威崇拜、惯性信任。那个香港财务总监后来回忆，邮件里其实有一个细微破绽：CEO平时签名用全名，而那封伪造邮件只写了名字首字母。但在“马上转账否则违约”的压力下，没人会注意这个细节。

说到底，spoofing攻击是一场心理战。技术只是面具，面具后面是精心设计的剧情。你要做的不是练就火眼金睛，而是在关键时刻怀疑一切——哪怕对方看起来像你最亲近的同事。