个人用户如何防范社会工程学的攻击

骗子现在很少直接黑进你的个人电脑。他们黑的用户是你。

上个月我接到一个电话，何防会工对方自称是范社某电商平台的“售后专员”，准确报出了我三天前买的程学一双鞋的订单号、尺码和收货地址。个人然后他说这批鞋甲醛超标，用户要给我双倍退款。何防会工我差点就信了——直到他让我下载一个“退款专用App”。范社

这就是程学社会工程学攻击。它不靠技术漏洞，个人靠的用户是人的漏洞：信任、恐惧、何防会工贪便宜、范社怕麻烦。程学你想防住它，得先承认一件事——你比你想的更容易上当。

你的信息比你以为的更值钱

骗子手里往往已经有你的一部分真实信息。快递面单、外卖小票、社交平台晒图、旧手机没清干净的数据、某个小网站泄露的数据库——这些都是拼图碎片。他们用碎片让你相信“对方是官方的人”。

我有个习惯：收到快递后，用记号笔把面单上的姓名、电话、地址涂掉再扔。成本几秒钟，但能减少一条信息流入黑市的机会。别在社交平台晒登机牌、车票、身份证。那上面的二维码和编号，足够有心人还原出你的很多信息。

电话里的“官方”两个字不值钱

凡是陌生来电自称客服、公安、法院、银行、运营商的，一律挂断，然后自己打官方号码回去核实。注意：不要用对方给你的号码，要自己从官网或App里找。

真客服不会让你下载莫名其妙的App，不会让你共享屏幕，不会让你转账到“安全账户”，更不会在电话里要你的短信验证码。验证码就是你家的钥匙，谁要都别给。

“紧急”是骗子的油门

社会工程学攻击几乎都带一个“急”字。你涉嫌洗钱，两小时内不处理就抓人。你孩子出车祸了，赶紧打钱。你的账户异常，马上点链接验证。

人一急，理性就下线。我的应对办法很笨但有效：任何让我立刻做决定的电话或消息，我先挂掉或关掉，等十分钟再说。十分钟够我冷静下来，也够我打几个电话核实。骗子最怕你拖时间。

链接和附件，先当毒药看

短信里的链接、邮件里的附件、微信里突然发来的文件——哪怕发件人是你认识的人，也要多问一句。账号被盗后，骗子会用你的身份继续骗你的联系人。

我收到过一封“同事”发来的工资补贴申领邮件，附件是个Excel。我打电话问那个同事，他说没发过。后来IT部门查出来，他的邮箱被黑了。点开那个Excel的人，电脑被装了木马。

物理世界也不能大意

有人会尾随你进公司大门，手里抱着箱子，说忘带工卡了。有人会在咖啡厅偷看你的屏幕。有人会翻你的垃圾桶找银行对账单。

在公共场合用电脑，贴个防窥膜。重要文件碎掉再扔。公司里遇到没带工卡的陌生人，客气地让他去前台登记，别直接刷开门。

一个反直觉的建议

别太相信自己的判断力。社会工程学攻击之所以有效，是因为它利用的是正常人的正常反应。你越觉得自己“肯定不会上当”，越容易在某个疲惫的下午、某个着急的时刻放松警惕。

养成几个死规矩：不点陌生链接、不给验证码、不装陌生App、转账前必须电话确认。规矩不需要动脑子，照做就行。骗子拿你没办法，因为你根本不给他对话的机会。

最后说句实在的：防社会工程学，七分靠习惯，三分靠怀疑。对突如其来的“好事”和“坏事”都保持一点迟钝，不是冷漠，是自保。