常见的线上社工攻击不包括

社工攻击，上社说白了就是工攻玩人，不玩机器。包括可网上那些所谓的上社“社工科普”文章，翻来覆去就是工攻钓鱼邮件、假冒客服、包括伪造WiFi这几板斧，上社搞得好像黑客个个都是工攻演技派。但真实的包括线上社工，远比这阴损，上社也远比这无聊。工攻最容易被忽略的包括，恰恰是上社那些看起来根本不算“攻击”的动作。

最常见的工攻误解，是包括把“技术破解”和“社工”混为一谈。有人觉得，社工就是猜密码、撞库、拖数据。错。那叫暴力破解，是纯技术活，跟社工半点不沾边。真正的社工，是让目标自己把密码交出来，甚至让目标感谢你帮他“找回”了账号。所以，线上社工攻击的核心从来不是“攻破”，而是“诱导”。凡是靠工具硬怼的，都不算。

另一个被严重高估的，是“伪装成领导发邮件要求转账”。这招十年前确实好使，现在连财务新人都知道先打个电话核实。真正的社工高手早就不玩这种高风险低回报的把戏了。他们更愿意花两周时间，在LinkedIn上假装猎头，跟目标公司的行政聊职业规划，套出内部通讯录的命名规则，然后偷偷去试VPN的默认密码。这种慢工出细活的渗透，反而没人提。

还有一种被彻底忽略的线上社工——利用“信息差”而不是“信任差”。比如，攻击者会在二手交易平台挂个低价显卡，标价明显低于市场价。等买家上钩后，他说自己在外地，要先付定金，然后发个“物流链接”让买家填地址。这链接其实是个钓鱼页面，收集买家的手机号、身份证号和住址。整个过程不涉及任何公司机密，纯粹是个人隐私收割。但你看，这算“线上社工”吗？当然算，它利用的是人对“捡便宜”的心理，而不是技术漏洞。

更隐蔽的，是那种“假装帮你解决问题”的社工。你电脑弹窗报错，搜索解决办法时，找到一个帖子，里面的人语气专业，一步步教你打开命令行，输入一串“修复代码”。其实那代码是把你的文件加密，然后等着你联系他“付费解锁”。这招不骗傻子，专骗那些自以为懂点电脑、但又不完全懂的人。整个过程没有邮件，没有电话，全靠一段文字和一个伪装的论坛账号。

所以你看，常见的线上社工攻击，压根不包括那些教科书里写烂了的“钓鱼邮件”或“假冒客服”。真正的攻击，往往发生在你以为自己很安全的时候——在论坛提问、在闲鱼砍价、在搜索框里输入“如何解决蓝屏”。攻击者不急着要你的银行卡密码，他们只要你在某个瞬间，愿意点一下那个“看起来没问题”的链接。

说到底，线上社工攻击玩的是“注意力”和“紧迫感”。一旦你感到着急、好奇、或者觉得占了便宜，你就已经站在坑边了。那些所谓“常见的”攻击手段，之所以被反复科普，是因为它们容易演示、容易写进报告里。但现实中的攻击，往往安静得像一条普通的消息通知，你甚至不会多看一眼。

下次再有人跟你说“社工攻击就是发钓鱼邮件”，你可以笑笑。真正的社工，可能正蹲在你常逛的论坛里，等你发一条求助帖。