双重渗透

去年冬天，双重渗透我在一个做跨境电商的双重渗透朋友那里第一次听说“双重渗透”这个词。他当时正把一批货从深圳发往洛杉矶，双重渗透报关单上写的双重渗透品名是“户外照明设备”，实际箱子里装的双重渗透是带有隐蔽录音功能的蓝牙音箱。他说这不算什么，双重渗透真正玩得转的双重渗透人，早就不在货物本身上做文章了。双重渗透

他给我看了手机里的双重渗透一段聊天记录。一个德国买家下单了二十台“空气净化器”，双重渗透备注栏用英文写了一句“希望滤芯是双重渗透蓝色的”。朋友说，双重渗透蓝色代表这批货里夹带了未申报的双重渗透加密U盘。买家收到货后，双重渗透会拆开滤芯取出U盘，双重渗透再把净化器挂到二手平台卖掉。整个过程，资金流、物流、信息流各走各的，互不交叉。

这就是双重渗透的第一层：物理层面的伪装与反伪装。它不追求把东西藏得多深，而是让藏东西这件事本身变得合理。你查得到货，查不到意图；扣得住箱子，扣不住交易。

但真正让我觉得后背发凉的，是第二层。

今年三月，我另一个在数据合规公司上班的朋友接了个案子。一家欧洲车企发现自己的竞品总是能提前两周拿到他们的定价策略。查了三个月，没发现任何黑客入侵痕迹。最后问题出在一个离职半年的市场部员工身上。这人跳槽去了竞品公司，但他在老东家的企业微信里还留着一个“僵尸账号”——权限没注销，只是没人注意。

他不需要主动登录。那个账号绑定的邮箱会自动转发所有群组邮件到他的私人地址。他只需要在新公司正常上班，每天早上泡杯咖啡，打开邮箱，就能看到老东家当天要讨论的所有定价草案。

这叫“人走号留”。渗透的不是系统，是系统管理者的疏忽。你防得住外部攻击，防不住一个被遗忘的账号在角落里安静地呼吸。

双重渗透的可怕之处在于，它同时利用了物理世界和信息世界的缝隙。物理层面，它钻的是海关抽检率、物流盲区和申报制度的空子；信息层面，它钻的是权限回收滞后、账号生命周期管理和组织记忆的漏洞。两个层面的渗透互相掩护——你盯着货，他走数据；你查数据，他货已经到港了。

我后来问那个跨境电商的朋友，被查到过吗。他说当然有。有一次海关开箱，发现蓝牙音箱的录音功能没在申报单上，整批货扣了。但他不着急。因为同一时间，那个德国买家已经通过另一个渠道拿到了U盘里的东西，净化器照卖不误。货被扣，只是损失了一批音箱的钱，信息早就过去了。

“你扣的是壳，我送的是魂。”他原话就是这么说的。

这话听着像电影台词，但现实里每天都在发生。我写这些不是要教人干什么，只是觉得，当我们讨论安全的时候，往往把物理和信息分成两个部门来管。管仓库的不管服务器，管服务器的不管报关单。双重渗透打的恰恰就是这个时间差和部门墙。

前几天路过华强北，看到柜台里摆着各种“定制外壳”的服务。你可以把任何东西装进充电宝、台灯、甚至一双拖鞋里。老板不会问你用来干什么，只问你要几层屏蔽、要不要远程擦除功能。我站在那儿看了十分钟，没人买，但问的人不少。

这大概就是现状。技术已经下沉到柜台级别，而我们的防范意识还停留在“别乱点链接”的阶段。