波仔
🛡️ 第二章 针对网络的攻击
📄 一句话概括

冒充是收益最高、技术门槛最低的一类攻击——它不需要攻破任何系统，只需要让一个人相信"这是我认识的那个人"。

📝 本节和前面几节的关系

前两节（数据的偷窥 看、威胁数据可靠性的攻击 改）都是针对系统和数据的。这一节换了目标：针对人。

它对应第一章的真实性（见 三要素以外的特性）——"现在这个人是不是他"。也正面呼应了 使用一次性密码安全性更高 里那条结论：抗钓鱼靠密码学，不靠用户眼力。

一、冒充的三个层次

按"要花多少功夫"排，冒充大致分三档：

层次 做法 需要什么 拦得住吗
假扮 注册一个长得像的域名、把显示名改成领导的名字 几乎没有成本 技术手段能拦（认证机制）
盗用 攻陷真实账号，用真账号发消息 一次凭据泄露 技术手段拦不住（确实是真账号）
合成 用 AI 生成"像本人的"文字、声音、影像 素材 ＋ 工具 越来越难

第二档才是主流。 这是本节最需要记住的一点：认证机制只能挡住"假扮"，挡不住"盗用"。 因为对认证系统来说，用真账号发出的邮件就是真邮件。

二、为什么偏偏是"冒充人物"

因为人做判断靠的是"像不像"，而不是"验没验"。三个心理机制被反复利用：

  1. 权威感——"领导让我办的，我不该多问"。这在组织里是根深蒂固的。
  2. 紧迫感——"现在就要，晚了就来不及"。赶时间的时候人不会走流程。
  3. 保密感——"这事别告诉别人"。这一招专门用来切断你向同事求证的路。

把这三条连起来看，一切就清楚了：冒充攻击的本质不是伪装得像，而是设计一个让你不想去核实的场景。

三、最常见的落点：商业邮件欺诈

这是冒充类攻击里金额最高的形态。流程通常是这样的：

  1. 情报搜集——从公开渠道（官网、招聘信息、社交平台、公司组织架构、项目公告）摸清谁负责付款、谁是领导、供应商是谁、最近在做什么项目。
  2. 进入——要么注册形似的域名（差一个字母、换个顶级域），要么直接攻陷一个真实邮箱。
  3. 潜伏——如果攻陷的是真邮箱，攻击者常常先不说话，设一条转发规则静静观察，等一个合适的时机。
  4. 下手——在关键节点发出请求：改收款账号、改工资卡号、紧急付款、发票重开。
  5. 变现——转账、礼品卡、加密货币。

中间那一步"潜伏"最值得注意：它说明这类攻击不是"一封邮件"，而是一段有耐心的对话。所以只盯单封邮件的检测思路，天然是弱的。

四、技术侧能做什么

技术手段主要在堵"假扮"这一档，靠三件套：

机制 干什么 局限
发件人策略框架 声明"哪些服务器有权代表我这个域名发信" 只看信封发件人，不看收件人看到的显示名；转发场景会失效
域名密钥签名 给邮件做密码学签名，证明途中没被改 部署比前者复杂（要生成密钥、发到域名系统、配置服务器）
基于域名的认证报告与一致性 把前两者串起来，并要求"认证的域"和"显示的发件域"必须对齐；不一致就按策略处理 需要时间调（先观察、再隔离、最后拒绝）

三者是递进关系，不是三选一。而"对齐"这个词是关键——它能防住"显示名是领导、实际来自别的域名"这种假扮。

但请回到第一节那句话：这三样都挡不住"真域名被盗"。

五、动手 Demo：邮件身份核验 ＋ 红旗检查

下面这段脚本把"技术核验"和"流程红旗"两套判据合起来，对八封邮件逐封判定。

# 判定规则：
#   ① 认证未对齐（三项任一不过）→ 直接判【伪造】
#   ② 认证对齐但有红旗（催办 / 改账号）→ 【必须回拨已知号码复核】
#   ③ 认证对齐且无红旗 → 【可信】
mails = [
    ("财务总监 张明", "zhangming-finance.com", 0, 0, 0, "要求立即汇款", 1, 1),
    ("长期供应商 A", "supplier-a.com", 1, 1, 1, "常规对账", 0, 0),
    ("同事 李工", "ourcorp.com", 1, 1, 1, "会议改期", 0, 0),
    ("CEO 王总", "gmail.com", 0, 0, 0, "保密收购，速办", 1, 1),
    ("供应商 B（账号已被盗）", "supplier-b.com", 1, 1, 1, "收款账号变更", 1, 1),
    ("供应商 C", "supplier-c.com", 1, 1, 1, "发票金额与合同不符", 1, 0),
    ("人事部", "ourcorp.com", 1, 1, 1, "改工资卡号", 1, 1),
    ("财务共享中心", "ourcorp.com", 1, 1, 1, "月度对账单", 0, 0),
]

实跑输出：

  判定规则：
    ① 认证未对齐（SPF/DKIM/DMARC 任一不过）→ 直接判【伪造】
    ② 认证对齐但有红旗 → 【必须回拨已知号码复核】
    ③ 认证对齐且红旗 = 0 → 【可信】

  显示的发件人                    实际发件域                 SPF   DKIM DMARC红旗数    判定
  --------------------------------------------------------------------------------------------
  财务总监 张明：要求立即汇款            zhangming-finance.com 不过    不过   不过   2      伪造
  长期供应商 A：常规对账              supplier-a.com        通过    通过   通过   0      可信
  同事 李工：会议改期                ourcorp.com           通过    通过   通过   0      可信
  CEO 王总：保密收购，速办            gmail.com             不过    不过   不过   2      伪造
  供应商 B（账号已被盗）：收款账号变更       supplier-b.com        通过    通过   通过   2      必须回拨复核
  供应商 C：发票金额与合同不符           supplier-c.com        通过    通过   通过   1      必须回拨复核
  人事部：改工资卡号                 ourcorp.com           通过    通过   通过   2      必须回拨复核
  财务共享中心：月度对账单              ourcorp.com           通过    通过   通过   0      可信

  合计：伪造 2 ｜ 必须回拨复核 3 ｜ 可信 3

  ① 第 5 行最值得盯——供应商 B 的 SPF、DKIM、DMARC 全部通过，
     因为它就是真域名，只是发信的那个账号已经被盗。
     这类正是 BEC 的主流：约 72.4% 的 BEC 来自凭据窃取。
  ② 认证只能挡住【假域名】，挡不住【真域名被盗】。
     所以流程上的动作不能省：凡是改收款账号、改工资卡，
     一律用【台账里原有的电话】回拨确认，不用邮件里的联系方式。
  ③ 另一条硬数据：只有约 3.8% 的 BEC 邮件带恶意附件，
     所以附件查毒和沙箱基本拦不住它。

读这个输出：八封里只有两封被判"伪造"（认证不过），而有三封认证全过却仍需回拨复核。这三封才是最难防的——技术指标一切正常，唯一的破绽在流程上（要求改账号、要求加急）。这也说明：防冒充不是纯技术问题，缺了流程那一半，技术那一半就不起作用。

六、⚠️ 2026 现状

30 秒实验

打开你自己的邮箱，做三件事：

  1. 翻一封"要求你做点什么"的邮件（改密码、确认订单、点链接），把鼠标停在发件人上——看真实地址，而不是显示名。
  2. 找一次"催得急"的邮件，问自己一句：如果它不急，我会不会多看一眼？ 这个"急"是不是对方刻意给你的？
  3. 查一遍你邮箱的自动转发规则和登录设备列表（大多数邮箱在"设置—转发"和"安全—登录设备"里）。有没有你不认识的规则或设备？ 这是攻击者潜伏期最容易留下的痕迹。

这一节要带走的一句是：冒充不需要骗过系统，只需要骗过一个人——所以能救你的，往往是那通"用台账里原有号码打过去"的电话。

常见误区

  1. 错误：邮件认证都通过了，所以这封邮件可信。——纠正：认证机制证明的是"发信的这个域名有没有被假冒"，不是"发信的这个账号有没有被盗"。真域名、真账号被攻陷之后发出的邮件，三项认证全过。认证过 ≠ 内容可信，只等于"域名没被仿冒"。

  2. 错误：这类攻击靠员工提高警惕就能防住。——纠正：把安全寄望于"人不出错"是最不划算的一笔支出（见 成本、便利性、安全性的考量）。更有效的做法是把"人必须主动判断"换成"流程强制走一遍"——比如超过一定金额的付款必须双人授权、改收款账号必须回拨原号码确认。流程不会疲劳，人会。

  3. 错误：只盯新技术就好，老办法已经没用了。——纠正：2026 年的新变化是音频、视频、实时合成都用上来了，"眼见为实"彻底失效。但这恰恰让老办法更值钱：既然"看起来像"不再可信，那么只有独立渠道的核验还能站得住。技术越强，流程越重要。

  4. 错误：被骗了就自认倒霉，先想办法把钱追回来再说。——纠正：时间是最关键的变量。数据显示在 72 小时内报案的追回率约七成——所以第一动作应该是立刻报警并通知银行，同时保留原始邮件和记录。先追钱、后追责的顺序不能反。

自测三问（点开对答案） 1. 为什么邮件认证机制挡不住"真账号被盗"发来的欺诈邮件？ —— 因为认证机制验证的是**域名的发信授权**（这个域名允许哪些服务器代它发信）和**邮件的完整性**，而不是**账号是否被本人使用**。用真账号、真服务器发出的邮件，三项认证**全部通过**——对系统来说这就是一封正常的邮件。**技术手段在这里的边界是"域名真伪"，进不到"账号真伪"。** 2. 为什么"改收款账号 + 催得很急 + 要求保密"这三条一起出现时，是最危险的信号？ —— 因为这三条是一个完整的设计：**改账号**是目的（把钱引走），**催办**是让人不走流程（时间压力），**保密**是切断求证渠道（不让你问同事）。三者叠加说明攻击者**研究过你们的流程**，知道哪一步最容易绕过。所以处置也不能只看单条——**只要出现"改账号"这个动作，就必须走独立渠道核验**。 3. 为什么说"双人授权"这类流程约束比"提高警惕"更有效？ —— 因为**人的注意力会疲劳、会被情绪影响，流程不会**。攻击者用的是"让你不想核实"，而流程把核实变成了**必须走的动作**，不取决于当时那个人状态好不好。数据也支持这一点：采用线下双人授权的组织，电汇欺诈成功率下降约 89%——**这是可测量的效果，不是"希望员工更小心"。**

相关笔记