2026-10-16 07:43:40 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

他换了信任的人，却没换核验的信道：《毛骗》第一集的两次社会工程学攻击

原创

messfree
messfree

MessFreeSecurity

2026年9月28日 14:15
河北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

网络安全·社会工程学专题 01

台球厅老板陈达爱炒股。“方婷”以股票内幕为由，把他引向“刘姐”。陈达先投 1000 元，拿回 1300 元后，又交出 1 万元。年轻人小宝随后揭穿骗局，劝陈达再准备 2 万元现金设伏。结尾，钱捆里露出的却是白纸。陈达最警惕的时候再次被骗：他换了信任的人，却没换核验的方法。

证据边界：剧情依据本集台词与镜头；网安场景只作机制类比。剧中未见券商系统入侵，现金调包过程也没有交代。

第一次：投资

陈达以为　确认内幕机会，防对方携款潜逃

受控要素　所看的走势、使用的电脑、小额回款

网安类比　控制显示与查询入口，使独立核验缺席

判断诱因\*　既有期待被画面和回款反复强化

第二次：挽损

陈达以为　联合知情人设伏，追回已交出的 1 万元

受控要素　补救方案、追加 2 万元的理由、视频验资节奏

网安类比　借“帮忙追回”接管处置流程

判断诱因\*　挽损压力；说出真相的人更容易获得信任

心理因素是剧情解读，不能据此断言陈达当时的内心状态。

陈达并非没有核验。他要住址、拿回款、看走势、布置埋伏，还开了视频。每一步都要追问两件事：他想验证的命题是什么？眼前的证据实际验证了什么？ 两者的差距，就是团伙反复利用的空间。

图1｜两次接管的对象不同：第一次是信息与核验入口，第二次是补救步骤。图中“网安对应”为机制类比。

先让陈达看到“上涨”，再让他失去自己查的机会

团伙知道陈达喜欢炒股，于是让自称“方婷”的安宁从台球厅接近他。方婷借电脑看股票，接着说朋友“刘姐”掌握内幕消息，可以代买，获利后收取 20% 佣金。陈达提出去刘姐住处交易，想确认对方有处可找。这是一次警惕的尝试，却只回答了“人能不能找到”，没有回答“股票有没有买入”。

图2｜约 11:35，陈达向“方婷”介绍自己。团伙从他的兴趣切入，而非一上来就要求投钱。剧照：《毛骗》第一集。

团伙后来明确商议“做一个假的股票走势图”。紧接着，有人提出陈达有自己的电脑，于是必须让他“只能用咱们的电脑”。两句台词连在一起，才是第一轮骗局的技术关键：伪造画面还不够，还要使目标只能从受控入口看画面。

图3｜约 21:57，团伙提出制作假走势图。镜头能支持“准备伪造呈现内容”，不能支持“真实市场价格被修改”。

图4｜约 22:09，“只能用咱们的电脑”把查询入口也交给了团伙。

在安全实践里，核对一条可疑消息时，常要另起一条独立通信路径，也就是“带外核验”（Out-of-Band）。NIST 的术语表强调信息经由另一条通信通道传递。

陈达自己的电脑原本给了他从自己选择的入口查询的机会；但“自己的电脑”本身并不保证独立。如果他仍点击方婷发来的地址，看到的也可能是同一套假页面。陈达应先问清交易是否发生在自己名下的证券账户：若是，就从已知的合法券商入口查成交；若刘姐声称用她的账户“代买”，陈达无法靠自己的账户查证，更不能把她提供的走势图或截图当作成交记录。

把陈达当时掌握的信息分成三层，差距更清楚：

显示层

应核验　行情页面、上涨曲线、余额画面

剧中可见　团伙讨论假走势图，并要求使用他们的电脑；即使看到上涨，也不能据此确认真实成交

系统层

应核验　查清交易主体；若是本人账户，从已知合法券商入口查询委托、成交和持仓

剧中可见　剧中声称由刘姐“代买”，未见陈达从权威系统核对；若交易在刘姐账户，陈达更无法凭自己的账户查证

资金层

应核验　本人银行或证券资金账户的原始流水、收款方及交易结算凭证

剧中可见　陈达交出 1000 元后拿回 1300 元；这只能确认团伙付过钱，不能确认回款来自股票收益，或后续本金安全

系统记录与资金流水也要从可信入口取得；一张“成交截图”或对方递来的“银行回单”，仍可能只是显示层材料。

看似多条线索，实际出自同一方

陈达要到了刘姐的住处，拿回了 1300 元，还被引向一张上涨走势图。三件事分别发生在线下地点、现金交易和电脑屏幕上，看起来像交叉验证。但住处由刘姐一方安排，回款由团伙支付，走势图和查询电脑也由团伙准备。材料的形式不同，不等于来源独立。

住址只能说明有人能在那个地点被找到；回款只能说明有人愿意付出 300 元；走势图只能说明屏幕显示了上涨。三者相加，仍没有一条独立证据指向“股票真实买入”。一笔真实的回款，完全可能被拿来包装一笔未经证实的收益。团伙拿走陈达的电脑，则进一步减少了他跳出这组同源材料的机会。

这组同源线索最终促使陈达把投入提高到 1 万元。团伙无须触碰证券系统，只需安排他能看到什么、能拿到什么。

图5｜约 24:19，陈达提高投入。前一笔 1300 元回款不能证明这一笔 1 万元会进入证券账户。

揭穿前一个骗局的人，接管了后一个骗局

1 万元交出去后，小宝来到陈达面前，告诉他：方婷和刘姐是骗子。这句话与剧情事实一致。陈达因此有理由重新审视第一笔钱，却没有同样审视小宝提出的下一步。

小宝先要 2000 元报酬，最终谈到 500 元；又让陈达假装追加 2 万元，等刘姐上门取钱时带人抓她。讨价还价可能让“知情人”显得像在做一笔普通交易，但影片不能证明小宝故意利用了这一心理效果。能够确认的是：他提供了一条真消息，也提供了一套让陈达再次拿出现金的方案。

说对前一件事，不能替下一步签字

小宝准确揭穿方婷和刘姐，说明他知道第一场骗局的内情。至于他从哪里知道、是否与团伙有关，陈达当时并没有独立核实；结尾小宝与团伙会合，观众才得到答案。掌握真实细节只证明知情，不能证明善意，更不能自动取得处置权。

陈达实际上需要分别回答四个问题：方婷和刘姐是否行骗？小宝是谁？他的方案是否可靠？为了抓人，为什么要再拿出 2 万元？第一问得到正确答案，后三问没有因此自动成立。第二轮骗局正是从这里推进的：陈达把对“揭穿内容”的信任，延伸成对“揭穿者”和“抓捕方案”的信任。

这与反诈实践中的“追回损失诈骗”（Recovery Scam）有相似结构：FTC 的说明提醒，骗子会再次接触受害者，声称能帮其追回损失。本集小宝没有冒充执法人员，第二轮骗术也不是照搬典型的“交手续费追回款”。相似之处在于：受害者刚意识到损失，新的“帮手”便取得了处置主动权。

从“期待投入的 1 万元获利”转向“想追回已交出的 1 万元”，问题的重心也变了。前景理论描述了人们在不少决策情境中对损失更敏感的现象，可帮助理解挽损方案为何有吸引力。镜头里能观察到的是：陈达忙着布置抓人，却没有追问“既然是抓骗子，为什么要先准备并展示 2 万元现金”。是否出现所谓“认知隧道”，影片没有提供足够证据。

视频验资：谁在核验谁？

刘姐要求通过视频先看见号称 2 万元的现金，才肯来取钱。陈达把这当成诱敌的一环；对刘姐而言，视频至少能确认陈达愿意按方案备钱。画面只显示他展示了一捆看似现金的钱，无法验证总额、内层真伪或后续保管状态，更不能核实刘姐的真实意图。

视频通话在这里有明确的验证方向：刘姐提出条件，陈达照做。刘姐由此看到他愿意继续行动；陈达想确认的“她会不会按约到场、钱能否安全保管”，视频并未回答。核验步骤由可疑对象提出时，值得先问：通过这一步后，谁获得了新的信息和行动机会？

图6｜约 29:36，陈达同意让对方视频“看钱”。画面中的钱捆不能证明总额和真伪，也不能证明这套抓捕方案安全。

结尾，陈达打开钱捆，发现外层看似钞票，内部是白纸；小宝随后与团伙会合。影片没有展示完整调包过程，无法据画面推定谁在几秒钟内用了什么手法。陈达识破第一轮骗局后，补救流程本身又成了第二轮攻击面。

图7｜约 31:44，钱捆里的白纸暴露第二轮损失；调包的具体时点与动作属于影片留白。

企业里，同一套剧本可以换成“钓鱼邮件 + 安全来电”

假设财务人员收到一封冒充内部系统的邮件，称付款审批异常，附上“核对链接”。员工识破链接可疑，没有登录。随后有人自称 IT 安全人员来电，准确说出“刚才那封邮件是钓鱼”，要求员工立即打开新的“隔离页面”，输入账号并授权远程协助。

第一句警告可能是真的，来电身份和处置方案仍未核实。若所谓“安全电话”来自邮件附带的号码，或来电者只用自己提供的工单、网页证明身份，员工其实又回到了同一条受控路径。邮件和电话是两种媒介，却可能由同一人操控。小宝在剧中做的，正是把一次正确的揭穿变成第二次行动的通行证。

付款场景也一样：收到“CEO 紧急转账”或供应商“更改收款账户”的邮件，不能在原邮件里追问，也不能拨打邮件新附的电话当作确认。FBI 对商业邮件欺诈的建议包括当面或使用档案中已有的号码确认付款变更。公章、熟悉的头像、对方说出的项目细节，都只是在核验外围事实；应核对的是请求是否真实、收款账户是否经授权变更。

零信任架构给这类处置一个有用的提醒：不要因为某个身份或位置看起来可信，就自动放行后续访问。这里借鉴的是“每一步重新验证”的思路；一次电话回拨并不等于部署了零信任架构。

一次真实告警只解决“有没有问题”，没有指定“由谁修、怎么修”。外部研究员即使报告了真实漏洞，也应由企业安全团队登记线索，在授权环境独立复核，再由系统负责人审批变更。报告人提出远程进入生产系统、先支付“协助费”或绕开内部流程时，新的请求需要重新审核。陈达缺少的正是这一道边界：小宝发现问题，便顺势制定了处置步骤。