末心的小博客

群里的一句“收到”部门群里发了一条通知，要求大家点开一个链接填写信息。第一个回复“收到”，第二个跟着“收到”，然后是一串“收到”。 你点开看了一眼，链接跳转的页面不是公司域名，表单里还要填身份证号。你觉得不对，但在三十几个“收到”后面，你打了一句“收到”。 表单填完第三天，陆续有人接到诈骗电话，对方能准确报出姓名、身份证号和部门。 事后追溯，第一个“收到”的人是照着通知做的，通知本身是假的。 那个实验1951 年，所罗门·阿希在斯沃斯莫尔学院做了一系列实验，研究人在群体压力下会不会否定自己的判断。 实验是这样的：七个人坐成一排，看两张卡片。第一张上有一条标准线，第二张上有三条长度不同的线，分别标着 A、B、C。任务是大声说出哪一条和标准线一样长。 前六个人是提前安排好的托儿。在大部分试次里，他们异口同声地说出一个明显错误的答案。比如标准线是 10 厘米，三条比较线分别是 10、5、8 厘米，托儿们一起说“B”。 第七个人是真正的被试。他要在一群人说错的情况下，说出自己看到的结果。 结果是，大约 75% 的被试至少跟着说错了一次，全体被试在全部试次里有 37% 的回答是从众的。也就...

“我是公安局的”电话那头报出你的姓名、身份证号、住址，说你名下有一张卡涉嫌洗钱，现在需要你配合调查，不要挂电话，不要告诉任何人。 接下来的两个小时，你会被要求做一系列动作：下载一个 App、找一个安静的地方、把手机调成勿扰、报出银行卡号、转账到一个“安全账户”接受核查。 每一步都很小，前一步都证明对方是可信的，后一步都是“流程要求”。 最后钱没了。 这件事能成立，跟骗子聪明不聪明关系不大。起作用的是另一件事：面对一个自称权威的对象，人会系统性地放弃自己的判断。 那个实验1961 年，耶鲁大学的心理学家斯坦利·米尔格拉姆做了一个实验，想弄清楚一个问题：普通人在什么条件下会服从指令，去伤害一个无辜的人。 实验设置里有三个角色。 一个是实验者，穿白大褂，拿写字板，负责下指令。一个是“教师”，也就是真正的被试，通过广告招募来的普通人。还有一个是“学生”，坐在隔壁房间，其实是演员。 流程是：教师给学生出题，答错就电击，电压从 15 伏开始，每错一次加 15 伏，最高到 450 伏，面板上标着“危险：剧烈电击”。 学生答错之后，隔壁会传来惨叫、捶墙、求饶。到 300 伏左右，学生不再出声。这...

一封看起来没问题的邮件发件人是你合作了三年的供应商，邮箱后缀对，签名档有公司名和电话，附件是一份报价单，金额、型号、交期都对得上。前面聊的三轮也都很正常，对方还打了个电话确认收货地址。 只有一处不一样：这次报价单的末尾多了一个链接，写着“在线确认”。 你点开了，登录页弹出来，和供应商官网长得一样。你输了一次密码。 这份邮件里，除了那个链接，其余全部是真的。 那个成语的来历先说清楚一件事：“明修栈道，暗度陈仓”这句话，在《史记》里并没有。 《史记·高祖本纪》记的是：公元前 206 年，刘邦被封为汉王，去汉中，走的时候把栈道烧了。烧的理由有两个，一是防备其他诸侯偷袭，二是向项羽表示自己没有东归的打算。同年八月，刘邦用韩信的计策，“从故道还”，也就是走陈仓道，袭击雍王章邯，平定三秦。 烧栈道是真的，从故道出兵也是真的。但“明修栈道”这个佯动，是后来的戏曲和讲史加上去的。元代杂剧里有《暗度陈仓》，明代的小说也写过，慢慢就合成了一个成语。 这个细节有意思的地方在于：成语的结构比史实更完整。史书只记了“烧”和“走”，后人补上了“一边修、一边走”的对比，因为这样才像一个谋略。 掩护为什么有效从...

那条一直开着的专线公司给一家外包商开了一条专线，用来同步工单数据。这条线三年前就开了，当时的理由很充分：每天要同步几万条记录，走公网太慢。 三年里没人再问过它。负责对接的人换了两次，外包商那边也换了技术负责人。这条线的账号还在，权限还在，防火墙策略还在，因为“业务一直在用”。 攻击者不需要攻破你的边界。他只需要查到这个外包商，拿下它，然后用这条一直开着的线进来。 借道《左传·僖公五年》记了一件事。 晋献公想打虢国，但中间隔着虞国，大军过不去。大夫荀息出了个主意：送虞公一份厚礼，璧玉和一匹良马，请他借道。 虞公贪这两样东西，答应了。大夫宫之奇劝阻，说了一句很有名的话：虢国是虞国的外围，虢国亡了，虞国也活不长，这叫唇亡齿寒。虞公没听。 当年冬天，晋国借道灭了虢国。回师的路上，顺手把虞国也灭了。璧玉和良马又回到晋献公手里。 这个故事后来成了一个成语，假道伐虢。它的结构里没有正面强攻，用的是借一条本来不属于自己的路。 现代版本：三起真实的案子2013 年，美国零售商 Target 被入侵，四千万张银行卡信息泄露。入口不在 Target 自己身上。攻击者先攻下了给它做暖通空调维保的一家小公...

一个电话的开场“王总您好，我是某某平台的，我看了您上次在会上的发言，讲得特别到位，我们内部都在传。您是我今年见过最专业的客户。” 接下来的 3 分钟，对方会说平台要升级、要给您做一次专属的回访、需要您配合确认一下身份。王总一路“嗯嗯”，最后把收到的 6 位验证码念了过去。 挂掉电话，钱被转走。 整个过程里，对方没有说一句假话能被当场戳穿，也没有威胁。他做的是另一件事：先把人夸舒服，再提要求。 那只乌鸦《伊索寓言》里有一则很短的寓言，佩里索引编号 124。这个故事大约成形于公元前 6 世纪，公元 1 世纪由菲德鲁斯改写成拉丁韵文，17 世纪拉封丹又写了一个法语版本。 乌鸦找到一块肉，叼在嘴里，停在树上。狐狸从树下经过，很想吃，于是开始说话。 第一句是问候，说乌鸦今天真漂亮。第二句升级了，说这身羽毛在鸟里数第一，爪子、眼睛都好看。乌鸦没有开口，但把头抬起来了。 第三句说，可惜啊，长得这么好看，要是嗓子也好，那就是鸟中之王了。 乌鸦想让狐狸听听自己的嗓子，一张嘴，肉掉了下来。狐狸叼起肉，说了一句：你的嗓子不错，脑子差了点。 恭维的三段结构这则寓言流传了两千多年，因为它把一套话术的结构写...

会议室桌上的那个 U 盘开完会，桌上留了一个 U 盘，没有任何标识。可能是上一个会的人忘的，也可能是保洁还没收。 大多数人会做三件事里的一件：交给前台，插到自己电脑上看看里面有没有名字，或者装进兜里带回去。 第二件事只需要三秒，而且理由很充分：我想看看是谁的，好还给他。 这三秒里，一台电脑已经对外建立了一个连接。 三次上门格林兄弟在 1812 年的初版《儿童与家庭童话集》里记下这个故事时，皇后一共去了三次。 第一次扮成卖丝带的，白雪公主让她系上，被勒得昏过去，小矮人回来剪断丝带救了她。第二次扮成卖梳子的，毒梳子插进头发，又昏过去，小矮人拔掉梳子救了她。 小矮人警告过她两次：不要给陌生人开门。第三次，皇后扮成农妇，带了一个苹果，一半红一半白。白雪公主不敢开门，皇后当场把白的那半切下来自己吃了，然后把红的那半递过去。白雪公主接过来，咬了一口，倒下了。 这一次小矮人没能救回来，他们把她放进玻璃棺，直到王子出现。 故事里最关键的动作不是“吃”，是“接”。从皇后手里把苹果接过来，这一步是白雪公主自己完成的。 为什么人会接这件事有一个很具体的解释，叫互惠。 人在接受别人给的东西时，会不自觉地...

一封写着“千万别点开”的邮件邮箱里躺着一封信，标题是《离职员工薪资表，请勿外传》。发件人是一个不认识的地址。 大部分人会点开。不是因为相信它，恰恰是因为那句“请勿外传”。 正常的邮件可以留到下午再看，这封不行。它被标注成秘密，于是它变成了一件需要立刻确认的事：里面是谁，有没有我，会不会牵扯到我。 点击这个动作，跟好奇心有关，但更准确的说法是：发信人把一个普通附件，包装成了一个信息缺口。 罐子，不是盒子潘多拉的故事出自赫西俄德，写在《工作与时日》和《神谱》里，时间大约是公元前 700 年前后。 故事的背景是普罗米修斯盗火。宙斯为了报复，命令火神赫菲斯托斯用泥土造了第一个女人，众神各送她一样东西：雅典娜教她织布，阿佛洛狄忒给她魅力，赫尔墨斯给她一张会说话的嘴和一个说谎的心。她的名字叫潘多拉，意思是“所有的礼物”。 宙斯把她送给普罗米修斯的弟弟厄庇米修斯。普罗米修斯警告过弟弟，不要接受宙斯送的任何东西，厄庇米修斯没听。潘多拉带来了一个容器，里面装着疾病、劳苦、纷争这些灾祸。她打开盖子，灾祸飞了出去，只有“希望”留在了罐底。 这里有个流传很广的误会：原文里那个容器不是盒子，是 pitho...

用广播喊紧急集合的校长假设学校的广播每天早上七点半响一次，内容是”全体紧急集合”。第一天全体下楼，第二天大部分人下楼，一周之后只剩新生还在跑。一个月后，真出了事，广播响了三遍，操场上只有几个人。 这件事的特别之处不在学生麻木，而在于：发广播的是校长。学生可以不信同学传的话，但很难不信校长的广播。所以当校长的广播失效时，学校就没有第二个可用的大喇叭了。 史书里的那一次《史记》一共 130 篇，卷四《周本纪》里记着这样一件事。 周幽王（前 781 年至前 771 年在位）的王后褒姒不爱笑，幽王想尽办法逗她，她都不笑。当时周朝在边境设有烽燧，遇到敌情就点起烽火，诸侯看到就带兵来救。幽王为了让她笑，就点了一次烽火。诸侯的军队赶到，发现没有敌人，乱哄哄地又回去了。褒姒看见这场面，大笑。幽王很高兴，后来又点了几次。等犬戎真的打过来，幽王再点烽火，诸侯的兵一个都没来。公元前 771 年，幽王被杀在骊山脚下，西周结束。第二年周平王东迁洛邑，东周开始。 故事讲到这里就结束了，读的人一般会得出两个结论：一是不能拿正事开玩笑，二是失去信用会有代价。 这两个结论都对，但这个故事本身有一个问题要先说清楚。...

每周三下午的消防演习假设学校规定每周三下午两点拉一次消防警报，全体到操场集合。第一周大家都跑，第二周开始有人慢悠悠走，第四周有人干脆不动，只在窗边看一眼。第八周，真的着火了，警报响起来，教室里的人先看了一眼时间，两点整，周三。 这不是纪律问题。人在面对同一个信号反复出现、又反复没有后果的时候，反应会自然衰减，这个过程在心理学里叫习惯化。消防演习的组织者其实知道这件事，所以规定演习不能太频繁，也不会提前通知具体日期。 但很多做安全的人忘了这一条。 那个喊狼的孩子《伊索寓言》里有一则很短的故事，中文一般叫《狼来了》，英文是 The Boy Who Cried Wolf，在佩里索引里编号 210。 故事说的是一个放羊的孩子，觉得无聊，就朝村里喊狼来了。村民们拿着农具跑出来，发现没有狼，孩子笑得很开心。过了几天他又喊了一次，村民又跑了一趟，还是没有狼。第三次，狼真的来了，孩子拼命喊，没有人再出来。羊被吃了。 寓言通常被读成一句话：不要撒谎，否则没人信你。这个读法没错，但它只讲了道德，没讲机制。在安全领域，这则寓言还有一层意思：牧童不是突然变成一个骗子的，他是被一个允许他反复试错的机制惯出...

一个拆开的快递箱假设你在网上买了一台二手路由器，卖家说刷好了固件，插电就能用。价格比新的便宜一半，评价也不错，快递两天就到了。 你插上电，它确实能用。设置界面正常，网速正常，说明书也对得上。唯一不正常的地方在你看不见的那一层：它把你家宽带的账号密码，连同同一网段里其他设备的名称，一起发到了某个陌生邮箱。 整个过程里没有人撬门，没有人猜你的密码。是你自己把它请进屋，还给它插上了电。 这个套路很老。三千年前，地中海东岸有一座城，也是这样丢的。 那匹木马故事发生在小亚细亚西北角的特洛伊。古代把这座城陷落的时间定在公元前一一八四年。希腊联军为了一个叫海伦的女人围攻这座城，打了十年没打下来。城墙很厚，守军很顽强，正面强攻的代价谁都付不起。 第十年，希腊人里有个叫奥德修斯的人想了一个办法。他们造了一匹巨大的木马，把一批士兵藏在里面，然后烧掉营帐，把舰队开到附近的海岛后面躲起来，只在海岸上留下一匹马和一个人。 留下的人叫西农。他的任务是让特洛伊人相信：希腊人认输了，这匹马是献给女神的祭品，把它拉进城就能得到庇佑。 特洛伊人信了。有人提醒过他们。祭司拉奥孔跑过来喊，说哪怕希腊人送礼也要提防，还拿...