会议室桌上的那个 U 盘

开完会，桌上留了一个 U 盘，没有任何标识。可能是上一个会的人忘的，也可能是保洁还没收。

大多数人会做三件事里的一件：交给前台，插到自己电脑上看看里面有没有名字，或者装进兜里带回去。

第二件事只需要三秒，而且理由很充分：我想看看是谁的，好还给他。

这三秒里，一台电脑已经对外建立了一个连接。

三次上门

格林兄弟在 1812 年的初版《儿童与家庭童话集》里记下这个故事时，皇后一共去了三次。

第一次扮成卖丝带的，白雪公主让她系上，被勒得昏过去，小矮人回来剪断丝带救了她。第二次扮成卖梳子的，毒梳子插进头发，又昏过去，小矮人拔掉梳子救了她。

小矮人警告过她两次：不要给陌生人开门。第三次，皇后扮成农妇，带了一个苹果，一半红一半白。白雪公主不敢开门，皇后当场把白的那半切下来自己吃了，然后把红的那半递过去。白雪公主接过来，咬了一口，倒下了。

这一次小矮人没能救回来，他们把她放进玻璃棺，直到王子出现。

故事里最关键的动作不是“吃”，是“接”。从皇后手里把苹果接过来，这一步是白雪公主自己完成的。

为什么人会接

这件事有一个很具体的解释，叫互惠。

人在接受别人给的东西时，会不自觉地产生一种亏欠感，哪怕这东西自己并不需要。对方先付出了（哪怕只是递过来、笑一下、说一句客气话），拒绝就变成了一件需要解释的事，而解释本身让人不舒服。

所以现实里的拒绝成本，往往比接受成本高。接收一个 U 盘只要伸手，拒绝一个笑眯眯递东西的人要开口，还要给出理由。

毒苹果这个故事还加了一层：皇后先吃了一半。这个动作把“可能有毒”的风险当场排除了。现实版本里对应的是“我先用一下”“你试试看，没问题”“我们同事都在用”。

那项在停车场丢 U 盘的实验

这不是假设。

2016 年，美国伊利诺伊大学的三位研究者做过一次实验，在校园的停车场、人行道、图书馆等地方故意投放了 297 个 U 盘。这些 U 盘里装着无害的文件，但会记录被插上电脑的时间和机器信息。

结果是 48% 的 U 盘被插上了电脑，而且很多人不只是插上看看，还打开了里面的文件。投放地点越“像有人真的丢了东西”，插上率越高：停车场最高，因为那里看起来最像失物。

这个实验规模不大，样本也集中在一所大学，只能说提供了一个量级参考。但它说明一件事：面对一个看起来无害的移动介质，受过教育的人也不会比童话里的公主更谨慎。

三个现代版本

第一是 U 盘和移动硬盘。攻击者会真的把带恶意程序的 U 盘丢在目标单位的停车场、电梯口、会议室。有的还会在 U 盘上贴一个标签，写“薪资调整”“裁员名单”，进一步提高插上率。

第二是充电宝和公共充电口。部分被改装过的设备在充电时会尝试建立数据连接，手机如果弹出了“是否信任此电脑”，点允许就等于把文件系统的访问权交了出去。正常的充电只需要电，不需要数据。

第三是群文件。工作群里有人转发《2026 行业报告合集.pdf》，文件确实是 PDF，但打开时用一个伪造的阅读器提示，要求“启用内容”。这一步就是执行代码。

三种形式的共同点：东西是别人放的，动作是你自己做的。

和特洛伊木马的区别

特洛伊木马是敌人把东西送到城门口，特洛伊人自己搬进城。

毒苹果是皇后把东西递到手上，白雪公主自己接过来咬。

一个要骗过守门的人，一个只需要让你不好意思拒绝。后者更难防，因为它利用的是礼貌。

图一

图一：三种“免费的馈赠”，落点是一样的。

怎么处理

对个人来说，最有效的一条是：不接受来源不明的存储介质。不是“先看看有没有毒”，是根本不插。捡到 U 盘交给前台或者丢进失物箱，不要插自己的电脑。

充电时用自己带的充电头和数据线，公共 USB 口只充电不传数据，手机上弹出“是否信任”一律选否。

群里的附件，先看是谁发的、是不是本人发的、文件名和内容对不对得上。对不上就不打开，问一句再说。

对单位来说，技术手段比培训可靠：禁用 USB 存储、限制宏、附件沙箱。这些措施会带来不便，所以需要管理层先接受这个不便，否则一线会自己找绕过的办法。

最后

白雪公主的故事里，小矮人警告了两次，第三次她还是开了门。

警告本身不解决问题，因为它要求人在每一次都做出正确的判断，而攻击者只需要成功一次。