一封看起来没问题的邮件

发件人是你合作了三年的供应商，邮箱后缀对，签名档有公司名和电话，附件是一份报价单，金额、型号、交期都对得上。前面聊的三轮也都很正常，对方还打了个电话确认收货地址。

只有一处不一样：这次报价单的末尾多了一个链接，写着“在线确认”。

你点开了，登录页弹出来，和供应商官网长得一样。你输了一次密码。

这份邮件里，除了那个链接，其余全部是真的。

那个成语的来历

先说清楚一件事：“明修栈道，暗度陈仓”这句话，在《史记》里并没有。

《史记·高祖本纪》记的是：公元前 206 年，刘邦被封为汉王，去汉中，走的时候把栈道烧了。烧的理由有两个，一是防备其他诸侯偷袭，二是向项羽表示自己没有东归的打算。同年八月，刘邦用韩信的计策，“从故道还”，也就是走陈仓道，袭击雍王章邯，平定三秦。

烧栈道是真的，从故道出兵也是真的。但“明修栈道”这个佯动，是后来的戏曲和讲史加上去的。元代杂剧里有《暗度陈仓》，明代的小说也写过，慢慢就合成了一个成语。

这个细节有意思的地方在于：成语的结构比史实更完整。史书只记了“烧”和“走”，后人补上了“一边修、一边走”的对比，因为这样才像一个谋略。

掩护为什么有效

从信息处理的角度看，掩护做的事情是把注意力引到一个显眼的地方，然后从另一个地方通过。

人的注意力是有限的。面对一封邮件、一个电话、一份文件，人不会逐字核对，而是先形成一个整体印象：这人是谁、这事正不正常。印象形成之后，后面的细节会被这个印象过滤，符合的留下，不符合的忽略。

所以掩护的关键不在假的部分做得多好，而在真的部分做得多足。

9 句真话的作用是让人停止核对，骗人的部分只有最后一句。

三个现代版本

第一个是邮件。内容是真的，落款是真的，只有附件里的一个链接是假的。或者反过来，附件是真的，只是多了一个宏。

第二个是电话。骗子先跟你聊业务，聊行业，聊你最近的项目，聊十分钟全是真的。等你放松了，再说“对了，你那个验证码发我一下，我这边系统过不去”。前面十分钟的作用，就是让这一句听起来像是流程的一部分。

第三个是流程掩护。有的攻击者会先提交一个真实的申请，走正常审批，建立“这个人是合作方”的印象，第二次再提交一个伪造的申请。审批的人看到同一个账号、同样的格式，直接通过。

这类诈骗有一个专门的名字，商务电子邮件诈骗，FBI 的年度报告里把它缩写为 BEC。2023 年，美国企业因此类案件报告的损失超过 29 亿美元。这个数字统计的是报案的金额，实际只会更高。

和普通诈骗的区别

普通诈骗是全假的，受害者在某个瞬间会发现不对劲。

掩护式诈骗是大部分真的，受害者要到事后才知道哪一步出了问题，而且往往说不清是哪一步。

这也是它难防的原因：你所有的核验动作都做了，而且都通过了。

图一

图一：明线是正常内容，暗线是真正的动作。

核验应该落在哪

关键的一点：不要核验整体，要核验最后那个动作。

一封邮件整体是不是真的，很难判断，因为大部分内容确实是真的。但“点这个链接”“输这个密码”“转这笔钱”“念这个验证码”这几个动作，是可以单独拿出来核验的。

具体做法是把动作拆出来，问三个问题：这个动作是不是必须现在做、这个动作是不是必须通过这个渠道做、这个动作做了之后会有什么后果。

比如一封供应商发来的“在线确认”链接。它必须现在点吗？不一定。它必须通过邮件里的链接点吗？不必须，你可以从官网进。点了之后会发生什么？可能要输密码，这一步就不该在邮件链接打开的页面里做。

这三个问题不依赖判断邮件真假，只依赖判断这一个动作。

另一条：把节奏慢下来

掩护式攻击依赖节奏。它需要你在一个连贯的对话里，顺着前面的真实内容，自然地做出最后那个动作。

打断节奏的办法很简单：凡是涉及凭据、转账、授权的动作，一律换一个渠道确认。邮件里提到的事，用电话确认；电话里提到的事，用官方 App 确认；微信里提到的事，用公司内部系统确认。

换渠道这个动作会打断对方设计好的节奏，而且成本很低。

最后

“暗度陈仓”能成立，前提是对面在看栈道。

防守方的资源永远不够同时盯住所有方向，所以真正的办法不是看得更多，是给关键动作设一道不管前面发生过什么都要过的关。