在大多数人的想象中，安全研究员是坐在屏幕后「狩猎」漏洞的人：他们拆恶意样本、审代码、写报告，是整条攻防链条里的捕食者。但最近的一起事件再次提醒我们，猎人也可能是猎物。
据 TechCrunch 报道，一名攻击者冒充某头部加密货币新闻网站的工作人员，以一场行业会议为诱饵，接触了多名网络安全从业者，并借助 Google Docs 投递恶意软件。换句话说，攻击者瞄准的不是某个软件的漏洞，而是安全圈自己。
事件要点
从目前披露的信息看，这次攻击的手法并不复杂，但每一步都经过精心设计：
- 身份伪装：攻击者顶着「知名加密媒体」的名头与目标建立联系。币圈媒体在安全与加密两个圈子之间天然有交集，这种身份不易引起怀疑。
- 诱饵设置：一场看似正规的会议，邀请演讲、约稿或参会是安全行业最日常的社交货币，很少有人会对「被会议找上门」产生戒心。
- 载荷通道：Google Docs。攻击并非靠附件闯关，而是利用正常文档协作流程完成投递。
- 目标人群：多位网络安全专业人士——一群理论上最不容易被骗的人。
为什么偏偏是 Google Docs
钓鱼攻击的成败，往往取决于「第一跳」的信任度。google.com 是全球最可信的域名之一，企业邮件网关无法一刀切拦截它的链接；文档内容则在平台内渲染，很多安全检查看不见里面的跳转和指令。而对研究员来说，「有人发来一份文档请你看看」几乎是每天都会发生的工作流，这个动作本身毫无异常感。可信域名加上合理场景，正是社会工程最喜欢的组合。
为什么是安全研究员
把矛头对准防御者，收益结构其实很清晰。安全研究员手里可能有未披露的漏洞、雇主内网的访问权限、客户系统的细节，甚至代码签名的基础设施。攻陷一名研究员，往往意味着拿到一条通往其背后组织的侧门，价值远高于随机撒网的普通用户。
这条路径上并不缺前例。被广泛归因于 Lazarus 组织的「Dream Job」行动，曾用假职位和高薪 offer 诱骗研究人员打开恶意文档；2023 年 Google 威胁分析小组也披露过针对安全研究员的长期假身份运营——先在社交平台经营人设、建立真实协作，再在某个时机递上带毒的项目文件。我们此前也讨论过求职面试环节被黑客当作入口的案例。这次的「假会议」只是同一套剧本换了幕布：攻击者赌的从来不是技术漏洞，而是人性里「被认可」的渴望——一份邀请、一次采访、一个合作机会。
简短点评
这起事件真正值得警惕的地方，在于攻击面已经从「软件」系统性转移到「职业社交习惯」。会议邀请、媒体约稿、跨团队协作，这些是安全行业运转的基础设施，恰恰也因此成了最脆弱的入口。对从业者而言，几条老原则比任何新工具都管用：对主动上门的机会做独立核实（直接通过官方渠道联系该媒体确认）、把研究环境与日常办公环境隔离、对「需要你打开某个文档」的一切请求多问一句为什么。而对平台方来说，文档分享链路被反复武器化，也该在默认安全上再多走一步。当猎人也开始被点名狩猎，整个行业的安全水位就得整体抬升。
来源：TechCrunch