当信任成为武器

攻击者如何借助受保护者身边的人对其下手——以及为什么仅靠保镖是不够的。

车辆可以准备就绪。入口可以检查完毕。手机可以做好防护。然而仍有一个问题，是这些措施本身都无法解决的：如果有人促使一个值得信任的人去做错误的事，会发生什么？不是靠暴力，不是靠破门而入，而是靠一条看起来就像普通工作日一部分的指令。

评估对一个人的保护，不仅要看谁可以接近他，还要看谁能够影响他的日程、传递他的信息，或以他的名义作出决定。正是在这一领域，人身保护、数字安全、心理学以及企业或家庭的运作方式交汇在一起。

开篇故事及其他明确标注为模拟的示例仅作说明之用，并非对 Bodyguard Group^® 实际委托业务的描述。公开案例和专业研究结论均单独标明并注明出处；相关资料核实截至 2026 年 9 月 16 日。

01 — 一切都已准备就绪。然后，一条消息来了。

现在是十七点四十二分。

司机在酒店门前等候。客户正在结束会谈。晚间日程已经确认，随行护卫知道抵达地点，前台也知道要接待谁。距离出发还有几分钟。

助理收到一条语音消息。听起来是客户的声音。内容涉及日程变更，而这件事白天确实讨论过。消息里没有任何威胁、可疑链接，也没有索要密码。它只要求作一些组织上的调整：先去另一个地点，换一种抵达方式，并减少后续会谈的在场人数。

助理不想打扰客户。她知道客户很反感在会面期间接到不必要的电话。于是她把指令整理成一条简短的消息，发给司机和随行护卫负责人。

司机不再评估原始的语音消息。他收到的是每天都与他沟通的助理发来的指令。随行护卫负责人则看到交通环节已经接受了新信息。所有人都在配合。每个人都以为在自己之前已经有人核实过这件事。

然而，没有人能准确回答四个问题：变更究竟是谁下达的，他有权决定什么，他具体批准了什么，以及这一批准是否也涵盖了变更带来的安全后果。

在这个模拟情境中，我们还不知道这是否是诈骗。它可能是一条真实的消息、一段模仿的声音、一个被盗用的账户，或者只是一个单纯的误会。而这恰恰是关键所在。现场的人不必在几秒钟内看穿整件事，他需要判断的是：自己是否有足够的依据作出决定。

安全问题并不是在攻击者被证实的那一刻才开始的。当一条重要指令被赋予了超出实际核实程度的权威时，问题同样已经开始。

02 — 信任一个人，不等于批准他的每一条指令

在日常语言中，好几件不同的事情很容易藏在同一句话背后：这个人我们当然认识。

然而，认识某人、核实其身份和接受一项具体决定，并不是同一回事。信息安全领域区分“认证”（即身份核实）和“授权”（即被授予的权限或关于访问的决定）。美国国家标准与技术研究院（NIST）的术语体系也体现了这一区分。^{[1], [2]}

对于人身保护而言，把这一理念转化到日常运作中是很有用的。

我们真的在和助理沟通吗？助理有权更改今天的会谈地点吗？她同时有权决定缩减随行护卫吗？她是否准确理解了客户的要求？

第一个问题的答案是肯定的，并不自动意味着其他问题的答案也是肯定的。

同样，正确的姓名、照片、项目名称或对日程的了解，本身都不构成权限。在模拟示例中，供应商完全可能正当地知道会议何时举行，但这并不意味着他有权获取与会者名单或更改入场规则。

因此，除了身份和权限之外，我们建议还要关注批准的具体范围。确认时间变更不等于确认地点变更。同意来访不等于同意进入所有区域。批准某一个人，不等于自动批准其随行的其他人员。

这不是咬文嚼字。关键在于，信息在传递过程中，不能让一项决定的范围被扩大成任何人都没有以这种形式作出过的决定。

03 — 三个真实案例。同一问题的三种不同形态。

一场约两亿港元的视频会议

香港特区政府在 2024 年 6 月 26 日公布的答复中，描述了当年 1 月底报案的一起案件。一名员工收到一封冒充首席财务官的诈骗电子邮件，随后参加了一场伪造的视频会议，最终批准向五个本地账户转账。损失约达 2 亿港元。^[3]

有一个细节很重要，却很容易在戏剧化的转述中被忽略。根据当局当时的描述，这场会议是预先录制的，受害人与诈骗者之间并没有真正的互动。答复中引述的警方结论指出，诈骗者利用了公开可得的影像和声音素材。之后的付款指令则是通过通讯应用程序发出的。^[3]

因此，教训并不是任何实时对话如今都能被完美模仿。教训要冷静得多：权威人物的形象和声音，可能会为一项本还需要另一种核实的决定提供支撑。

借用他人身份地位的语音消息

2025 年 5 月 15 日，美国联邦调查局（FBI）发布警示，指出自当年 4 月起，攻击者一直在冒充美国高级官员。他们使用短信和人工生成的语音消息，目的是建立看似可信的沟通并获取个人账户的访问权限；获取的联系人信息又可能被用来进一步冒充熟人。^[4]

对于安保团队来说，重要的是这种进一步扩散的可能性：问题未必止于账户的所有者。下一个收件人收到的消息，看上去可能来自一个他早已认识的人。因此，我们为实践得出的结论很简单：保护身份，也应被理解为保护那些依赖这一身份的人。

加密依然有效。通信的访问权限却成了目标。

2026 年 9 月 4 日，捷克国家网络与信息安全局（NÚKIB）就针对 Signal 用户的网络钓鱼活动发出警示。它指出，攻击者并不试图破解端到端加密，而是设法诱使用户采取某些操作，例如将陌生设备关联到自己的账户，或透露登录凭据。该局的建议包括检查已关联的设备，以及通过其他渠道核实可疑的通信。^[5]

这并不是反对加密的理由，而是反对这样一种想法：以为加密本身就能解决围绕通信的所有决定是否可信的问题。

这些案例并不是关于捷克企业家遭受攻击概率的统计数据，也不支持“每个家庭都面临同样威胁”的说法。它们展示的是有据可查的机制。措施的力度必须与具体的人、环境以及可能失误的后果相称。

04 — 攻击者不必寻找愚蠢。他利用的可能是一片好意。

把受骗者想象成格外天真的人，是一种省事的解释。但它同时也转移了人们对其作出决定时所处情境的注意。

NIST 的研究人员在开发 Phish Scale（钓鱼难度量表）时，不仅考虑了诈骗消息的可识别特征，还考虑了它与收件人工作情境的契合程度。一项发表于 2020 年的研究解释了为什么识别难度会随着消息与具体个人工作的契合程度而变化。所以，问题不仅在于消息里有没有错别字。^[6]

让我们回到那位模拟情境中的助理。她一整天都在协调各种变更。客户确实在与这位合作伙伴会谈。延误也是真实的。这个请求在主题上并无异常；它的异常之处在于，要求作出一项重要变更，却没有相应的确认。

她乐于助人并不是性格缺陷。但正因如此，这种意愿不应成为决策的唯一依据。

对权威的尊重也可以这样看。员工不一定相信听到的一切，他可能只是认为，违背所谓公司老板的指示不是自己的职责。在我们的情境中，真伪问题与职业服从问题发生了碰撞：我到底有没有资格提出质疑？

另一个维度是紧迫性。NÚKIB 在 2025 年 2 月发布的诈骗电话警示中，描述了施压手段，以及多个看似不同的机构轮番联系受害人的情形。因此，故事里出现的声音多，本身并不意味着得到了独立的确认。^[7]

在防御上，我们建议重点关注规则发生变化的那一刻：要求破例、缩小知情人范围、绕过常规核实，或扩大访问权限。当然，紧迫、礼貌或保密本身都不能证明是诈骗。但它们是一个理由，促使我们更精确地确定要执行什么操作，以及由谁负责确认。

保密的作用是限制信息不必要的传播。它不应取消核实决策权限的可能。

05 — 经验丰富的护卫人员不必是人肉测谎仪

对环境和他人行为的感知在保护工作中有其位置。但不应把它与凭眼神、手势或语气就能可靠判断真假的能力混为一谈。

阿尔德特·弗里（Aldert Vrij）、玛丽亚·哈特维格（Maria Hartwig）和佩尔·安德斯·格兰哈格（Pär Anders Granhag）2019 年的一项综述研究指出，迄今发现的与欺骗相关的非语言表现都很微弱且不可靠。仅凭行为识别谎言存在根本性的局限。^[8]

我们由此为实践得出一个重要区分：印象可以促使我们去核实，但不应取代核实。沉着而有说服力的表达不是通行证。紧张也不是判决书。

同样，对于声音和影像的仿冒，把整个应对流程建立在寻找技术瑕疵之上也不合适。FBI 提醒，生成式人工智能可能被滥用来模仿声音和影像，冒充亲友或权威人士进行沟通。^[9]

因此，我们应当用个人经验来识别不一致之处，而不是用来给予不受限制的例外。职业上的自信也应包括能够承认：仅凭这个印象是不够的。

一个认真核实模糊请求的人，未必比当即作出决定的人经验更少。在具体情况下，他也许只是更能准确地区分判断与证据。

06 — 一条未经核实的消息如何变成正式指令

在我们的故事中，最值得关注的是从语音消息到车辆出发之间的这一段。

起初只有一份未经核实的信息。助理把它概括转述，司机接受了它，另一名团队成员确认自己正据此调整准备工作。最初的疑点在传递途中消失了，尽管没有任何人补充过新的证据。

为便于本文讨论，可以把这种现象称为未经核实的权威的传递。这不是一个专业诊断，而是对一种组织性失误的描述：内容获得分量，是因为它经过了谁的手，而不是因为它是如何被核实的。

设想两条工作通知之间的区别。第一条宣布：客户更改了会谈地点。第二条宣布：收到了一项变更请求，确认工作仍在核实中。这两句话可能出自同一条消息，但只有第一句会营造出决定已经作出的印象。

务实的解决办法是保留信息的状态。行动群组里的每条消息并不都是指令。它可能是建议、提醒、未经确认的变更，或有效的指令。对于重要变更，应当清楚当前适用的是哪种状态。

同样重要的是确定由谁来最终敲定变更。没有必要让每个团队成员都再给客户打一次电话。恰恰相反：不必要地层层重复核实，可能会让运作不堪重负。我们需要的是一个指定的负责角色，以及一个让其他人一目了然的确认。

因此，在我们建议的机制中，司机无需分析音频文件。他需要知道的是：已批准的指令由负责人下达，并且恰好涵盖了他需要执行的那些变更。

这里的安全不在于对一切都心存怀疑，而在于不让一个推测在传递过程中摇身一变，伪装成经过核实的事实。

07 — 最难的安全对话，可能是与自己的客户进行的

如果事实证明，指令确实是客户发出的呢？

这样，身份问题也许解决了，但安全问题未必随之解决。例如，客户批准了会谈的变更，却没有意识到这会取消已经准备好的抵达地点，或者他的团队将没有足够的信息来应对新的日程。

保护的意义不在于接管客户的生活，而在于为知情决策创造条件。护卫人员应当解释：这项变更会失去什么，哪些可以保留，以及有哪些可行的选择。

含糊的反对与具体的专业说明之间有着本质区别。与其一概禁止，不如说明新地点尚未经过核实，并提出临时方案：维持现有安排、推迟变更，或在明确说明的条件下执行变更。具体决策必须与实际情况以及事先约定的职权相符。

然而，到了车门口才想推行这样的做法就很难了。因此，有必要事先约定：情况不明时，团队成员可以暂停什么，把事情移交给谁，以及客户联系不上时怎么办。

英国国家网络安全中心（NCSC）在给机构领导层的建议中明确指出，如果领导者自己绕过规则或要求特殊对待，就等于向其他人发出信号：绕过规则是可以接受的。^[10]

在模拟情境中，客户如果一再惩罚使用核实流程的人，再好的流程也会被架空。纸面上写着的是核实义务，而团队日常体验到的却是“不许耽误”的义务。下一次遇到不明确的指令时，这两条要求就会发生冲突。

因此，一份专业的协议不应只包含针对员工的规则，还应包含客户的承诺：不会因为员工按约定进行了合理的核实而惩罚他。

叫停未经核实指令的权利，不能只存在于手册里。它必须在支付团队报酬的那个人面前同样站得住。

08 — 必须把核实变成一套可用的流程

“核实不寻常的请求”这条笼统的建议留下了太多悬而未决的问题。什么算不寻常？由谁核实？如果没人回应怎么办？与此同时，我们要保护的人、车辆或信息又处于什么状态？

以下框架是一个可根据具体企业或家庭进行调整的实用建议，而不是一套通用标准。

首先确定影响重大的决定

用同一套流程来处理“更换车上矿泉水的品牌”和“更换接孩子的人”，是不合理的。重要的是影响，而不是消息听起来有多紧急。

尤其需要专门确认的，是那些会改变实际出入权限、责任交接、共享信息范围或重要安全条件的决定。对企业而言，付款信息的变更也属于此类；FBI 建议，恰恰要对账户和付款流程的变更进行独立核实。^[11]

然后将提议、批准和执行分开

提出变更的人，未必是有权批准的人。执行变更的人，也未必能评估其全部影响。在小家庭里，同一个人可能身兼数职。但即便如此，清楚自己此刻扮演的是哪个角色也会有所帮助。

对于特定的决定，由第二个人复核可能是合适的。但复核必须带来真正的评估。只是重复第一次确认的第二个人，并不构成独立的复核。

确定核实途径和备用方案

核实应当指向事先确认可信的联系人，而不能只依赖可疑消息本身提供的联系方式。FBI 建议对身份进行独立确认，对于新联系人，则应通过此前已确认的渠道或可信来源进行核实。^[4]

流程同时也必须考虑联系不上的情况。如果一切都取决于某一个此刻无法回应的人，团队就需要知道：是否可以找代理人，是否推迟变更，或者维持哪一种事先批准的安排。

维持安全状态，而不是盲目坚持原计划

未经确认的变更，不应自动等同于已执行的变更。但同样，它也不应意味着必须留在已经出现紧迫危险的地方。

在面临紧急威胁时，保护生命和相应的危机处置流程优先。核实规则不应妨碍必要的反应；它们要防止的是，任何一条含糊的消息都被当作废除这些规则的理由。

为所有相关人员敲定变更

确认之后，团队需要一个唯一有效的版本：变更了什么，由谁批准，变更从何时起生效，以及原计划的哪些部分保持不变。

一条简短的记录可能比冗长的消息记录更有用。它的目的不是制造文书工作，而是避免司机、助理和随行护卫按照对同一个晚上的三种不同理解各行其是。

09 — 换一个应用程序，未必就是独立核实

独立性无法用屏幕上的图标数量来衡量。

设想一个模拟情境：某人能够访问同一台设备上的多个账户。在这种情况下，把对话从一个应用程序转移到另一个，未必能形成一个独立的确认来源。同样，两位同事也可能在确认同一条未经核实的信息，因为两人都是从同一个地方得到它的。

更有用的问题是：要让原始消息和对它的核实同时变得不可信，必须有什么环节失效？

这并不是要求每一次日常对话都做到技术上的完全独立，而是一种判断方法，用来看清追加的确认是否真的带来了新的东西。

屏幕上显示的号码也不应被视为确凿证据。NÚKIB 提醒要警惕电话号码伪造，并区分“查到真实的机构”与“核实我们此刻确实在与该机构沟通”这两件事。^[7]

因此，对我们的模拟团队来说，如果有人用一个看起来像客户的号码打来电话并重复指令，那是不够的。团队需要的是一条事先约定、与决定的重要性相称的核实途径，而不是又一个“看起来很像”的印象。

联系人信息的维护同样重要。当电话号码、员工的角色或供应商发生变化时，核实流程必须有序地更新。如果对每条指令都仔细核实，却对可信联系人名单本身的变更掉以轻心，那就不合逻辑了。

所有这些考量都指向同一个目标：下一步应当增加确定性，而不只是延长对话。

所谓安保人员的要求，同样不能免于核查

尤其值得注意的是那些以安全措施自居的请求。NÚKIB 在前述警示中也描述了冒用安全机构身份的情况，其中包括冒用该局自身的身份。因此，把一项请求称为保护措施，并不能证明它是真实的。^[7]

在模拟情境中，有人可能以所谓的风险为由，要求更改日程、移交敏感信息，或撇开惯常的联系人。对于防御流程来说，重要的是不只评估对方声称的目的，还要评估提出变更者的权限。

反过来也一样。真正的安保团队应当以可识别的、事先约定的方式提出要求，而不应指望客户的助理仅凭一番听起来很紧急的安全解释，就不加核实地把一个陌生人当作新的权威。

“出于安全考虑”不应成为一张终止一切提问的万能通行证。否则，只要冒充安保人员，就能恰恰在那些本应起保护作用的规则上获得豁免。

10 — 企业、家庭和酒店需要相同的原则，但不同的机制

照搬一套严格的流程分发给所有人很容易。更合适的做法，是让规则与每个人实际要保护的东西相适应。

企业：保护决定，而不仅仅是登录

在模拟企业中，财务部门能够安全地访问会计系统。但这并不能说明供应商账户的变更是否来自有权限的人。登录的安全性与业务单据的正确性，是两个独立的问题。

FBI 将商业电子邮件诈骗（business email compromise）描述为这样一类诈骗：一条看似来自熟悉发件人的消息，诱使对方付款或提供信息。FBI 建议核实付款请求和付款信息的变更。^[11]

我们对企业的建议是：把单据信息的变更与其使用分开。处理付款的人应当能够看出新信息是否已经过批准，而不是仅仅因为它们已被录入系统就予以接受。类似的逻辑也可以用于在会议中增加来宾，或开放机密文件的访问权限。

家庭：不要让孩子承担成年人的决策

在模拟家庭中，重要的是确定哪些成年人有权决定变更，以及谁负责照护的交接。仅有一个孩子认识的人的名字是不够的，还需要针对当天和具体情况的明确约定。

我们建议的机制不是要让孩子去审核手机消息。变更应由负责的成年人相互确认。孩子需要的是适龄、易懂的规则和随时可得的帮助，而不是关于可能遭受攻击的细节。

同样，目的也不是让父母、学校和随行护卫相互对立。他们的任务是事先厘清谁确认什么，这样交接就不必依赖于在门口的临场发挥。具体的安排必须尊重各方的职责和权限，而不能用内部的安全愿望取而代之。

酒店与活动：礼貌不等于透露信息

在模拟的酒店中，一位看起来很专业的访客可能以住客团队的名义，要求提供该住客的信息或更改出入权限。恰当的回应既不必是照办，也不必是当众指责。

工作人员可以通过指定途径协助核实，而不透露敏感细节。协助建立联系，与确认客户的入住情况、日程或具体位置，是两回事。

同样的原则也适用于证件资格的变更：接待服务应当寻找符合规定的解决方案，而不是绕过准入条件。获准参加活动、进入后台，以及可以在受保护者身边走动，不应混为一个含糊的“VIP”标签。

11 — 技术很重要。只是不能让它承担它解决不了的任务。

如果从本文得出技术防护不起作用的结论，那就错了。需要做的是更准确地界定它防范的是什么。

NCSC 建议在可用的情况下使用通行密钥（passkeys），并解释了它们为何能抵御窃取登录凭据的网络钓鱼。在无法使用通行密钥的地方，NCSC 建议使用强密码和两步验证。^[12]

但这并不意味着安全登录的用户就不会作出错误的决定。如果一名有权限的员工亲自把文件发给了错误的收件人，这未必是他的登录密钥失效了。密钥解决的是账户访问问题，而不是之后每一项工作操作是否正当的问题。

同样，必须区分单个用户的多因素验证与双人批准。前者有助于保护登录，后者则可以作为对决策的组织性控制。两者不是可以互相替代的工具。

Signal 的案例提醒我们另一条界线：除了传输安全之外，还需要关注那些能够访问通信内容的设备和账户。前面提到的 NÚKIB 建议中，也包含了检查已关联设备这一项。^[5]

对安保团队来说，由此得出的实用建议是：根据具体问题选择技术。不要指望加密来解决职权问题，不要指望摄像头来解决权限问题，也不要把一条记录得完美无缺的指令当作它正确的证明。

同时，也不要在没有准备的情况下把技术任务推给贴身护卫人员。与信息安全专家协作，和假装一个人就能以同样的水准兼顾交通、人身保护、账户管理和数字调查，是完全不同的两回事。

12 — 访问权限应与任务相称，而不是与个人好感相称

建立在长期信任之上的关系，很容易让人发问：这个人已经证明过自己那么多次了，为什么还要限制他？

更好的问题是：他的工作实际上需要什么。

NIST 将最小权限原则描述为：把访问权限限制在完成所分配任务所必需的最低限度。这不是对用户品格的评价，而是权限的设计。^[13]

在模拟家庭中，管家可能需要访问住宅的运营数据，而不是全家的日程。司机需要的是行车所需的信息，而不是理所当然地知晓商务会谈的内容。供应商应当得到完成委托所必需的信息，而不是客户生活的全貌。

临时访问权限尤其值得注意。在我们建议的机制中，为某一次活动授予的权限，未经决定不应永久保留。临时替同事顶班，也不应不知不觉地形成又一个永久性的权限。合作结束后，需要在相应角色的范围内清理账户、钥匙、共享设置及其他访问权限。

目的不是预设背叛，而是限制失误、账户被滥用，或权限保留时间超过应有期限所带来的后果。

同时，保护客户不能演变成对员工不受限制的监控。欧洲数据保护委员会（EDPB）在基本原则中提到了合法性、透明性、目的限制、数据最小化和存储期限限制。具体的背景审查或监控需要相应的法律评估。^[14]

实际的界限可以简单地表述为：安保团队应当知道保护工作需要什么，并能够解释原因；而不应仅仅因为“将来也许用得上”就收集一切。

13 — 真实的员工、失误和被冒用的身份，不是同一个问题

在分析事件时，我们建议至少区分三种工作假设：有人故意滥用了自己的权限；有权限的人因诈骗或误解而善意地采取了行动；或者是其他人冒用其身份采取了行动。

这是一种分析上的区分，而不是预先怀疑某个具体的人的理由。

同样的外在结果，可能有不同的解释。一份敏感文件从助理的账户中发出。仅凭这一点，还无法确定消息是谁写的、为什么被发送，也无法确定助理是否知道自己实际上把文件交给了谁。

因此，宜先查明有据可查的步骤：使用了哪个账户，收到了什么指令，由谁接收，当时存在哪些权限，实际执行了什么。之后再评估责任。

过早地寻找罪魁祸首，可能会让人忽视另一条仍然敞开的途径。例如在我们的模型中，如果新来的人继承了同样模糊的流程和同样要求立即照办的压力，那么仅仅撤换助理是不够的。

我们还应区分员工的个人困难与安全违规的证据。需要支持本身并不能证明一个人具有危险性。权限管理应当以任务和有据可查的情况为基础，而不是基于对人的品性的随意判断。

14 — 检查过多，反而可能掩盖真正重要的那一项

与过度轻信相对，还存在另一种风险：系统要求的确认太多，以至于确认变成了机械地点击，或无休止的运作冲突。

NIST 在 2016 年发表的一项关于“安全疲劳”的研究中描述了受访用户被安全要求压得喘不过气、并在某些决定上听之任之的现象。这是一项定性研究，而非对所有员工的普遍测量。其建议包括减少需要作出的决定数量，以及让安全的选择变得更简单。^[15]

我们由此为人身保护得出一条设计原则：把人们的注意力留给那些结果真正重要的决定。

如果每个细节都以同样的方式核实，重大变更就可能得不到应有的重视。更合适的做法是明确区分日常调整、重大变更和危机情况。每一种都需要不同的流程和不同的决策权限。

同样值得追问的是，人们为什么要绕过规则。原因是理解有误？缺少联系人？耽搁过久？还是按规则根本无法完成日常工作？答案未必能为违规开脱，但可以揭示需要修正什么。

好的流程应当足够严密以起到保护作用，也应当足够好用，使人不必为了完成正常工作而另起一套非正式的流程。

15 — 事后才产生疑问时该怎么办

有时，怀疑是在文件已发出、款项已支付或日程已变更之后才出现的。这时，限制进一步的后果，比立即断定谁本该更聪明要有用得多。

以下顺序只是一个参考框架。具体应对必须以事件的性质为准；当人员面临紧迫威胁时，他们的安全优先。

首先，中止可以安全暂停的后续执行。不要仅仅因为第一步已经完成，就继续执行后面的操作。对于日程变更，要核实当前情况，并把协调工作交还给负责人。这并不意味着不假思索地转移客户，或再制造一次临时变更。

遇到金融诈骗时，不要拖延联系银行和警方。捷克工业和贸易部在其指南中建议立即联系银行和捷克警方。如遇紧迫威胁或需要警方立即介入，在捷克可拨打紧急电话 158，或 112。^[16]

保存现有资料并记录经过。为了便于移交给专业人员，保留原始消息、时间、账户信息以及对实际执行步骤的描述会很有帮助。不要以致使原貌丢失的方式修改这些资料，也不要无故转发给其他人。保全资料不得延误必要的保护反应。

对账户被接管的怀疑，要与消息本身分开处理。NCSC 建议，在恢复被入侵的账户时，应检查邮件转发设置、更改登录凭据、注销已关联的设备和应用程序，并通知联系人等。具体操作因服务而异；在企业环境中，应由相应的管理员或事件响应团队协调处理。^[17]

通知可能按照同一条未经核实的指令行事的人。您不必知道完整的解释。他们需要知道的是：这条具体指令目前被视为未经确认，以及下一条有效指令将由谁下达。

之后才是详细分析：不仅要弄清哪条消息是伪造的，还要弄清它为什么能够改变实际运作，以及本应在哪个环节阻止它产生作用。

16 — 员工必须有理由在确定之前就说出来

安全报告并不总是以“发现了攻击”开头。它的开头可能平常得多：有点不对劲，我可能犯了个错，我对最后一条指令没有把握。

NCSC 警告说，担心后果的人可能不会报告错误，因此建议营造支持及时报告的环境。同时，它的建议把防范网络钓鱼建立在多个层面之上，而不是仅仅依赖员工识别每一条诈骗消息的能力。^[18]

在我们的模型中，助理即使已经转发了指令，也应当能够站出来说明情况。她的报告不是额外的麻烦，而是在更多人执行后续步骤之前阻断这条链条的机会。

这并不意味着免除责任，而是意味着把即时反应与事后评估分开。首先处理安全、访问权限、指令的有效性和影响；然后再调查这是诈骗、流程不清、准备不足，还是有意违规。

因此，不要只凭报告问题的数量来评判一套机制的质量。零报告可能意味着运作平稳，也可能意味着人们不知道该向谁报告。没有更多背景信息，就不能从这个数字推断出成功。

对于自己的团队，我们建议关注的指标包括：从产生疑问到移交给负责人所用的时间、代理人是否联系得上，以及能否在不造成运作混乱的情况下叫停未经核实的变更。这些都是可以检验和改进的问题。

17 — 要检验的是流程，而不是员工甘受羞辱的勇气

培训不必以一个秘密设下的陷阱开始，再以一份失败者名单结束。

作为开始，适合进行一次共同的桌面演练：相关负责人一起过一遍模拟情境，并说明自己实际上会怎么做。无需使用真实的个人数据，也无需让人真的为亲人担惊受怕。

设想收到一项重大的日程变更，发出者联系不上，而两名团队成员掌握的信息又不一致。谁来决定暂不执行这项变更？由谁核实？在此之前司机具体该做什么？其他人如何得知结果？

然后只改变一个条件：指令是真的，但工作人员没有理解它的范围。或者原来的联系方式已经失效。或者负责人联系不上。目的不是展示无穷无尽的威胁，而是检验流程能否应对常见的偏差。

英国警方的门户网站 ProtectUK 在描述安全行为时，不仅涉及教育，还涉及创造条件、支持期望的行为以及评估效果。因此，单纯传递信息并不是整个计划的全部。^[19]

作为企业或家庭的工作成果，我们建议形成一页简明的文件。它应当回答：谁有权批准重大变更，如何确认，谁代理联系不上的人，核实期间什么仍然有效，以及有疑问时向哪里报告。

如果坐在安静房间里同一张桌旁的人都无法就这些答案达成一致，那么指望他们在有人已经在车旁等候的时刻自然而然地达成一致，就是不现实的。

18 — 几分钟后，在同一家酒店门前

让我们回到开篇的故事。

司机收到了关于拟议变更的信息。但这一次，它被标注为“未确认”。随行护卫负责人不问那个声音听起来是否足够令人信服，而是查明要变更什么、谁有权批准，以及是否已经获得批准。

助理使用约定的途径进行核实。在这个模拟版本中，结果表明消息确实是客户发的。不过，他想调整的是会谈的顺序，而不是缩减随行护卫，也不是自动更改所有的抵达条件。

没有揭露出什么天才攻击者，也没有发生戏剧性的干预。被拦截下来的，是一个在传递过程中开始扩大的误会。

这并不是一个逊色的结局，而是对我们所建议体系的一次重要检验。一项措施即便只是防止了普通的失误，而不仅仅是有针对性的诈骗，它也是有意义的。

在另一个版本中，核实会表明客户什么也没发。接下来的处理会有所不同，但第一步保护措施是一样的：不允许未经确认的信息在未受把关的情况下改变人员的实际行动。

只有当团队按照一个共同的、有效的日程版本行事时，车门才会打开。客户不必知道每一个中间环节。他需要知道的是：身边的人不会把乐于配合误当成停止思考的义务。

不破坏信任的保护

这个话题很容易被讲成一个“谁都不能相信”的世界的故事。那将是一个错误的目标。

无论是家庭、企业还是专业保护，都不可能像一场永不停歇的审讯那样合理运转。它们需要信任、自主性和行动的空间。安全机制的任务是为这些东西划定清晰的边界，而不是把它们消除。

当谁有权决定什么一清二楚时，每一次核实就不必演变成个人之间的争执。当疑问可以坦然提出时，错误就不必被掩盖。当访问权限与任务相称时，一次失误就不至于波及一切。而当客户尊重规则时，他的员工就不必每次都在保护与服从之间作出选择。

这些措施都无法保证零风险。其意义在于压缩未经核实的决定的空间，并在错误仍然发生时减轻后果。

因此，衡量标准不是禁令的数量，也不是技术的多少，而是在信息看似可信、却尚不充分的时刻，能否迈出正确的下一步。

保镖可以站在客户身旁。但一套值得信赖的体系，还必须站在那些为客户安排生活的人所作的决定背后。

好的保护不只关心谁能接近您，还关心谁能以您的名义让别人去做某件事。

需要核查谁有权以您的名义作出决定吗？

如果您正在考虑自身、家人或企业的安全，并需要建立一套经过核实的变更审批流程，BODYGUARD GROUP^® 可以先以保密的方式评估情况，再提出相称的解决方案。