诈骗的未来已经到来，只是分布不均——追求懒惰

# 骗局的未来已经到来，只是尚未普及 来源：https://manishearth.github.io/blog/2026/06/17/the-future-of-the-con-is-already-here/ ## 布局 > Johnny Hooker：下午两点过后，会有个人用那部电话打给你，告诉你一匹马的名字。 想象一下，你或许是一位收入颇丰、精通技术的职场专业人士，正在找工作。你找了有一阵子，但毫无进展；现在市场行情糟透了。一个招聘人员在 LinkedIn 上联系你，看起来是一个*绝佳*机会，完美匹配你最强的技能。这家公司你听说过，是出了名的工作好去处。工资也比上一份工作高出不少。你当然非常兴奋，同意参加几次面试。你进行了一次初步筛选电话，感觉还不错。他们提到面试需要签一份标准、简单的保密协议（NDA），并承诺会通过某个法律科技 SaaS 创业平台发给你。你收到邮件，登录他们的企业 SSO 后，看到确实是一份很简单的 NDA，便签了字。面试进行得很顺利。面试官热情友好，你期待将来能和他们一起工作。他们说的关于公司的一切听起来都很棒。然后你得到了坏消息：别人拿到了这个职位。唉，算了。不过，他们表示很喜欢和你聊天，将来有类似的机会可能会再联系你。就这样，回到找工作的日常吧。 六个月后，你发现这全是骗局。你的身份被盗了，有人以你的名义开了信用卡，刷了数千美元。你的经纪账户被部分掏空。要理清这一切需要好几个月，而且你很可能拿不回全部损失。更要命的是，你失去了对自己邮箱和许多其他在线账户的访问权。当你发现这一切时，你仍然困惑不已：这种事怎么会发生在*你*身上？你明明很懂如何在互联网上保护自己，也不容易上当受骗。 ## 钩子 > Henry Gondorff：你一个人干不了这事，你知道的。需要一群像你这样的人，还要足够的钱让他们看起来像模像样。 攻击的关键点在于登录 NDA 签署平台。你选择使用“通过 XXX 登录”的方式创建账户，然后被引导到一个看起来很真实的登录流程：一个真实的 Google/iCloud 页面，或许你的邮箱已经填好了。当你在这个网站上登录时，他们利用你输入的密码以及随后的“在设备上点击确认”两步验证（2FA）流程，在他们的端登录了你的账户（保存了会话 cookie），并在你的端显示为登录成功。攻击者保持着这种不被发现的访问权限，监控着你的活动模式，寻找可利用的漏洞。他们在放火之前先关掉了你的烟雾报警器：预先过滤掉他们打算攻击的账户发来的警报邮件，让你永远收不到警告。他们下载了你云端的所有文件，并用这个账户登录了其他各种网站。他们利用了解到的关于你的一切信息，以你的名义开信用卡。而*在入侵之后*的面试和拒信，不过是演戏——为了让你不起疑心，好让他们更长时间地持有你的凭证。 这已经够吓人了，但还有更糟的：他们成功转走了资金。这很难做到：现代金融系统对账户被劫持有大量保护措施[^1]。大多数针对钱财的骗局都是说服受害者自愿以不可逆或无法追踪的方式转账，而精通技术的专业人士不太可能成为这种骗局的目标。但凭借他们的访问权限，骗子仍然有可能以某种方式从你这里偷走钱，同时让他们自己能保住这笔钱，并且避免被察觉，直到为时已晚。一个拥有你邮箱和账户持久且不被察觉的访问权限的人，可能会注意到，例如，你工资的一部分会自动转账到一个你似乎很少碰或不常登录的经纪账户[^2]。他们可以通过重置你的密码来获取该账户的访问权限，然后添加一个转账账户，或许还会建立一种小额转账的使用模式。最终，他们会把钱转走，并计算好时间，让你一时半会儿注意不到，而且转账方式很难追踪[^3]。也许他们可以等到你度假的时候再动手，因为他们知道你的日程——他们有你的日历！等他们全部搞定，觉得骗局很快会被发现时，他们就锁定你的账户，让你更难拼凑出发生了什么。 是的……这些听起来都很有可能。这也需要*大量*努力，需要多个人协调和监控，而最终的回报可能根本不会发生。感觉不太可能，对吧？好吧，我漏掉了一部分。整个攻击是由一个 LLM（大语言模型）策划并执行的。一个能够研究你的一切、量身定制攻击方案的 LLM。一个能够整合所有必要元素（LinkedIn 账号、假冒的文档签署网站、看起来合理的发件域名）让骗局看起来可信，并合成所有文本、音频和视频互动的 LLM。一个在获取你账户访问权限后，能够监控它并找出最佳利用方式（无论是潜入你的经纪账户、在 AWS 上疯狂消耗云资源、拿走你所有的加密货币，还是从你被偷走、很可能被清空的谷歌账户中勒索你几十年的宝贵数据）的 LLM。 而找工作只是偶然。面试是适合你的骗局形式；基于骗子对你的了解，这是一个合理的诱饵。对另一个人来说，可能是一个吓人的警察来电、一个求助的亲人、一封来自银行的邮件，或者一段慢热的网恋。每次的借口都不一样，但背后的机器是相同的。 ## 故事 > Henry Gondorff：这不像在街上骗酒鬼。你跑不过 Lonnegan 的。 很长一段时间以来，你可以把骗局大致分为两类：一类是廉价、易操作的“撒网式”骗局，希望抓住不那么精明的受害者；另一类是昂贵、*有针对性的*骗局，目标是一些“值得费功夫”的人。而通常，“值得费功夫”更多指的是某人掌握的组织权力，而非针对个人储蓄，比如香港那起 2500 万美元的骗局[^4]，一名公司员工被说服转移了公司资金。 “撒网式”骗局成本低廉，因为它们往往不花精力说服你。事实上，“尼日利亚骗子”这个梗之所以存在，是因为对于针对不太精明个体的骗子来说，让更精明的人尽早自行退出骗局流程是非常理想的[^5]。邮件是免费的，但随后与目标通信和行骗的工作可不是。精通技术的人总体上不容易上当：只要掌握少量计算机安全最佳实践，加上对系统能力的粗略了解，就能让你保持相当安全[^6]。 然而，对于更复杂的骗局，大多数人都“不值得费功夫”，或者至少他们自己是这么认为的。大多数人工作时手边没有 2500 万美元的按钮。当然，许多专业人士有足够的积蓄，值得发动一次复杂骗局，但这种事情发生在他们身上的概率仍然很小：需要如此多前期准备的骗局，无法轻易规模化；你需要有足够 sophistication 的人愿意成为罪犯，而这很难并行化。 有个老笑话：你不需要跑赢熊，只需要跑赢旁边的人。你不需要完全无法被骗，只需要比下一个目标更难骗。 注意，针对个人财富的复杂骗局确实会发生[^7][^8]。“这种事不会发生在我身上”这种想法并不正确，但“这种事不太可能发生在我身上”是常见的信念，对许多人来说，这样想也并非不合理。引用 James Mickens 的话[^9]： > 基本上，你要么是在对付摩萨德，要么不是。如果你的对手不是摩萨德，那么只要你选个好密码，不回复来自 `[email protected]` 的邮件，你很可能就没事。如果你的对手是摩萨德，那你死定了，而且毫无办法。摩萨德可不怕你用 `https://`。如果摩萨德想要你的数据，他们会用无人机把你的手机换成一块铀，形状像手机；等你死于充满肿瘤的肿瘤时，他们会召开新闻发布会，穿着印有“绝对是我们干的”的 T 恤说“不是我们”，然后在你家遗产拍卖会上买下你所有的东西，好直接看你的度假照片，而不是读你那些关于度假的乏味邮件。 Mickens 说的是国家行为者，那是另一个层面。但核心思想是一样的：对手的能力呈双峰分布，聚集在“无针对性 × 廉价”和“有针对 × 昂贵”两端。而大规模运行有针对性攻击根本行不通。 纠正一下，对手的能力*曾经*是双峰分布的。LLM 填补了分布的中间区域。它们相当便宜：2024 年的一篇论文发现，用 LLM 执行鱼叉式网络钓鱼，每封邮件的成本约为 4 美分[^10]。上面描述的那种面试骗局更加复杂、更昂贵，但很可能仍然值得；而 2026 年的 LLM 已经突飞猛进。更令人不寒而栗的是，这*可以规模化*：可以同时运行数千个这种骗局！骗子甚至可能让 LLM 研究个人，然后根据该个人的档案提供定制骗局。我们现在生活在一个骗局可以在一个 `for` 循环中运行的世界。 ## 监听线 > Eddie Niles：这条监听线已经过时十年了。 > Henry Gondorff：正因如此，他才不会知道。 以下是 LLM 拥有的、与骗局相关的能力的局部列表，这些能力以前每个目标都需要大量熟练人力： - 研究目标，找出最佳攻击方式。 - 根据目标量身定制所有通信内容，并根据目标对不同方式的反应动态调整。 - 克隆目标信任的人（如亲戚）的声音。 - 实时生成逼真的视频通话深度伪造。 - 构建看起来可信的虚假网络存在以佐证骗局[^11]。 - 实时监控被攻克的资源，并根据监控动态构建骗局。 - 更好地筛选和发现目标。 - 避开基于签名检测的垃圾邮件过滤器（如 Heiding 等人所示[^10]）。 - 扫描并利用已部署软件中已知漏洞的利用链。大规模扫描并不新鲜，但廉价构建能够追踪最新 CVE[^12] 并学习新技巧的工具则是新的[^13]。 这些是*今天*已经存在的能能力，而且它们只会不断提升。我们应该把这些技能视为下限，而非上限。每一项都自身危险，而且它们还很*廉价*。一个成本以 token 计量的骗局可以多次运行——“骗局 in a `for` loop”——而规模化解锁了单个骗局无法使用的策略。 首先，规模化解锁了*耐心*。一个针对个人的骗子团队可能没有能力在步骤之间等待数月或数年，这限制了他们的尝试范围。然而，一个同时用 LLM 针对多人的骗子完全可以承受让某个操作休眠一段时间，等待最佳时机出击。他们甚至可以利用这段时间，在相隔很长时间内实施多重骗局。 其次，规模化解锁了*组合*。骗局可以在多个战线叠加，以击败反欺诈机制：例如，可以运行一个小型、不太复杂的骗局来招募一个“钱骡”，从而能够以不可追踪的方式提取大量资金。（我非常喜欢 1973 年的经典电影《The Sting》。电影中的核心骗局之一是，团伙使用多个较小的骗局来收买/伪造各种“可信”机构，从而让他们能够可信地假装为一家大银行工作。但在当今时代，Henry Gondorff 需要一间旧台球厅、赌具、伪装、50 人团队和一大堆其他东西才能做到的事……现在只需几个 token 就能搞定。） 规模化还解锁了最后一点：*新的目标*。这些归根结底还是针对人的骗局，但一千个被攻克的受害者，同时也意味着他们所用平台内部的一千个经过身份验证的位置[^14]，这是一种截然不同的资产。许多系统都存在明显的漏洞，利用这些漏洞*最终*会被发现并逆转[^15]。“最优欺诈量非零”[^16]：这些漏洞通常带来的好处大于偶尔出现的欺诈者所造成的成本。然而，一千个账户协同工作，同时利用其中一个漏洞，则会彻底改变这一计算。平台曾经过深思熟虑决定容忍的漏洞，此刻变成了一个需要赶紧堵上的大洞[^17]。 将这些整合起来仍然需要技巧[^18]……目前是这样。但最终会有人为此构建可重复使用的工具，并卖给其他骗子，从而催生“脚本小子版的骗子”[^19]。骗子们有着成熟的市场[^20]，只需有人构建这些工具并在市场上销售即可。这甚至可能已经发生了。“未来已经到来，只是尚未普及”[^21]：能力已经具备，某些骗子肯定已经在部署它们了。但由于它们尚未*无处不在*，我们的启发式判断——以及为我们提供关键服务的公司的判断——还没有被重新校准。 ## 拒之门外 > Johnny Hooker：他没有他自己想的那么厉害。 > Henry Gondorff：我们也没有。 说到启发式判断，如果你被问及能否应对某个特定的骗局，你大概已经准备好了答案。如果家人发短信提起某件事，你会打电话，或者更好的方式是视频通话。 [^1]: https://manishearth.github.io/blog/2026/06/17/the-future-of-the-con-is-already-here/#fn:banking-protections [^2]: https://manishearth.github.io/blog/2026/06/17/the-future-of-the-con-is-already-here/#fn:dearth [^3]: https://manishearth.github.io/blog/2026/06/17/the-future-of-the-con-is-already-here/#fn:mules [^4]: https://www.cnn.com/2024/02/04/asia/deepfake-cfo-scam-hong-kong-intl-hnk/index.html [^5]: https://web.archive.org/web/20120622161722/http://research.microsoft.com/pubs/167719/WhyFromNigeria.pdf [^6]: https://manishearth.github.io/blog/2026/06/17/the-future-of-the-con-is-already-here/#fn:caller-id [^7]: https://www.thecut.com/article/amazon-scam-call-ftc-arrest-warrants.html [^8]: https://manishearth.github.io/blog/2026/06/17/the-future-of-the-con-is-already-here/#fn:patrick-shoebox [^9]: https://www.usenix.org/system/files/1401_08-12_mickens.pdf [^10]: https://arxiv.org/abs/2412.00586 [^11]: https://manishearth.github.io/blog/2026/06/17/the-future-of-the-con-is-already-here/#fn:fn-lorenzo [^12]: https://www.cve.org/ [^13]: https://manishearth.github.io/blog/2026/06/17/the-future-of-the-con-is-already-here/#fn:zerodays [^14]: https://manishearth.github.io/blog/2026/06/17/the-future-of-the-con-is-already-here/#fn:suborn [^15]: https://manishearth.github.io/blog/2026/06/17/the-future-of-the-con-is-already-here/#fn:glitch [^16]: https://www.bitsaboutmoney.com/archive/optimal-amount-of-fraud/ [^17]: https://manishearth.github.io/blog/2026/06/17/the-future-of-the-con-is-already-here/#fn:viral [^18]: https://manishearth.github.io/blog/2026/06/17/the-future-of-the-con-is-already-here/#fn:skill [^19]: https://en.wikipedia.org/wiki/Script_kiddie [^20]: https://en.wikipedia.org/wiki/Genesis_Market [^21]: https://www.goodreads.com/quotes/681-the-future-is-already-here-it-s-just-not-evenly