今天我们来聊一个看似“老派”但依旧非常有效的攻击手段——肩窥攻击（Shoulder Surfing）。在网络安全的世界里，我们常常关注那些技术含量高、听起来很酷的攻击，比如APT攻击、零日漏洞利用等等。但实际上，一些最简单的攻击方法，反而因为其“低技术”的特点而常常被我们忽略，肩窥攻击就是其中的典型代表。
想象一下，我们在咖啡馆里惬意地喝着拿铁，同时用笔记本电脑回复重要的工作邮件；或者在拥挤的地铁里，我们掏出手机查看银行余额。这些日常的不能再日常的场景，可能已经让我们暴露在“有心人”的视线之下。
什么是肩窥攻击？比我们想象的更简单！
肩窥攻击，顾名思义，就是攻击者通过偷窥的方式，从我们的“肩膀上方”获取敏感信息。 这是一种非常直接的社会工程学攻击，不需要高深的技术知识，只需要一双“贼溜溜”的眼睛和合适的时机。
攻击者窥视的目标多种多样，包括但不限于：
- 密码和PIN码：当我们在ATM、POS机或手机上输入密码时。
- 账户信息：登录名、银行账号、信用卡号等。
- 敏感文件：公司内部的机密文件、个人隐私照片或聊天记录。
- 解锁图案：手机或平板的图形解锁密码。
这种攻击的核心在于利用人们在公共或半公共场所放松警惕的心理。攻击者会伪装成路人、顾客或者同事，在不引起我们注意的情况下，悄无声息地完成信息的窃取。
肩窥攻击的常见“套路”
我们可能会觉得，我只要小心一点就不会中招。但攻击者的手段也在不断“升级”，从简单的偷瞄到利用高科技设备，防不胜防。
- 近距离直接观察：这是最经典的方式。攻击者会找机会站在或坐在我们的身后，直接偷看我们的屏幕或键盘输入。 他们可能会假装在排队、看书或者打电话来掩饰自己的行为。
- 利用反射面：咖啡馆的玻璃窗、光滑的桌面、甚至是墨镜的反光，都可能成为攻击者窥探我们的“镜子”。
- 高科技设备辅助：现在，攻击者甚至不必离我们很近。他们可以使用带长焦镜头的相机、高分辨率的录像设备，甚至是无人机，在远处记录下我们的屏幕内容和键盘操作。
- 利用监控摄像头：在某些情况下，公共场所或私人安装的监控摄像头也可能被黑客利用，无意中记录下敏感信息的输入过程。
为了更直观地理解肩窥攻击的流程，我们可以用下面的模型来表示：
肩窥攻击的危害有多大？
不要小看这“匆匆一瞥”的力量。一旦敏感信息泄露，我们可能面临：
- 财产损失：攻击者利用获取的银行密码或信用卡信息，盗取我们的资金。
- 身份盗用：利用我们的个人信息和账户凭证，冒充我们的身份进行欺诈、申请贷款等非法活动。
- 企业数据泄露：如果泄露的是公司账户或内部资料，可能给企业带来巨大的经济损失和声誉损害。
- 隐私曝光：私密的聊天记录、照片或文件被窃取，可能导致敲诈勒索。
一个真实的例子是，曾有犯罪团伙在ATM机附近，一人负责分散取款人的注意力，另一人则快速记下其输入的PIN码，随后通过扒窃等方式偷走银行卡，迅速将卡内余额取走。
如何像特工一样防范肩窥攻击？
既然肩窥攻击如此“接地气”，我们的防御措施也需要同样“接地气”。记住以下几点实用建议，就能大大降低我们被攻击的风险：
- 增强环境意识：在使用电子设备处理敏感信息前，先环顾四周。 看看是否有人离我们过近，或者行为可疑。 尽量选择一个相对私密的位置，比如背靠墙壁的座位。
- 遮挡我们的操作：在ATM或POS机上输入密码时，养成用另一只手或身体遮挡键盘的好习惯。这虽然是个小动作，但非常有效。
- 使用隐私保护膜：为我们的笔记本电脑和手机贴上防窥膜。这种膜的原理是利用微型百叶窗结构，让屏幕内容只有正对着的人才能看清，旁边的人看到的则是一片漆黑。
- 启用多因素认证 (MFA)：即使密码被窃取，MFA也能提供第二道安全防线。攻击者没有我们的手机、指纹或人脸等第二个认证因素，依然无法登录我们的账户。
- 调低屏幕亮度：在公共场所，适当降低屏幕亮度，既能省电，也能增加旁边的人看清我们屏幕内容的难度。
- 警惕异常行为：如果有人无故靠近、故意制造混乱或试图分散我们的注意力，请立刻提高警惕，停止操作并保护好我们的个人物品。
- 选择更安全的密码形式：考虑使用生物识别（指纹、面部识别）来代替密码输入。 虽然并非绝对安全，但在防范肩窥方面效果显著。对于密码管理器，自动填充功能也比手动输入更安全。
结语
总而言之，肩窥攻击是一种利用人类行为漏洞的古老而有效的攻击手段。在我们的数字生活与物理世界日益交融的今天，保护信息安全不仅意味着要安装杀毒软件、设置复杂密码，更意味着要提高我们在物理世界中的安全意识。
下一次当我们在公共场所拿出设备时，不妨花几秒钟时间“侦察”一下周围的环境。这个简单的小习惯，或许就能帮我们避免一次代价高昂的信息泄露。保持警惕，让“有心人”无缝可钻！
