文章总结： 本文以《毛骗》第八集剧情为引，对照解析网络安全社会工程学攻击手法。核心要点包括：威胁核实需区分事实与承诺、事件响应流程应由内部主导、线索需验证来源、警惕注意力差利用、被胁迫员工应获支持。文章将影视情节映射至企业安全场景，提供可操作建议，强调数据泄露无法挽回，需建立规范处置流程。 综合评分： 85 文章分类： 社会工程学,安全意识,威胁情报,安全运营,实战经验

《毛骗》第八集：狐狸说病床边有张照片，冬冬接下夺瓶赌局｜网络安全里的社会工程学

原创

messfree messfree

MessFreeSecurity

2026年10月5日 08:00 河北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

《毛骗》人心攻防录 08｜社会工程学 × 网络安全

上一集，冬冬为了弟弟的治疗费，想卖掉梁老的传家瓷瓶，因越过队规被赵宁赶走。第八集里，他夜里先给医生打电话，问弟弟还在不在医院；见到狐狸的人后，又打给病房核对，接线人回答“在”。狐狸接着声称，他们已把一张照片放在弟弟床头。镜头没有拍到放照片这一步，冬冬却不得不把对方的威胁当回事。

狐狸开出一场夺瓶赌局。冬冬要把梁老新家那只更贵的瓷瓶先交给他们。狐狸说，第二天真瓶会装在四只包中的一只，冬冬得赶在交易前把它骗回来。赢了，狐狸声称不再碰弟弟；输了，瓷瓶就归狐狸卖掉。冬冬和队友接下这场局，赵宁则把自己准备的后手藏到了最后。

文中的“网安对照”是把剧里的做局方式放到企业场景中理解；第八集没有发生计算机网络入侵。

图1｜约 06:30，狐狸一方声称弟弟很安全，还说在病床边放了照片；照片本身没有出镜。

医院电话只确认弟弟在，没替狐狸的话作证

冬冬说，七年前父母死于车祸，弟弟也因事故成了植物人。他一直把这件事藏着。狐狸挑中的正是这一处：他们声称把照片放到了弟弟床头。冬冬打电话问 43 号病房，得到的回答是“人在”。电话只确认了病人仍在病房，片中没有拍到狐狸进入病房或放照片。这句话能不能当真，冬冬当时也无从知道。

就算照片确实被放过，它也只能说明有人可能靠近病床；“照他们的规矩夺瓶，弟弟就会安全”仍只是狐狸的承诺。冬冬核对了眼下的情况，却无法核对明天的约定。

夜里双方还起过肢体冲突，不能把整件事都叫作“话术”。社会工程学值得看的，是狐狸怎样拿威胁改写冬冬接下来的行动：先交瓶，再在指定时间内去夺。NIST 在身份核验威胁分析中也把利用欺骗或胁迫让人采取行动列入社会工程攻击。

网安对照｜核实了一件事，别替另一件事背书。 企业收到一张客户数据截图，对方要求“今晚照我说的做，就删掉副本”。安全团队即使查出截图是真的，也只确认了一部分数据可能已外泄，查不出对方是否握有全部数据，更查不出他明天会不会删除。若威胁指向具体人员，先联系当事人和可靠的保护渠道，不要让被威胁的员工独自谈条件。加拿大网络安全中心把威胁与紧迫感也列为社会工程学常用的引导方式。

狐狸把瓶子、时间和胜负规则都定好了

冬冬把第七集里团队从梁老新家取来的瓷瓶，亲手交到狐狸一方的女子手里。当时他们说好第二天把瓶还给梁老；老人没有同意拿它给两伙骗子打赌。

图2｜约 12:15，冬冬把梁老新家的蓝白瓷瓶交给狐狸一方的女子。

到了第二天，狐狸安排四个人乘 34 路公交，各带一只包，在万世家超市下车后朝不同方向走；按狐狸的说法，其中一只包里放着真瓶。冬冬他们必须赶在下午交易前找到并拿回瓶子，还不能动手硬抢。

图3｜约 15:06，狐狸规定四只袋子中只有一只放瓶，要求冬冬等人分头去找。

狐狸拿弟弟作威胁，也握着这场比赛的计时器。冬冬想救人，只好先按对方开的题答卷。队友说要不要给弟弟换一家医院，冬冬答得很苦：全市就那几家，能藏到哪儿去？床头照片的说法已经让他担心，换地址未必换得来安全。

四人一下车，各走各的路。冬冬、安宁追一名白衣男子，小宝、黎伟等盯另外几路；有人一路追到荒郊，仍不知道袋里装的是什么。狐狸让他们分开跑，连确认目标也得按狐狸安排的路线来。

图4｜约 15:21，持包者从 34 路公交旁散开；画面没有揭示哪只包里是真瓶。

网安对照｜报出险情的人，不能顺手指定处置流程。 比如来电者发来一张真实的后台截图，催值班员在半小时内运行他给的“修复工具”，否则就公布数据。风险可能是真的，工具、时限和验收办法却都由来电者制定。值班员要把截图送进自己的事件响应流程，由内部负责人决定隔离什么、查什么、谁有权限操作；先保住人和数据，再谈对方提出的交易。

赵宁一开始没有答应帮冬冬，也没有拦队友。她提醒众人，这是和狐狸第一次正面交锋，对方人多，不能硬碰硬。狐狸那边也判断她不会出手，于是把原定的五组改成四组。对赵宁性格的判断，成了他们自己的盲区。

看似偷到手的瓶，是狐狸故意留下的机会

四路人马散开后，冬冬他们边跟边判断哪个包是真的。安宁去找毛三做一只假瓶。毛三知道狐狸耳目多，怕掺和进去；安宁提起冬冬与他的交情，他才松口。

图5｜约 19:45，安宁提出做一只假瓶。此时只是提议，成品还没出现。

狐狸另有安排。白衣持包者打电话汇报，称冬冬没偷到瓶。甜甜却吩咐他：进楼后十分钟内让冬冬拿到，还不能让人看出是故意给的。一个看似由冬冬自己抓住的空当，已经写在狐狸的安排里。冬冬若只因为“我亲手拿到了”就认定得手，正好踩进对方准备的下一步。

图6｜约 24:50，甜甜在电话里吩咐白衣男子设法让冬冬拿到瓶，别露出故意。

网安对照｜自己找到的线索，也要问是谁放的。 安全团队在聊天群里“偶然发现”一份泄露名单或修复脚本，不能因为是自己搜索到的，就跳过来源核对。攻击者也能把链接、账号或样本留在你一定会经过的地方。用资产台账、原始日志和已确认的发布渠道查它，别让线索本身带着你走到攻击者指定的入口。

狐狸盯住毛三，另一只假瓶上了路

另一边，甜甜把一只蓝白瓷瓶装进黑色背包。画面能看清装包，却不能凭外观辨出真假；小宝和黎伟随后盯住了她这一路。

图7｜约 26:48，红衣甜甜把蓝白瓷瓶放进背包；单凭这一帧看不出真假。

冬冬、安宁拿到白衣男子留下的瓶，刚想离开，就被两个男子拦住，带上楼。楼里的人指责他们偷瓶后又拿假货回来卖，却没说自己怎样认出假货。片中也没有交代这伙人和狐狸是什么关系。场面看起来像赵宁一方输得很彻底：假瓶被抓到，两个人也走不了。

同一段时间，小宝、黎伟拿到新做的另一只假瓶，小宝提醒漆是刚抹的，别碰掉。这句“新漆”说的是他们手里的瓶，不能拿来解释楼里那人凭什么认出冬冬手里的假货。

图8｜约 30:02，小宝、黎伟检查新做的第二只假瓶，提醒漆还没干。

安宁说他们带假货来交易，当然留了后手。楼下聚来一群人，拦人的那伙才让冬冬、安宁离开。

图9｜约 32:31，安宁在楼内说，他们带假货来交易，已经做了准备。

地下通道里，甜甜的去路被一辆自行车挡住。镜头随后拍到背包在通道上下层交接。再看瓶子时，甜甜摸出一手新蓝漆，才知道自己包里的也被换成了假货。

图10｜约 34:17，甜甜摸到瓶身新漆，手上留下蓝色痕迹。

剧集接着回切通道：小宝在上层把另一只黑色背包系上蓝绳，黎伟随后提着黑包沿坡道跑开。镜头给了跨层转移的线索，却没把每一次开包、换瓶都拍出来。

图11｜约 34:48，小宝在通道上层将黑包系到蓝绳上。

图12｜约 35:22，黎伟提着另一只黑包沿坡道跑离。镜头未展示包内物品。

赵宁后来对狐狸说得明白：找毛三，是故意让狐狸的眼线盯上他；她又找别人做了第二只假瓶。狐狸盯住了显眼的那条线，漏看真正动手的一路。

图13｜约 36:30，赵宁向狐狸解释：毛三那条线是烟幕，另有第二只假瓶。

所以，这里至少要分清三只瓶：冬冬从白衣男子那儿拿到、很快被人指认的假瓶；甜甜这一路原本带着的真瓶；赵宁另找人做、最后落进甜甜包里的新假瓶。第一只假瓶由谁做成、怎样送到白衣男子手里，影片没有拍出完整交接；通道里的每一步调包手法，也留给了剪辑。

网安对照｜拦下一次明显攻击，还要看另一条路。 这回把“容易查到的假瓶”摆在明处的是赵宁；企业面对的攻击者也会用同样的注意力差。钓鱼邮件被拦了，值班员若马上宣布结束，可能漏掉同一天发给财务的电话、共享文档和账号变更请求。处置记录要按目标、时间和请求动作串起来看，抓到一条只是找到入口。

冬冬回来了，家属的威胁仍该单独处理

这场交锋后，狐狸承认赵宁有后手，也放话说今后日子不会好过。镜头没有证明狐狸此后会守约、弟弟就能一直安全。冬冬回到住处，试探着问赵宁还开不开除他。赵宁回了句“少了你，谁还帮我偷东西开锁”，众人举杯，庆祝他归队。

图14｜约 39:40，冬冬和队友在餐桌上碰杯；弟弟此后是否安全，影片没有交代。

冬冬先前确实越过规矩，也确实被人拿弟弟威胁。他把弟弟的病情藏了五年。队友先听到狐狸拿弟弟要挟他，安宁后来才听到整段家事；赵宁此前只看见他急着卖瓶。狐狸选中的，是他最不愿开口求助的时候。

网安对照｜让被胁迫的同事敢开口，再把操作接过来。 如果有人收到“导出客户名单，否则伤害家人”的威胁，安全负责人先确认人的安全、保存威胁证据，再暂时收住名单导出权限，让替班同事接手业务。数据有没有被导出，查日志和审批记录；别让受胁迫者独自与对方谈条件。NIST 的安全素养要求也把社会工程学和内部威胁迹象的沟通纳入组织渠道。

冬冬知道是狐狸，还是把瓶交了出去

冬冬知道狐狸不是好人，还是把梁老的瓶交了出去。他打过医院电话，确认弟弟当时还在病房；至于床边有没有那张照片、赢了之后狐狸会不会收手，电话里都问不出来。可他怕弟弟出事，没法等。狐狸就抓住这点，让他先拿别人托付的瓶子下注，再去追那四只包。赵宁后来追回了真瓶，梁老从头到尾没答应过这场赌局。

公司里碰到的社工也可能这么直白：攻击者拿出一段真的客户资料，说“不照我说的做就公开”，再让值班员把完整名单发去“核对”。员工未必信任他，只是怕事情闹大，想先把眼前的火压住。资料是真的，就先查资料从哪儿漏的；名单该不该导、权限该不该开，仍由公司自己决定。受威胁的员工要能马上求助，也要有人接手处理，不能一个人被逼着拿公司资产谈条件。赵宁这次还能把瓷瓶换回来；客户数据一旦被复制，就没有第二只假瓶能把它换回来。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：MessFreeSecurity messfree messfree《《毛骗》第八集：狐狸说病床边有张照片，冬冬接下夺瓶赌局｜网络安全里的社会工程学》