【故事】

那門術式叫叩心之術。

叩門者叩的是城門。叩心之術，叩的是門後面的人。

不撬鎖、不破牆、不用任何一件器械。它做的事只有一樣——讓門後面的那個人，自己把門打開，而且開得心甘情願，事後想起來還覺得那是自己的主意。

O1 第一次看見它，是在北城的貨門。

那天他去核對一批卷宗，蹲在牆邊的陰影裡等人。一個女人走到門前，穿的是文書官的深灰袍子，手上什麼都沒有，只夾著一個薄薄的封套。

守衛攔了她。

她沒有出示任何東西。她只是往封套上看了一眼，皺起眉，說了一句話。守衛回了一句。她又說了一句，語氣裡有一點為難，好像這件事給她添了很多麻煩，而麻煩是別人造成的。

第四句話之後，守衛替她開了門。

第五句話之後，守衛替她拿著那個封套走進去。

O1 蹲在陰影裡，從頭到尾聽得清清楚楚，可是完全不明白剛剛發生了什麼。那五句話裡沒有一句是命令，沒有一句提到任何一個上級的名字，也沒有一句是假話——後來他反覆想過，那五句話裡真的沒有一句是假的。她只是把幾件真的事，按一個特定的順序講出來。

門就開了。

他那天晚上沒有睡。他在腦子裡把那五句話拆開，重排，拆開，再重排。他發現自己記得每一個字，卻拼不回原來的樣子。

這是他生平第一次，看到一門術式不需要用力。

他那天以為，自己看到的是一門很高階的術式。

多年以後他才明白，他看到的是一門很便宜的術式。而便宜，才是它真正可怕的地方。

要學它，得先進那支隊伍。

這門術式在王國是列管的。

原因不是它難——它一點都不難，這是後來讓他最不舒服的一件事。一座城牆要花半年才敲得開；一個人，有時候五句話就夠。

它被列管，是因為它太容易成功了。而牆敲壞了可以重砌，人不行。

還有一個原因：它唯一的靶場是活人。

所有其他術式都有替代品——你可以在廢城練破口術式，可以在空塔練勘紋，可以對著沒人住的牆練到手爛。叩心之術沒有替代品。 你要練它，就得對一個真的、有名有姓、下班要回家吃飯的人下手。

所以王國定了規矩：使用叩心之術必須持城主手諭，手諭上要載明對象範圍、時間、以及每一個獲准施術者的姓名。沒有手諭而動用它的，不論結果如何，一律以侵門論罪。

也就是說——那份名單，不是分工用的。

那份名單就是資格本身。名字不在上面的人，連合法練習的機會都沒有。

那三年裡，O1 的桌上經常出現不該出現的卷宗。

最常送來的是雷恩。他跟 O1 同一天入的公會，同一批編號，只差一號。

雷恩放下卷宗的方式很固定：不敲門，走過來，往桌角一放，說一句——

「這個你看得懂。」

然後他就走了。他從來不解釋為什麼看不懂，也不道謝，因為兩個人都知道這件事不需要解釋。O1 會把卷宗翻開，看到第三頁的時候大概就知道問題在哪裡；如果是勘紋的部分，他會重做一遍；如果是牆的結構，他會把那面牆的斷面畫出來。

卷宗按原樣送回去。

署名是雷恩。

這種事發生過幾次，O1 沒有數。他當時甚至不覺得有什麼——那些委託本來就掛在雷恩的名下，他只是幫忙，幫忙的人不署名，這是規矩。

他後來才想明白那件事真正的形狀：

同一座大廳裡，有些人拿他當解答，有些人拿他當名冊上的一個空格。

而後面那一種人，才是決定他能不能上手諭的人。

O1 寫了一份申請書。

他至今記得自己寫的理由，因為那個理由現在看起來很蠢：「我想學一門不需要器械的術式。」

他當時真的以為那是他的理由。

他把申請書遞進銓敘司的窗口。派令官沒有翻開，甚至沒有問他為什麼想學。

「你程度還不到。」派令官說，「這種委託不是誰都能接的。你先把手邊的做好。」

他沒有問「不到哪裡」。這是他後來想了很多年的一件事。

那天他走出大廳，走到一半又折回去。他跟書記官說，那份申請書能不能還他。書記官找了一下，從一疊未歸檔的紙裡抽出來，紙角已經捲了。

他把它折成四折，放進外袍內袋。

那張紙後來跟著他搬了三次家。上面沒有任何人的批註，連一個紅圈都沒有——它從來沒有被讀過。

多年以後，O1 才把那一天想清楚。

問題不是派令官嚴格。問題是——

派令官沒有看過他做的任何一件事。

一件都沒有。派令官不下樓，不看卷宗的內頁，不進迷宮，不到現場。他評等的依據是他聽來的話：誰在走廊上提過誰，誰在酒館裡誇過誰，誰的名字最近出現得比較多。

他不用眼睛認識人。他用耳朵。

而名單上總有一個名字是不用討論的——那是他自己帶出來的人。這件事其實也不算什麼陰謀，只是一個很人性的事實：一個只靠聽說認識世界的人，最相信的一定是離他耳朵最近的那個聲音。

所以那份名單在 O1 走到窗口之前，就已經寫好了。

而這裡有一個 O1 花了很多年才看出來的機械原理：

那份名冊會自己證實自己。

派令官認為他程度不到，所以不把他寫進名單；因為不在名單上，他手上就沒有可以拿出來的戰績；因為沒有戰績，派令官下一次更確定他程度不到。

一個閉環。從外面推不動，因為它不靠證據運轉，它靠的是上一次的自己。

那三年裡，銓敘司的窗口前少了很多人。有的人調去別的城邦，有的人不做這一行了。走的時候大多沒說什麼，沒有人吵，也沒有人留。

O1 不是唯一被寫成零的那一個。他只是待得比較久的那一個。

那門術式他終究沒有學成。

他學成的是另一門，一門在王國裡吵得多、也累得多的技藝：去確認一道門，到底敲不敲得開。

而在他學成很久以後的某一天，他忽然想到一件事，想到的時候整個人涼了一下。

當年擋在窗口後面的那個人，一輩子沒有進過任何一座迷宮，沒有驗證過任何一面牆，沒有親眼看過任何一個人做事。

他對這個世界的全部認識，都是別人說給他聽的。

也就是說——

那道窗口後面的門，早就被別人的幾句話打開了。而他到死都不會知道自己被開過。

拒絕 O1 學習叩心之術的那個人，是叩心之術最成功的一件作品。

他當年寫在申請書上的那個理由，其實不是真的。他真正想學的不是「不需要器械的術式」。

他真正想學的是——

怎麼讓一個人，願意為他開門。

【解咒筆記】社交工程演練，難的不是騙人

故事裡那門「叩心之術」，現實裡叫社交工程演練（Social Engineering Assessment）。

先把一件事說清楚，因為它常被搞反：社交工程演練的技術門檻，比滲透測試低得多。

真正難的不是「怎麼做到」，是「怎麼做得不害到人」。它的難度不在技術軸上，在另外三個軸上——授權、分寸、報告。

先放回整張地圖

注意最後一列的三個特徵同時成立：技術門檻低、成功率高、傷害不可逆。

所以它被列管的理由不是「怕你做不到」，是**「怕你做得到」**。

一個真實的觀察：紅隊演練裡最常見的初始入侵手段從來不是 0-day，就是釣魚——因為它最便宜也最有效。一個人要練到能穩定拿下一座 AD 得花上半年；要寄出一封有效的釣魚信，一個週末就夠了。

但子類之間差很多

• 釣魚（Phishing）——可以流水線化。技術成本最低，但幾乎只量到「點擊率」
• 簡訊（Smishing）——常搭配門禁或多因子驗證情境
• 語音（Vishing）——難度高一個等級，要即時應變、要扛住對方的反問
• 實體侵入（Physical / Tailgating）——風險最高，牽涉人身、財物與現場衝突

後兩者確實硬。但要講清楚：它們硬在膽識與臨場反應，不是硬在技術深度。 這是兩種不同的難。

最脆弱的節點，往往是那個只聽轉述的人

這一節是本篇的核心，而且它是從故事裡長出來的。

做社交工程演練的人，一開始都會把靶對準前台、客服、新進人員——因為他們接觸外部訊息最多。但實務上，造成最大損失的攻擊，靶幾乎都指向更上面。

看一下 BEC（Business Email Compromise，商務電子郵件詐騙）為什麼長年是損失金額最高的一類事件：它不需要任何漏洞，它需要的只是組織裡有一個習慣「聽說」而不「查證」的節點，而且那個節點有權力。

• 一封看起來像高層的信 → 財務照辦，因為「這是總經理說的」
• 一通聲稱是 IT 的電話 → 交出驗證碼，因為「IT 說系統要更新」
• 一句走廊上的耳語 → 一個人的評等被決定，因為「大家都說他不行」

最後那一項不會出現在任何弱點報告裡，但它是同一個弱點。攻擊面不是郵件，是「用轉述代替查證」這個習慣。

所以做組織診斷的時候，我真正在找的是這個：

這個組織裡，重要的判斷有沒有繞過第一手資訊？

一個組織如果允許重大決定建立在「我聽某某說」之上，它就已經有一個永久開著的後門——而且這個後門不需要任何技術就能走進去。

所以難的是這些

授權文件（缺一不可）

1. 書面授權書，由有權簽署者簽核——不是口頭同意，不是會議紀錄
2. 隨身授權證明（業界俗稱 get-out-of-jail letter）：實體演練被攔下的那一刻要能立刻出示
3. 緊急聯絡人：客戶端至少兩位、24 小時可聯絡

範圍界定

4. 對象範圍與排除名單（高風險職務、特定部門、請假或有特殊狀況者）
5. 時間窗（避開結算日、稽核期、重大活動）
6. 禁用主題：涉及薪資、裁員、健康、法律訴訟、家人安危的情境一律排除。技術上有效，但傷害遠超過情資價值
7. 升級與中止條件（abort criteria）：出現什麼狀況就立刻停、通報誰

資料處理

8. 蒐集到的憑證如何保存、何時銷毀
9. 報告去識別化原則

報告怎麼寫，決定這件事有沒有價值

社交工程演練的報告不應該指名個人。

一旦報告出現「某部門的 A 君點擊了連結」，這份報告就變成一份考績資料。後果是：這家公司下一次演練會全員警戒、數據失真，而且從此沒有人願意主動回報可疑郵件——因為回報等於承認自己差點中招。

正確的做法：

• 以群體統計呈現：點擊率、憑證輸入率、回報率（這項才是最重要的指標）
• 重點放在流程缺口：為什麼一通電話就能改綁定？為什麼訪客沒有陪同機制？為什麼可疑郵件沒有一鍵回報的管道？
• 修補建議對準流程與訓練，不對準人
• 演練結束後安排說明（debrief），讓被測到的人知道這是演練、知道公司在意的是流程

一句話：演練的目的是修補流程，不是抓人。 抓人的演練，做第二次就沒有效了。

法規面（台灣）

實體與電子情境都要注意：個人資料保護法（蒐集、處理、利用的合法性與最小化）、刑法妨害電腦使用罪章（無故入侵、取得或變更他人電磁紀錄），實體進入還可能觸及侵入建築物、竊盜等構成要件。

唯一的防線就是那份書面授權，而且範圍不能超出授權一步。 這不是免責聲明式的官腔，這是這個行業能不能存在的前提。

最後回到那句話

「你程度還不到。」

這句話我被說過很多次。同一段時間，隔壁組的人會把處理不了的案子放在我桌上，說「這個你看得懂」。

兩件事同時為真，只差在說話的人有沒有看過我做的事。

這不是抱怨。這是一個可以被寫進報告的發現——因為它跟上面那一節是同一個弱點：

一個從來沒有看過你產出的人，寫下的不是評價，是猜測。
而猜測一旦進了名冊，就會開始自我證實。

不在名單上 → 沒有可呈現的戰績 → 更確定他不行。這個閉環不靠證據運轉，它靠上一次的自己。從外面推不動。

而且它會結帳。那段時間離職的不只我一個人——用耳朵評等的組織，最後留下的是離耳朵最近的人，不是最能做事的人。這是一筆看不見但真實的損失，跟任何一筆資安事件損失一樣真實。

所以如果你現在剛好站在名冊的另一邊——手上有名單、有機會、有帶人的權力——那這篇文章想拜託你的不是「對新手寬容」。

是：

在你寫下判斷之前，真的去看一次他做的東西。

只要一次就夠了。

【工會箴言】

拒絕我學習「如何讓人開門」的方式，就是不為我開門。

而他自己的那道門，早就被別人的幾句話打開了——他到死都不會知道。