傳奇駭客的轉身

Kevin Mitnick，曾讓無數網管頭痛的「世界第一駭客」，37 歲時在 Gig 研究基金會電子商務安全會議上公開分享防禦心法。1995 年被捕、無保釋關押 4.5 年、2003 年假釋（嚴禁觸碰電腦 7 年）。他直言：「人是最薄弱環節。再好的防火牆、IDS、生物識別、忠誠員工，都擋不住社會工程學攻擊。」

米特尼克的駭客觀與動機

• 技術手段可用於善/惡/惡作劇；他出於知識渴望與挑戰慾望，非犯罪謀利。
• 13 歲玩電話交換機，16 歲盜用電話線路，曾任私家偵探、系統管理員、GTE 培訓講師。
• FBI 欲以他為典型「殺雞儆猴」；他反監視 FBI 行蹤。
• 假釋條件嚴苛：禁用電腦、禁離加州、禁講述案情 7 年、僅歸還 4,000 美元（索賠 8 千萬）。

七大防範鐵律（米特尼克親授）

1. 驗證身份再傳輸信息：發送敏感資料前，務必通过電話/當面/多因子方式確認接收方真實身份。
2. 拒絕弱密碼：不使用字典單詞、個資、鍵盤走勢；採用長亂碼或密碼短語，配合密碼管理器。
3. 密碼不落紙、不貼螢幕、不存明文檔案：物理洩露是最常見內洩途徑。
4. 定期輪換密碼：縮短洩露後的可利用窗口期。
5. 系統隔離用密碼：不同系統/權限層級使用不同密碼，防單點突破全線崩潰。
6. 文件銷毀用碎紙機：防止垃圾桶取證還原敏感文件。
7. 磁碟/軟碟徹底清除：單純刪除/格式化無法抹除數據殘留，需多次覆寫或物理銷毀。

現場反響與現代啟示

• 與會者：聽有前科駭客講話心情複雜，但不得不承認他講得精彩——因為他真幹過。傳統少年駭客不可怕，最可怕是懂內情的惡意內部犯罪者。
• 米特尼克強調：員工安全意識培訓效果優於任何技術設備投入。

現代視角下的社會工程學防禦體系

結語

米特尼克的洞見跨越時代：技術防線再高，人性缺口未堵，防禦即為零。現代企業需建立「技術基線 + 持續教育 + 模擬演練 + 文化內化」四位一體的社會工程學免疫體系。安全意識不是培訓一次的產物，而是日常決策的肌肉記憶。正如米特尼克所言：讓員工養成良好的安全操作技能，比其他任何技術手段的成效都好。