点名册是怎么流出去的：通讯录泄露与定向钓鱼的第一块拼图

回想那些让你印象最深的「太懂我们公司了」的钓鱼：邮件指名道姓，抄送了一个真实存在的同事，落款模仿的是你直属上级的语气。这类攻击最难防的不是技术成分，而是它开局就拿着你的组织地图。地图从哪来？通讯录类材料的外流是最大的一条来源。

一、点名册的四种外流路径

第一种是公开拼装。招聘页面的团队介绍、行业峰会的参会名单、社交平台上同事公开简历里写的「向某某汇报」，把这些碎片按时间和人员变动拼起来，就能重建一份粗略但够用的组织结构。这条路不需要入侵任何东西。

第二种是系统同步的过度授权。邮箱服务的全局通讯录把全员名录同步进每个人的客户端；共享日历默认展示所有人日程标题；协作工具的成员列表带部门标签。任何一个成员账号被拿下，通讯录就整本被导出——这也是邮箱账号本身价值高的原因之一：盗一个号，钓一船人。

第三种是物理与文件残留：打印出来贴在公告栏的组织架构表、被拍照的工牌墙、年会背景板上的团队合影与头衔字幕。影像是通讯录泄露里最不被当回事的通道。

第四种是第三方托管：外部活动报名系统、供应商的联系人表格、外包CRM里导入的名录，这些系统的泄露事件与访问控制水平完全不在你的掌控内。

怎么察觉点名册已经在外面流传？三类信号值得当真：陌生号码开口就叫你全名且知道你部门；钓鱼邮件准确引用只有内部才用的系统名、项目代号或汇报流程；已经离职的前同事收到「恢复你原岗位权限」的邮件。单条出现可能是巧合，两三条同时出现，基本可以确认名录已经外流，应当按下面团队侧的清单整体响应，而不是逐个账号打补丁。

二、点名册到手后，攻击怎么组装

有了一份名录，攻击进入流水线阶段。第一步选目标：按「离资产和审批近」排序——财务、密钥管理员、老板本人的邮箱是第一梯队。第二步写剧本：冒充名录里更高一级的名字给下级发指令（「在开会，马上办」），或者平级同事之间的「换个收款账户」通知，汇报线知识让「谁有权让谁做什么」显得天然合理。第三步选时机：财报、上线、离职潮期间人员流动和混乱都是掩护，日历泄露会进一步把时机精确到小时。整条流水线里，被攻击的人没有收到任何异常——异常只存在于那份看不见的点名册里。

三、个人与团队各自的降险清单

个人侧三条。第一，对外沟通用最小身份：公开场合的职业介绍给到「做什么」而不是「向谁汇报、能动什么钱」；简历与公开主页里的头衔在资产敏感岗位时尤其要收敛。第二，对「来自上级或财务的转账与改账户要求」建立线下双通道确认纪律——电话确认要用你通讯录里存的号码打回去，而不是回拨对方留下的号码；这条纪律之所以有效，正因为它的验证不依赖对方出示任何名录知识。第三，发现自己在哪里被登记过（活动名单、供应商系统）时，评估是否值得要求删除。

团队侧四条。名录最小化：内部通讯录的字段删掉手机号和汇报线，用组织架构工具按需查看而不是全员导出；共享日历默认只公开忙闲不公开标题；协作工具关闭匿名成员浏览，外部访客与正式成员分离；打印的组织架构表和合影发布前做一次「这页内容外流十年后会不会咬我们」的审查。所有攻击链里，通讯录属于成本最低、防御回报最高的一段：把地图模糊掉，后面每级钓鱼话术的可信度都会打折。

风险提示：本文只讨论通讯录暴露面与反社工防御，不涉及任何攻击方法的可操作细节，不构成投资建议。