如何防止 macOS 中的社交工程与钓鱼攻击

防范 macOS 社交工程与钓鱼攻击的关键在于识别伪装、控制权限、验证来源并切断人为漏洞链；Gatekeeper 等机制对无文件钓鱼攻击无效，需手动核验网址、警惕主动来电、严管终端权限及加固 Apple ID 双重认证。

防范 macOS 中的社交工程与钓鱼攻击，关键不在系统本身有多“安全”，而在于你如何识别伪装、控制权限、验证来源，并切断人为漏洞链。macOS 虽有 Gatekeeper、XProtect 和隐私控制等机制，但它们对精心设计的钓鱼页面、伪造支持电话或诱导复制粘贴的无文件攻击（如 ClickFix 类）几乎无效——因为这些攻击绕过了文件落地和传统签名校验，直击用户操作习惯。

看清网址和网页行为再动手

钓鱼网站常伪装成 Apple 支持、iCloud 登录页或软件更新提示。不要凭视觉判断是否“像官网”：

• 点击地址栏左侧锁形图标，确认显示“连接是安全的”且证书颁发给 apple.com（不是 apple-support-login.net 或 icloud-verify[.]xyz）
• 留意 URL 是否含异常字符、多余路径（如 apple.com/login?ref=malicious.site）或使用非标准顶级域（.ru、.xyz、.online）
• 遇到弹窗提示“检测到病毒”“账户被锁定”“需立即验证”，直接关闭窗口（用 ⌘+W），不要点“确定”“修复”或“下载工具”
• 手动输入 apple.com 或 icloud.com 访问，而不是点击邮件/消息里的链接

警惕所有“主动找上门”的技术支持

Apple 从不主动致电用户索要密码、验证码、远程控制权限或要求下载任何工具：

• 接到自称 Apple 支持、Mac 服务或“安全中心”的来电，挂断即可；如担心账户异常，自行打开 系统设置 > Apple ID > 密码与安全性 查看设备列表和登录记录
• 收到短信、iMessage 或邮件称“你的 Mac 正在被入侵”“iCloud 存储已满需立即处理”，一律不点链接、不回信息、不提供验证码
• Teams、微信、QQ 等协作工具中突然出现“IT 部门通知”“紧急系统更新包”，先通过内部通讯录或已知渠道核实发件人身份

管住终端和自动化操作权限

ClickFix 类攻击依赖你亲手把恶意命令粘贴进“运行”（Terminal 或 Spotlight）执行。macOS 默认不开放 Terminal 全权限，但用户常会自行授权：

• 禁用自动启用脚本：在 系统设置 > 隐私与安全性 > 完全磁盘访问 中，取消勾选不明来源的应用（尤其是“系统工具”“优化助手”类）
• 终端执行前多一步确认：开启 Terminal 的“提示确认危险命令”选项（偏好设置 > 描述文件 > Shell > 勾选“运行前警告”）
• 不随意允许“辅助功能”权限：某些钓鱼页面会引导你去开启“屏幕录制”或“自动化”权限以“验证身份”，这等于授予对方全程监控和操控能力

加固账户与日常习惯

即使一次误点进入钓鱼页面，强账户防护也能阻断后续危害：

• 为 Apple ID 启用双重认证（非短信验证码，而是受信任设备上的六位码）
• 禁用“通过短信接收验证码”：在 Apple ID 账户页面关闭该选项，仅保留受信任设备推送
• 定期检查登录设备：访问 appleid.apple.com > “设备”列表，移除不认识的设备
• 邮件客户端中关闭远程图片加载（防止追踪器回传“邮件已读”信号），并启用垃圾邮件过滤