# 普通人安全手册
## 从罪案中学习观察、核验、防护与恢复
**第一版｜2026 年 11 月 3 日**
资料起点：本地 Hacker News 归档与「罪案迷宫」；关键事实另向案件机构、监管报告、研究论文和当事人原始复盘核对。
> 安全的目标，是让人保有出门、交往、工作和尝试新事物的自由。
## 写在前面
你在二手平台卖掉一件东西，对方发来付款截图。门口的人穿着工作服，说楼下漏水，必须马上进来。视频会议里的几个人都认识你，其中一位要求改换收款账户。
这三个场景是为本书设置的日常例子，并非三起已核实的案件。它们提出同一个问题：**眼前的东西，究竟证明了什么？**
截图证明了到账吗？制服证明了身份吗？身份又证明了这次请求得到授权吗？
许多防护建议要求人“提高警惕”。这句话太重，也太空。没有人能在疲惫、匆忙、分心和受惊时，始终保持最佳判断。本书想把警惕拆成可以做的小事：换一个渠道查证，暂缓一次不可撤回的操作，给重要资料留一条恢复路径，在危险出现时保留离开的余地。
研究犯罪，也能带来创造性的启发。恶魔岛的假头告诉我们，人会依赖容易观察的信号；微缩犯罪现场说明，缩小和模拟可以帮助练习观察；一次网络入侵则能提醒我们，把日常生活里的“备用钥匙”放在真正独立的地方。
但迁移必须经过两次筛选：先弄清事实，再检查用途。罪犯借此逃避检查，我们可以借此改进检查、制作经过同意的训练道具、测试自己的工作方法。具体手段是否巧妙，与其目的是否正当，是两个判断。
### 这本书怎样使用证据
本书在每章中区分三层内容：
- **案例与证据**：来源实际支持的事实。机构报告、当事人自述、法院裁决有不同地位，会分别说明。
- **从中看见的机制**：作者的解释。一个案例能揭示某种失败方式，通常不能证明它有多常见，也不能单独证明因果。
- **日常应用与练习**：依据机制和公开防护指南提出的建议。除非另有注明，没有经过效果实验，也没有“照做就不会受害”的保证。
HN 用来发现值得追索的材料和讨论，不用讨论热度证明案情。本文还纳入同一份全量归档中、尚未进入网站精选目录的案例，以及本轮补查的官方资料。附录逐一交代来处。
罪案选目偏向那些能教会人思考的案例，并非一份犯罪发生率排行榜。罕见的大劫案，不意味着你每天面对同样的风险。优先级应回到自己的生活：哪些东西重要，哪些情境经常遇到，哪些改动成本低而有帮助。
**受害的责任在实施侵害的人。** 复盘某个环节能够改进，不等于受害者本来就应该识破一切。理解这一点，也会影响我们在别人求助时能否提供真正有用的帮助。
如正在遭遇暴力威胁，先到较安全的位置并联系当地紧急服务，不必先读完本书。中国大陆通常使用 110 报警、120 医疗急救、119 消防；这些号码不能直接套用于其他地区。[号码依据见 S30](https://bjca.miit.gov.cn/zwgk/tzgg/art/2022/art_8d4eb93ee3424f30826c97ee400e8937.html)
## 目录
**第一部 看清眼前的证据**
1. [检查究竟确认了什么：恶魔岛的假头](#ch01)
2. [身份与授权分开核实：加德纳博物馆盗案](#ch02)
3. [多个头像，可能只有一个来源：预录视频会议骗局](#ch03)
4. [把核验权拿回来：麦道夫与没有完成的第三方查询](#ch04)
5. [把承诺写成可验收的结果：Theranos](#ch05)
**第二部 让一次失误少伤一点**
6. [同样是双重验证，防护能力为何不同](#ch06)
7. [找回入口也需要保护：一名记者的数字生活被清空](#ch07)
8. [熟悉的账号，也可能正在被别人使用](#ch08)
9. [一条信息很普通，连起来就不普通](#ch09)
**第三部 把防护放进环境与流程**
10. [警报之后，还有谁会行动：哈顿花园劫案](#ch10)
11. [仓库里有桶，桶里未必有货：枫糖浆大盗案](#ch11)
12. [面对现场危险，给自己留一条退路](#ch12)
**第四部 做出有根据的判断**
13. [先写看见了什么：微缩现场的观察课](#ch13)
14. [让结论停在证据到达的地方](#ch14)
15. [事情已经发生，怎样减少下一轮损失](#ch15)
16. [把犯罪中的巧思转成守法生活的方法](#ch16)
**附录**
- [一页日常安全卡](#daily-card)
- [七天实践安排](#seven-days)
- [六道情景题及分析](#exercises)
- [可直接复制的记录模板](#templates)
- [案例来处、证据边界与延伸阅读](#sources)
---
# 第一部 看清眼前的证据
## 第一章 检查究竟确认了什么：恶魔岛的假头
### 案例与证据
1962 年，Frank Morris 与 John、Clarence Anglin 兄弟从恶魔岛监狱的牢房逃出。他们在床上放置装有真人头发的假头，制造仍在睡觉的样子。FBI 的案件介绍使用了石膏、肤色颜料等表述；官方实物说明对材料的写法并不完全一致。因此，可靠的核心事实是“假头参与了夜间掩饰”，不宜把几份说明拼成一份确定配方。逃出牢房有证据，最终是否生还则不能由此断定。[FBI 案件档案，S01](https://www.fbi.gov/history/cases-and-criminals/alcatraz-escape)
### 从中看见的机制
警卫需要知道的是“这个人是否仍在牢房里”，视线得到的却可能只是“床上有一个像头的形状”。真实状态和观察信号之间，出现了缝隙。
许多日常工作也依赖替代信号：文件存在，代替文件可以打开；邮件发出，代替对方已经收到；设备亮灯，代替设备真的完成工作。这些信号通常有用，却各有证明范围。风险出现在我们忘了这个范围。
从此案不能推出“所有例行检查都无效”。更实际的问题是：**这次检查所看的东西，能否直接反映我真正关心的结果？**
### 日常应用
**检查备份时，恢复一个文件。** 看见文件夹图标，只能确认目录里有东西。随机选一份重要文稿，恢复到另一个位置并打开；检查版本和内容。这一步把“有备份”的推测变成了一次有限的验证。
**交接工作时，验证接手能力。** 你把课件和清单发给同事后，可以请对方在自己的设备上打开，并说明下一步由谁做。这样确认的是交接能否继续运行，而不只是消息是否已发送。
**确认门锁时，检查锁闭状态。** 不把“听见一声”当作全部证据。在不影响消防逃生、也不把自己锁在门外的前提下，按门锁的正常使用说明确认门已关妥。
这些都是作者提出的迁移练习。它们的共同点是：用一次贴近目标的小测试，补足间接信号的不足。
### 这份巧思还能怎样用于创作
假头最值得迁移的另一点，是“用替身完成一次低风险测试”。摄影前可以用经过同意的人台试光；搬家具前可以用纸板模拟占地；活动开始前可以用空白卡片模拟物品交接。参与者知道这是模型，模型用于发现问题。
如果用假人、假签名或伪造状态，让别人误以为某人已经到场、已经同意或已经完成职责，就改变了用途，也破坏了他人的判断基础。
**练习：** 写下今天你准备确认的一件事。把“我看见了什么”和“我因此认定了什么”分成两栏，再找一个成本很低的直接测试。
---
## 第二章 身份与授权分开核实：加德纳博物馆盗案
### 案例与证据
1990 年 3 月，两名装扮成警察的人进入波士顿的伊莎贝拉·斯图尔特·加德纳博物馆，控制警卫，盗走十三件艺术品。博物馆保存的案件资料说明了假警察身份如何进入这场盗窃。[博物馆案件专题，S02](https://www.gardnermuseum.org/about/theft)
制服是一种容易识别的身份提示。在本案中，它被用来取得接近与进入的机会。完整案件还有其他条件，不能把所有责任压缩成某个警卫“看错了衣服”。
### 从中看见的机制
身份核验有三道不同的问题：
1. 这个机构存在吗？
2. 这个人确实属于该机构吗？
3. 这个人此时有权要求我做这件事吗？
查到真实公司，只回答第一题。看见工作证，最多提供第二题的一条线索。即使来者真是公司员工，也未必有权索取验证码、带走设备或要求绕过既有付款程序。
### 日常应用
面对临时上门的维修人员，可以把门保持在安全关闭的状态，先通过既有工单、官方应用或自己查到的服务电话确认姓名、工作内容与预约。不要只拨工作证上印的号码：如果证件有问题，号码也可能来自同一方。英国警方的防入室盗窃指南明确建议独立联系公司核实，并在核实时关好门。[Police.uk，S03](https://www.police.uk/cp/crime-prevention/protect-home-crime/keep-burglars-out-property/)
你可以用一句不需要争辩的话：
> “我按预约记录确认一下，请稍等。”
如果需要进入某个工作区域，再确认权限范围。例如：打印机维修不等于可以复制电脑资料；核对某份订单不等于可以查看整个通讯录。
对于执法、医疗等现场情形，程序会受当地规则和紧急程度影响。存在即时危险时，优先寻求当地紧急服务指引，不把本章变成与现场人员对峙的脚本。
### 守法的迁移
如果你负责课程、活动或小型工作室，可以让来访程序对双方都清楚：提前告知姓名、目的、时间、联络入口；入内后只开放必要区域；变更安排时重新确认。
这使核验成为一项预先约定的程序，减少临场靠面子、资历和语气决定权限的压力。
**练习：** 为一个经常使用的上门服务保存独立的官方联系方式。下次有人声称来自该机构时，你不必从对方提供的材料开始寻找答案。
---
## 第三章 多个头像，可能只有一个来源：预录视频会议骗局
### 案例与证据
香港特区政府在 2024 年 6 月的立法会书面答复中介绍：当年 1 月底接报的一宗案件，涉及假冒英国总部财务主管的邮件与视频会议。报案人随后授权向五个本地账户转款，损失约港币两亿元。警方当时判断，会议由公开影像和声音加工而成，属于预录内容，并没有真正的现场交互；付款指示随后通过即时通信继续传达。[香港特区政府答复，S04](https://www.info.gov.hk/gia/general/202406/26/P2024062600192.htm)
这里核对的是该份历史答复，不把当时的调查进度写成今天的案件状态，也不把预录内容夸大成已经证实的实时互动深伪。
### 从中看见的机制
我们容易把“屏幕上有很多人在场”理解为“有很多人作证”。如果画面由同一方控制，人数没有增加证据的独立性。
类似问题也发生在普通网页里：五篇文章都转引同一条新闻，不能当作五次独立调查；三个账号都让你联系同一个客服，也未必构成三个来源。
### 日常应用
遇到改变收款账户、临时付款、传送敏感资料的请求，离开眼前的会话，回到原有联系人或正式流程确认。确认时说出具体请求，而不只问“刚才是你吗”：
> “有人要求把这笔款改付到另一个账户。请通过原先约定的流程确认收款方、用途与金额。”
如果熟悉的人突然用声音或视频求助，熟悉感可以促使你关心，却不必立刻完成付款。FTC 的公开提示建议使用你已经知道的号码另行联系本人或相关知情人。[FTC 声音克隆警示，S05](https://consumer.ftc.gov/consumer-alerts/2023/03/scammers-use-ai-enhance-their-family-emergency-schemes)
另行核实也有条件：如果原账号已经失陷，继续在同一账号里追问，独立性仍然不足；如果真实存在紧急危险，核验应与求助并行，不能耽误紧急处置。
### 守法的迁移
做研究、采购或选课时，为材料画一张简单的来源图：谁最早提供说法，谁做了独立观察，谁只是转述。
一张来源图常比一长串链接更有帮助。它让你知道，下一步需要增加的是一个新网页，还是一种真正不同的证据。
**练习：** 找一则你最近相信的新闻，查看三篇相关报道。标明哪些是独立采访，哪些引用同一份声明。这个练习用于理解证据结构，不用于证明新闻一定真假。
---
## 第四章 把核验权拿回来：麦道夫与没有完成的第三方查询
### 案例与证据
美国证券交易委员会监察长 2009 年的调查摘要记录了多次核查缺口，其中包括：检查人员取得声称来自第三方的材料，却没有直接向该第三方完成核实；后来的调查已经拿到账户信息，也没有完成必要的独立交易核对。[SEC 监察长报告摘要，第 4、20—21 页，S06](https://www.sec.gov/files/news/studies/2009/oig-509-exec-summary.pdf)
这份材料的价值，在于它具体指出了查询如何中断。本章据此讨论核验渠道，不提供投资选择建议。
### 从中看见的机制
一份文件可以印着银行、仓库或会计师的名称，但文件仍可能由被核查的一方挑选、转发甚至制作。**材料写着谁的名字，与材料经过谁的手，是两回事。**
这是“证据看起来很多，却都由同一方控制”的另一种形式。
### 日常应用
二手交易中，不依据买家发来的付款截图交货；从自己的银行或平台入口查实际状态。预订住宿时，必要的核实应通过你独立找到的正规渠道进行；不要把对方提供的新电话自动视为酒店的电话。
对于较重要的服务，可以事先写明：交付什么、怎样确认、什么时候付款、出现分歧向哪里核实。这是在安排一条可检查的交易路径，不是在要求每个普通人独立审计一家企业。
如果你找不到合适的独立证据，结论应当是“目前无法核实”。它足以支持暂停某次交易，却不足以支持公开指认对方犯罪。
### 守法的迁移
同样的方法可以用于自己的工作汇报。你向客户提供可打开的交付物、原始订单号、可以重复的测试，比提供一张“已经完成”的漂亮截图更有用。
核验渠道清楚，既保护接收方，也保护认真做事的人：对方不必只相信你的诚意，你也不必反复辩解。
**练习：** 选择一项尚未完成的交易，把“对方提供的信息”和“我能独立取得的信息”分别列出。只做与你承担的风险相称的核查。
---
## 第五章 把承诺写成可验收的结果：Theranos
### 案例与证据
SEC 在 2018 年对 Theranos 的公告中提出指控：其自有设备的实际检测能力，远小于对外宣称的范围，许多检测借助其他厂商设备完成。该公告同时交代了和解方式，不能直接当作刑事裁决。[SEC 公告，S07](https://www.sec.gov/newsroom/press-releases/2018-41)
美国司法部案件页记载，2022 年陪审团认定 Elizabeth Holmes 四项投资者诈骗相关罪名成立，也判患者相关的四项罪名不成立。本书只陈述这项历史裁决的范围，不据此补写未被证实的事实。[DOJ 案件页，S08](https://www.justice.gov/usao-ndca/us-v-elizabeth-holmes-et-al)
### 从中看见的机制
关于一个产品，至少有四种不同的话：
- 我们希望它将来能做什么。
- 它在特定演示条件下做过什么。
- 它现在稳定地能做什么。
- 它能否解决你的具体问题。
从第一句走到第四句，需要逐步提供证据。名人支持、媒体关注和精彩叙事，不能替这些步骤作答。
### 日常应用
购买课程、软件或服务之前，把模糊形容词改成可以观察的条件。
“让表达更有力量”可以进一步问：有几次练习，是否逐篇反馈，反馈由谁提供？“自动整理全部资料”可以进一步问：支持哪些格式，遇到扫描件怎么办，导出后是否还能继续使用？
以下是一个**虚构的采购练习**：你准备购买资料整理服务。先提供不含秘密的五份样本，约定分类、引用与导出标准，再检查结果。如果样本失败，先处理失败原因；不要因为演示者很有感染力，就让规模直接扩大。
小样本试验也有限度。五份材料成功，不代表五万份材料都成功。因此，验收范围和未测试部分都应写清。
### 守法的迁移
当你是提供服务的人，也可以这样做：把“现在已有的能力”“需要客户配合的条件”“尚在研发的部分”分别说明。让对方看到边界，是一种可持续的信用。
**练习：** 从一则你感兴趣的广告中摘出一句承诺，改写为一项有输入、输出、限制和验收方法的小测试。
---
# 第二部 让一次失误少伤一点
## 第六章 同样是双重验证，防护能力为何不同
### 两份可以对读的复盘
Cloudflare 在 2022 年的企业复盘中称：一场仿冒登录短信攻击中，有员工输入了凭据，但公司使用的 FIDO2 安全密钥阻止了后续登录；公司当时未发现系统被攻破。[Cloudflare 原始复盘，S09](https://blog.cloudflare.com/2022-07-sms-phishing-attacks/)
同年，Dropbox 披露另一场钓鱼事件：攻击者复制了 130 个代码库。员工使用的硬件设备能够产生一次性验证码，这一安排仍未挡住该次钓鱼；公司称，权限更严格的核心应用和基础设施代码未包括在受影响代码库中。[Dropbox 原始复盘，S10](https://dropbox.tech/security/a-recent-phishing-campaign-targeting-dropbox)
两份都是企业自己的事件说明，影响范围有赖其当时的调查。它们并非在相同条件下进行的对照实验。
### 从中看见的机制
“需要第二步”还不够，还要问第二步确认了什么。
可以输入的一次性码，仍可能被人交到错误页面。抗钓鱼认证则会把验证与正确的网站身份联系起来。**硬件产生一个码，与硬件参与核对登录对象，不是同一机制。**
这也说明，防护可以分两层看：第一层阻止失陷，第二层限制失陷之后能接触多少东西。即使第一层没有完全成功，权限划分仍可能减少暴露范围。不能因为防护有局限，就把它归为“全无作用”。
### 日常应用
给重要邮箱和常用支付相关账户设置独立密码，并查看服务支持哪些验证方式。在可用、适合且恢复途径已经安排妥当时，优先考虑平台明确支持的抗钓鱼认证。不要为了追求一种方式，反而让自己只剩一个会遗失的登录凭据。
如果服务只支持普通验证码，也应把它当作一层保护使用。关键是不要在意外来电、聊天或不明页面里交出验证码，也不要批准自己没有发起的登录请求。
异常提示出现时，自己打开原有官方应用或已知网站处理。FTC 的防钓鱼指南同样强调通过独立取得的联系方式与机构确认。[FTC 防钓鱼指南，S11](https://consumer.ftc.gov/articles/how-recognize-avoid-phishing-scams)
### 守法的迁移：允许人报告失误
如果你管理一个小团队，可以约定一句话：“点错了先说，先处理问题。”
这是一项组织建议，不是对所有人的心理预测。它的目的很具体：让从误点到处置之间少一道“我要不要先掩盖”的障碍。复盘时讨论入口、权限、恢复方式和工作安排，而不是只寻找一个应该更警觉的人。
**练习：** 查清一个重要账户使用的验证方式和官方恢复方式。先记下来，再决定是否需要调整；不要在尚未准备备用途径时一次性移除现有登录方法。
---
## 第七章 找回入口也需要保护：一名记者的数字生活被清空
### 案例与证据
2012 年，记者 Mat Honan 在亲历复盘中描述，多个账户接连失陷，设备资料被远程擦除。他把账户找回流程和服务之间的关联列为关键环节。[当事人首篇复盘，S12](https://www.wired.com/2012/08/apple-amazon-mat-honan-hacking/)
后来的恢复记录还谈到检查邮箱转发规则、撤销第三方授权等工作。这是当事人调查与自述，不能当成今天仍然存在的漏洞清单，也不能把他的恢复速度当作普通人的预期。[当事人恢复复盘，S13](https://www.wired.com/2012/08/mat-honan-data-recovery/)
### 从中看见的机制
一把钥匙可能开很多门：邮箱能重置其他账户，主账户能管理设备，设备又保存验证码和恢复资料。
便利来自关联，损失也可能沿关联扩散。因此，安全检查不能只问“我的密码强不强”，还要问：
> 如果手机不在、主要邮箱登不进去，我还能靠什么恢复？
“同步”与“备份”也应分开理解。同步的目的通常是让各处状态保持一致；如果错误删除或账户问题也被同步，手上未必还剩一份独立可用的旧副本。
### 日常应用
画出自己的恢复关系：主要邮箱依靠什么找回，手机丢失后怎样处理，重要照片和文稿还有哪份副本。画图只写关系和保存位置提示，**不要把密码、完整恢复码或身份证件号码集中写进这张图。**
重要资料保留一份不长期连接日常设备的副本，并实际打开抽查。FBI/CISA 的联合防勒索指南也提出离线备份与恢复测试；本书把这一原则简化为个人可以承担的小规模做法，不照搬机构的全部要求。[FBI/CISA 联合指南，S35](https://www.ic3.gov/CSA/2023/230920.pdf)
服务提供备用码时，按其说明保管。Google 的帮助文档允许打印备用码，并说明一次性使用等限制；其他服务的规则要另查，不能直接套用。[Google 备用验证码说明，S14](https://support.google.com/accounts/answer/1187538?hl=zh-Hans)
### 守法的迁移
对写作者来说，“恢复能力”可以是另一处存放的文稿；对讲师来说，可以是脱离网络仍能使用的讲义；对出差者来说，可以是不会与手机一起消失的必要联络信息。
不必给一切都准备昂贵的第二套。先选真正无法承受丢失的少数东西。备份本身也含有隐私，应妥善保管，避免为恢复资料又制造一个公开入口。
**练习：** 不退出任何重要账户，也不破坏现有设置。仅在纸上假设手机暂时不可用，走一遍官方恢复说明，记下哪一步缺少准备。
---
## 第八章 熟悉的账号，也可能正在被别人使用
### 案例与证据
纽约州金融服务局对 2020 年 Twitter 事件的调查报告认为，攻击者冒充内部技术支持，诱骗员工并取得内部工具权限。部分知名账号随后被用于发布比特币诈骗消息。报告记录的入侵与发帖范围不同，不能把“遭访问”全部写成“被公开发帖”。[纽约州金融服务局调查报告，S15](https://www.dfs.ny.gov/reports-and-publications/other-reports/Twitter_Report)
### 从中看见的机制
一个账号有多年历史，头像也熟悉，这些信息能支持“它过去是谁的账号”，却不足以单独保证“现在这条消息仍由本人发出”。
同样，一个人说得出单位名称和你的岗位，只说明他掌握了这些信息，不自动取得技术支持权限。
### 日常应用
熟人账号突然要求转款、提供验证码或安装软件时，回到以前已经核实的联系方式。不要由可疑消息为你指定“另一个更方便的核实人”。
小团队可以把协作权限拆开：看稿、编辑、发布、付款、修改账户设置，分别由谁负责？临时合作结束后，哪些权限要收回？如果平台允许分角色，就尽量避免共享一个拥有全部权限的账号。
这些安排不等于怀疑合作者。它们使每个人的职责更清楚，也使某个账号出问题时，不必连带失去整个项目。
### 一个虚构的工作室练习
一位外部剪辑师需要下载三段素材。负责人可以给指定文件的访问权，设置适当期限；不必因此把整个云盘的管理权和付款资料一起交出。
练习的重点在于检查“完成这项工作，实际需要什么”。如果权限划分太细，已经妨碍正常工作，就重新设计；一味增加麻烦并不等于更安全。
**练习：** 查看一项仍在进行的共享协作。确认对方确实需要的范围，并检查已经结束的合作是否还保留不必要的权限。变更前告知受影响的人，避免误伤工作。
---
## 第九章 一条信息很普通，连起来就不普通
### 案例与证据
Citizen Lab 在 2018 年介绍了对运动追踪数据的研究：公开的轨迹与聚合数据可能显露敏感地点和个人活动模式。这是信息暴露研究，不能写成已经证明由此发生了某宗盗窃或袭击。[Citizen Lab 研究介绍，S16](https://citizenlab.ca/fit-leaking-citizen-lab-research-fitness-tracker-privacy/)
Strava 的当前帮助说明还提示，隐藏地图起终点并不等于把整个活动设为私密；有关设置也不会自动随活动传递给其他服务。[Strava 地图可见性说明，S17](https://support.strava.com/en-us/articles/15402012-how-do-i-edit-my-map-visibility-on-strava)
### 从中看见的机制
一次跑步记录像一段日记。多次记录叠在一起，就可能呈现规律：常从哪里出发，何时离开，常去哪里。
信息的敏感程度也取决于组合。照片中的门牌、收件标签、实时位置和连续的时间记录，分别看都可能不起眼，合在一起却能提供你原本没有打算公开的内容。
### 日常应用
发布前分别决定三件事：**给谁看、什么时候看、看到多精确。**
记录可以保留原始版本，对公众发布时再减少精确地址、完整行程和不必要的个人信息。离开地点以后再公开，能够减少实时暴露；但如果每天重复同一轨迹，仅仅延迟几个小时仍可能暴露长期规律。本书没有一个可以通用于所有情境的“安全延迟时长”。
检查自动同步也很重要。一个平台上隐藏了地图，不代表同步出去的照片、轨迹和历史副本全部跟着改变。
### 守法的迁移
做纪录片、写游记或发课堂照片时，可以把“作品需要的信息”和“能够识别无关人员的信息”分开。人物是否同意公开，画面里是否出现住址、证件、孩子的日常路径，都可以在发布前统一检查。
这样做仍然能保留生活细节。你可以写街上的声音、路上的感受和一个地点的历史，而不必公开某个人每天几点从哪个门出来。
**练习：** 用普通访客能够看到的范围检查自己最近十条公开内容。只记录发现，不尝试追踪别人的住处或活动。选一处不影响表达的细节作调整。
---
# 第三部 把防护放进环境与流程
## 第十章 警报之后，还有谁会行动：哈顿花园劫案
### 案例与证据
英国法院对哈顿花园劫案的量刑说明记载，2015 年遇窃的保管库安装了连接监控公司的警报，夜间没有现场值守人员。现场的录像设备被移走，邻近商家的独立摄像系统却留下了有用影像。[英国法院量刑说明，第 3—4、8、11 段，S19](https://www.judiciary.uk/wp-content/uploads/2016/03/r-v-collinsothers.pdf)
这些事实可以支持对设备、记录和响应流程的讨论。本章不采用此次未直接核读警方原始发布材料的“为什么未出警”叙述，也不把某个单一环节认定为案件发生的全部原因。
### 从中看见的机制
保护往往需要一条完整路径：
**发现异常 → 发出通知 → 有人收到 → 有人判断 → 采取合适行动。**
安装设备，只完成其中一部分。提示已经发送，不等于有人看见；有人看见，也不等于知道自己应做什么。
记录还有另一个问题：如果证据与被保护的东西总放在同一个位置，一次事件可能同时毁掉两者。邻近系统留下影像，至少说明来源不同的记录能够补足某一处记录的缺失。
### 日常应用
对已有的门铃、警报或账户提醒，先问简单的问题：通知发到哪里？那只手机平常是否开着声音？如果主要联系人不在，谁接手？通知出现后，是联系服务商、物业还是当地紧急服务？
不必先买更多设备。可以先把现有流程写清楚，再与相关人员、服务商协调，以测试模式走一次。不要擅自触发真实紧急警报，更不要把公共救援系统当测试工具。
如果回家发现门窗被破坏，怀疑里面仍有人，不为检查财物或摄像设备而进入。先到安全处联系警方。维多利亚州警方的居民指南也给出这种避险原则；其中的当地电话号码不在本书照搬。[居民安全指南，S33](https://www.police.vic.gov.au/sites/default/files/2019-01/Residential-Information-Kit-2017-%28PRINT-VERSION%29_0.pdf)
### 守法的迁移
一项交付、一次预约、一次接送，都可以做同样的检查：通知有没有抵达，是否有人确认，未确认时怎么办？
这是把“发出了信息”推进到“事情得到了处理”。在工作中，它也能减少反复催问和相互推诿。
**练习：** 为一项现有提醒写三行：谁接收；收到后做什么；无人回应时联系谁。若需要变更他人的职责，先取得同意。
---
## 第十一章 仓库里有桶，桶里未必有货：枫糖浆大盗案
### 案例与证据
加拿大最高法院 2022 年的官方案件摘要记载：2012 年 7 月的一次库存盘点发现，仓库内一些桶装的是水，而非枫糖浆。摘要还说明了相关被告的定罪情况。本轮读到的是法院面向公众的案件摘要，不把它称为已经通读判决理由全文。[加拿大最高法院官方摘要，S20](https://scc-csc.ca/judgments-jugements/cb/2022/39162/)
### 从中看见的机制
“容器在”“标签对”“数量够”，分别回答不同的问题。它们不能单独回答内容、质量和可用性。
这个道理与恶魔岛的假头相通，却落在另一种日常场景：验收物品与盘点资源。大多数时候，我们确实必须依赖包装、单据和记录；关键是在风险较高的地方，补上适当的实物检查。
### 日常应用
收到较贵的设备，在商家和平台允许的验收环节核对型号、序列号、外观与正常功能。只做正常使用范围内的检查，不擅拆不应拆封的食品、药品或安全部件。
对于工作室、器材柜或收藏，可以把“账面存在”和“实物可用”分列。抽查要记下范围：今天检查了哪几件，哪几件尚未检查。三件设备正常，不能在记录里写成“三十件全部正常”。
重要物品也可以建立简短的识别记录：照片、型号、序列号、购买凭证的保存位置、特别标记。这些信息应私下保管。FBI 的艺术犯罪资料建议物主保留照片、描述等记录，供失窃后识别和调查使用；本书把这个原则迁移到个人器材，并不承诺记录一定能追回物品。[FBI 艺术犯罪资料，S34](https://www.fbi.gov/investigate/transnational-organized-crime/art-crime)
### 守法的迁移
准备上课、拍摄或外出前，清单可以从“带了没有”再走一步：电池有没有电，文件能否打开，连接线是否适配。
清单不必越来越长。把过去真正发生过的问题留下，把不影响结果的装饰性检查删去。
**练习：** 选三件重要物品，做一次“存在、状态、凭证”核对。把记录留在私有位置，不在公开清单中暴露完整序列号和家庭存放位置。
---
## 第十二章 面对现场危险，给自己留一条退路
### 这一章用指南和情景练习，不编造受害者故事
英国警方的街头抢劫防范指南强调，面对暴力威胁，不应为财物冒人身危险。Hampshire 的个人安全指南还提出，出行前安排返程、保持必要联络；怀疑被尾随时，可进入有人活动的公共场所求助。[Police.uk，S21](https://www.police.uk/cp/crime-prevention/personal-safety-how-to-stay-safe/mugging-street-robbery/)；[Hampshire 指南，S22](https://www.hampshire-pcc.gov.uk/get-involved/crime-prevention/out-and-about/personal-safety)
这些是一般防护建议，不是针对每一种现场的保证。危险的方向、距离、现场障碍、身体条件都可能改变可行选择。
### 从前面案例迁移过来的问题
骗局和劫案经常涉及控制空间、时间或联系渠道。普通人的防护重点，可以放在保持几个选项：能够离开，能够联系外界，能够向具体的人求助，能够暂缓不明请求。
你无须先证明某人有犯罪意图，才可以调整自己的位置。与此同时，一次巧合或一种外貌，也不足以公开指认某人有罪。**个人采取低成本避险，和对别人作出指控，所需要的证据不同。**
### 三个虚构情景
**情景一：散场后，返程安排突然落空。**
与其在陌生、偏僻处临时跟随一个不明安排，可以留在有工作人员、能够正常求助的地方，重新确认交通。事先保存返程方案、必要联络和少量应急交通预算，可以减少临场被迫作决定的压力。这是规划练习，不是说某类交通方式天然危险。
**情景二：有人反复靠近，让你感到不安。**
如果可以安全移动，向有工作人员和其他人的地方靠近，清楚说明需要的帮助，例如“请让我在这里等候，我担心有人跟着我”。存在即时危险时联系紧急服务。不要为了证明自己猜对了，独自跟踪、挑衅或设局测试对方。
**情景三：有人以暴力威胁索要手机。**
优先考虑人身安全与可以安全离开的机会。不要为了财物主动对峙或追赶，也不要把本书当作格斗指南。脱离危险后，再处理受伤、报警、设备与账户保护。
### 守法的迁移：把退出安排在进入之前
组织夜间课程、聚会或拍摄时，提前说明散场时间、交通条件、谁负责联系场地方、出现问题向谁求助。行动受限的人需要什么安排，也应事前了解并取得本人意见。
对参加者而言，清楚自己可以提前离开、可以拒绝临时改换地点、可以求助，往往比背下一堆危险人物特征更实际。
**练习：** 为一次近期出行回答四题：怎样回来；手机暂不可用怎么办；在哪里能求助；什么变化会让我重新考虑安排。写到足够使用即可，不必把普通出行变成持续搜寻危险。
---
# 第四部 做出有根据的判断
## 第十三章 先写看见了什么：微缩现场的观察课
### 案例与证据
Frances Glessner Lee 制作的 *Nutshell Studies of Unexplained Death* 是一组微缩场景，用于训练调查者观察与理解证据。Smithsonian 的展览介绍说明，场景综合真实案件并经过设计，并非每个房间都原样复制某一宗案件；材料也关注调查中的偏见。[Smithsonian 展览档案，S23](https://americanart.si.edu/exhibitions/nutshells)
这是一份关于藏品及用途的原始说明，并不是“看模型能提高多少判断力”的效果实验。
### 从中看见的机制
一旦先认定一个故事，后面的细节就容易被安排成故事的证明。练习观察，可以从把记录分开开始：
| 类型 | 示例 |
|---|---|
| 我直接看见的 | 包裹右侧有一处裂口，内盒受压 |
| 别人告诉我的 | 送货员说出库时包装完整 |
| 我的推测 | 损坏可能发生在运输过程中 |
| 尚不知道的 | 裂口形成的时间，谁接触过包裹 |
表里的例子是日常争议的写作练习。它不认定任何人有责任。
### 日常应用
遇到商品、维修或服务争议，保留原始订单、完整沟通与必要照片。照片尽量交代整体和细节；修改过的展示图与原文件分开保存。记录时间时，注明你实际知道的时间，不补写无法确认的过程。
有关第三人的隐私材料，只向处理问题确有需要的人提供，遵守当地规则。不要为了收集证据擅闯现场、移动可能的物证，或把未经核实的名字发到网上。
### 守法的迁移
对写作者和纪录片作者，这还是一套很有价值的素材整理法：把亲眼看见、听别人说、自己的理解分别放好。写作时可以有判断，但读者应知道判断站在哪里。
对做产品的人，它可以变成用户观察记录：“三名参与者没有找到导出按钮”是观察；“所有人都讨厌这个设计”则超出了观察范围。
**练习：** 看一张日常照片，先写十条可以直接观察的事实，再写两种不同解释。最后标出哪种解释需要额外证据。只用自己有权使用的照片。
---
## 第十四章 让结论停在证据到达的地方
### 第一组材料：方法是否支持判断
NIST 2023 年对皮肤咬痕分析的科学基础审查认为，几个关键前提缺乏充分支持，包括特征是否具有足够个体区分性、是否可靠地转印到皮肤，以及分析能否准确作出排除或不排除判断。审查范围不能扩大成对全部法医牙科学的否定。[NIST IR 8352，第 4—5 页，S24](https://doi.org/10.6028/NIST.IR.8352)
一项受 NIJ 委托的错案研究还区分了方法、报告、证词和证据处理等不同环节的错误。其回顾性、经过筛选的样本，不能用来直接估算所有法证工作的错误率。[John Morgan 研究报告，S25](https://www.ojp.gov/pdffiles1/nij/grants/306259.pdf)
这里的提醒很具体：专家有多自信，与方法在相应条件下有多可靠，仍然要分别查证。
### 第二组材料：回答了一题，没有自动回答下一题
破解 Zodiac 340 字符密码的团队在论文中解释了他们的工作，并明确指出所得明文没有提供能够确认凶手身份的具体信息。解码成功是一项成果，但没有顺便回答全部侦查问题。[团队论文，第 7.3、8.1 节，S26](https://arxiv.org/html/2403.17350v1)
本书未自行重跑算法，也不据此宣布该案件今天的整体状态。
### 从中看见的机制
证据判断里常有两种跳跃：
- 从“有人这样判断”，跳到“方法已经可靠”。
- 从“这一部分是真的”，跳到“整个故事都是真的”。
它们能出现在鉴定、广告、网络传闻，也能出现在自己的判断中。
### 日常应用
收到关于某人的指控或一件商品的鉴定结论时，可以顺着四个问题往回走：原始材料在哪里？使用什么方法？方法适用于当前条件吗？结论究竟到哪一步？
“相似”“不能排除”“很可能”“已经证实”不应随意替换。某公司确实注册、某人确实任职、某件事确实登过新闻，都不能自动证明一笔新交易安全。
你可以把结论写成：
> “已确认机构存在；尚未确认发信人身份和这次付款授权。”
这句话保留了已经查到的东西，也给下一步核验留下明确任务。
### 守法的迁移
做判断前，写下一项会让你改变看法的证据。如果无论出现什么材料，你都能继续解释为原先判断正确，就该停下来检查自己的推理。
暂停结论也可以有行动：暂不付款、暂不转发、请有资质的人进一步检查。你不必先证明某个东西是骗局，才能决定目前证据不足以支持自己参与。
**练习：** 把最近一次过于肯定的判断改成两句话：已经知道什么；还不知道什么。删去不能由第一句话支持的指认。
---
## 第十五章 事情已经发生，怎样减少下一轮损失
### 先确定现在还在发生什么
钱已经转出，账户仍在被使用，设备仍连着远程控制，或者人仍处在危险现场，这几种情形的优先次序不同。
**人身危险在前。** 到能够安全求助的位置，联系当地紧急服务；受伤时寻求医疗帮助。不要为了完整截图或找回物品继续停留在危险中。
**持续的财务或账户风险紧随其后。** 停止与可疑人员继续操作，使用自己独立确认的银行、支付机构或平台渠道报告情况，询问可用的撤回、冻结、争议处理和账户保护办法。FTC 按不同支付与信息暴露方式列出处理路径，但追回并无保证，各地区规则也不同。[FTC 受骗后处置指南，S28](https://consumer.ftc.gov/articles/what-do-if-you-were-scammed)
本书不设一个保证追回资金的“黄金几分钟”。尽快联系是为了争取仍然存在的处理机会，而不是许诺结果。
### 保护账户，要看控制权是否真的回来
如果怀疑设备不可信，尽量从另一台可信设备进入官方渠道。按平台指引更改凭据，终止异常会话、撤销未知授权，并核对恢复邮箱、恢复手机号和双重验证方式是否被改动；邮箱还应纠正异常转发等设置。不要因为密码已改，就自动认定所有访问都结束。Google 的被盗账户指南列出了这些恢复检查；其他平台应使用各自的官方指引。[Google 账户保护指南，S36](https://support.google.com/accounts/answer/6294825)
个人设备如果仍被可疑人员远程控制，或已确认感染，在能够安全操作的情况下先断开该设备的网络，再用可信设备联系支持；断网不等于已经清除了恶意软件。单位设备按应急流程交由负责人员处理。FTC 的技术支持诈骗处置说明同样建议断开受影响计算机与网络的连接。[FTC 网络安全指南，S37](https://www.ftc.gov/business-guidance/small-businesses/cybersecurity)
不要安装声称“帮你追回资金”的陌生软件，也不要贸然重置到所有证据和必要资料一起消失。涉及医疗、监护或其他安全关键设备时，不自行照搬普通电脑的断网处理，先取得负责人员的紧急指引。
### 留下够用的记录
在不延误安全处置的前提下，保存发生时间、联系方式、交易记录、对方要求、你实际做过的操作，以及已经联系过的正规机构和回执。把原始文件留好，对外提供副本；按需要遮去不相关的秘密信息。
填写时允许“不记得”和“尚未确认”。急于让叙述完整，可能使后来的人分不清什么是回忆、什么是推断。
### 留意第二次接近
FTC 提醒，受骗者可能再次被自称能追回损失的人联系，对方要求先付款或交出更多资料。[FTC 退款与追回诈骗说明，S29](https://consumer.ftc.gov/articles/refund-and-recovery-scams)
尤其警惕“主动找上门、保证追回、要求按其指定方式预付”的组合。需要律师或专业服务时，自己核实身份、资格、服务范围和收费条件；不能因此把所有正规预付服务一概认定为诈骗。
### 如果是别人来向你求助
先帮助对方完成眼前的处置：是否仍有危险，是否还在转款，是否已经联系真实机构。避免立即盘问“你怎么会信”。训斥不能撤回交易，却可能使下一项重要信息更难说出口。
事后再一起复盘：哪条信息影响了判断，哪一步缺少独立核验，哪个流程可以调整。复盘的成果应是一项能执行的改动，而不是给受害者贴一个永久标签。
**练习：** 预先写一张不含密码的联系卡：当地紧急服务、主要银行官方入口、重要平台恢复入口、可信技术帮助。妥善保存，并定期确认仍然适用。
---
## 第十六章 把犯罪中的巧思转成守法生活的方法
到这里，可以直接回答开篇的问题：恶魔岛那些出人意料的方法，能否用于正常生活？
可以，但不能从“它曾经奏效”直接跳到“我也应该这样骗过别人”。先拆出原理，再替换目标、对象与检验方式。
### 一、迁移原理，重新设计用途
| 案例中的现象 | 可以提炼的原理 | 守法的日常用途 | 必须保留的边界 |
|---|---|---|---|
| 假头制造仍在床上的印象 | 观察者依赖有限信号；模型只需复现测试相关条件 | 用人台试光；用纸板试家具尺寸；用恢复文件检验备份 | 模拟对象和参与者知情，不伪造到场、同意或履职 |
| 假警察进入博物馆 | 身份外观容易代替授权核验 | 预约确认、访客范围、工作交接 | 不冒用执法或机构身份测试无关人员 |
| 预录会议制造多人认可 | 多个表象可能受同一来源控制 | 为报道、采购和研究画来源图 | 不把转述数量当独立证据数量 |
| 麦道夫材料未获独立核对 | 核验渠道不能完全由被核验者控制 | 自查实际到账、独立确认订单与交付 | 无法核实可以暂停，不等于可以指认犯罪 |
| 不同双重验证出现不同结果 | 名称相同，机制可能不同 | 看清保护在验证什么；测试恢复途径 | 不把单一工具当作全部保护 |
| 账户接连失陷 | 便利的连接也会传递损失 | 给关键资料保留独立副本；按任务分权限 | 备份本身要保密，权限调整要避免误伤协作 |
| 邻近录像留下证据 | 独立记录能够补足局部失效 | 重要交接留确认；关键文稿留第二处副本 | 不借此扩大对无关人员的监控 |
| 桶内被换成水 | 包装、数量与内容是不同命题 | 适度实物验收；带上器材前试用 | 不拆不应拆封的物品，不用危险品做实验 |
| 微缩现场用于训练 | 把复杂场景变成可重复观察的模型 | 桌面演练、流程卡、排练和观察笔记 | 明确模拟条件，承认真实场景仍有差异 |
| 密文被解开而身份未确定 | 每一步证据只支持有限命题 | 研究和决策逐项写明已知与未知 | 不用局部成功为完整故事背书 |
这一表格是作者的综合分析与设计建议。各案例只能为“这种机制值得考虑”提供线索，不能直接证明表中练习的效果。
### 二、一个可以实际完成的小项目
**项目：给一次课程活动做桌面演练。** 这是本书设计的守法应用示例。
你需要一张场地简图、几张代表角色的卡片、实际联络安排和一份问题记录。参加者事先知道是演练，场地方同意；不触发真实警报，不阻塞通道，不制造惊吓。
先确定要检验什么：临时换教室后，大家能否收到准确信息？一位参加者没有手机时，是否仍能取得帮助？负责开门的人临时不到，活动怎样调整？
然后按时间顺序移动角色卡。每遇到一次交接，就说清楚谁通知、谁确认、没有回应时怎么办。若方案依赖某项现实能力，例如无障碍通道、门锁或工作人员值守，演练结束后再向有权确认的人核实。
最后只留下三类记录：已经验证的；需要现场确认的；目前办不到、必须调整计划的。
这个项目结合了假头案例中的模拟思想、微缩现场中的观察方法，以及警报案例中的响应链。它无需模仿犯罪动作，却能把日常安排里原本隐形的假设暴露出来。
### 三、判断一个点子值不值得采用
可以连续问四题：
1. 我在保护或改善什么，受益者是谁？
2. 谁可能受影响，是否知情并有权同意？
3. 如果测试出错，会不会造成真实伤害、误会或不可撤回的损失？
4. 我怎样知道它有效，哪些条件其实没有测到？
如果一个点子必须依赖别人误信你的身份、凭证、同意或责任已经履行，最好重新设计。把欺骗改成明示的模拟，把绕过规则改成寻找规则中的缺口并修补，把隐藏错误改成让错误更早出现。
### 四、把聪明放在事前
犯罪故事里最醒目的往往是临场应变。对于普通人的生活，许多有用的聪明更安静：提前保存一个真实号码，少给一项不必要的权限，打开一次备份，给重要交接添一个确认步骤。
这些做法不需要你全天保持戒备。它们让正常的疲惫、忙乱和失误，有机会被程序接住。
你不必成为一个业余侦探。学会知道自己已经确认了什么、还缺什么、何时应该停下来，就已经能够改善许多日常决定。
---
# 附录一 一页日常安全卡
这张卡是全书的行动摘要。紧急情况按现场条件与当地专业指引处理。
| 遇到什么 | 先做什么 | 这一步在保护什么 |
|---|---|---|
| 意外要求付款、验证码、安装软件或改账户 | 暂停操作，从此前确认的入口联系真实机构或本人 | 保留决定权，切开可疑消息控制的渠道 |
| 上门人员自称有权限 | 保持安全距离，通过既有预约和独立联系方式核对 | 把身份与本次权限分别确认 |
| 收到付款截图、认证截图或完整包装 | 查自己的真实账户状态，做范围合适的实物或功能检查 | 避免把外观当成全部结果 |
| 同一件事有很多转述 | 找到最初来源，再找不同来源的实际观察 | 检查证据是否真正独立 |
| 重要资料只有云端同步 | 留一份受保护的独立副本，并测试恢复 | 减少一次失误波及全部资料 |
| 临时合作需要访问资料 | 只给完成任务所需权限，结束时确认撤回 | 限制失误和失陷的影响范围 |
| 准备公开行程、照片或轨迹 | 检查受众、发布时间、精度与跨平台同步 | 减少无意公开的行踪信息 |
| 怀疑现场有危险 | 在可安全做到时离开，向明确的人或机构求助 | 保留人身安全与选择余地 |
| 已经付款给疑似骗子 | 尽快经真实渠道联系支付机构和当地警方，保存必要记录 | 争取处理机会，减少后续损失 |
| 有人主动保证追回损失 | 独立核实，不因急于挽回而继续提供钱、权限或秘密 | 防止第二次侵害 |
日常最值得记住的五个问题：
1. 我真正需要确认的是什么？
2. 这条证据由谁控制？
3. 如果我判断错了，损失会扩散到哪里？
4. 我还能怎样退出或恢复？
5. 现在的结论，有没有超过证据？
---
# 附录二 七天实践安排
这是自愿的整理顺序，不是风险评分，也不要求七天内完成所有账户变更。每次只改少量内容，先确认恢复办法，避免一次调整造成新的失联或锁定。
| 天数 | 做一件事 | 留下的结果 |
|---|---|---|
| 第一天 | 选出最不能承受丢失的三项资料或物品 | 一份简短优先清单，不含秘密 |
| 第二天 | 核对银行、常用平台、上门服务的独立入口 | 私下保存的官方联系方式 |
| 第三天 | 检查主要邮箱的验证与恢复方式 | 已确认可行的恢复关系说明 |
| 第四天 | 为一份重要资料制作独立副本，恢复打开一次 | 实际可用的副本与检查日期 |
| 第五天 | 为一次常见出行或活动写返程、求助与临时变更方案 | 一张够用的安排卡 |
| 第六天 | 检查公开内容和已结束的协作权限 | 调整一项不必要的暴露或授权 |
| 第七天 | 和知情、同意的参与者做一次桌面情景练习 | 一个发现的问题和一项改进 |
一周以后，只保留你愿意持续做、且能说明用途的步骤。安全程序如果完全不适合自己的生活，就很难被稳定执行；可以简化，但要知道简化后留下了什么空缺。
---
# 附录三 六道情景题及分析
以下全部为本书设计的虚构情景，不冒充真实案情。题目用于检查思路，不用于考核谁“容易受骗”。
## 题一：真公司、真头像、新账户
你长期合作的一家公司通过熟悉账号发来消息：“原账户暂不能用，这次请付到附件里的新账户。”附件印着真公司的名称。
**可以怎样处理？**
先暂停改付，经此前确认的渠道核对这次变更，并使用原先约定的正式流程。真实名称、真实账号历史和新附件，并不能分别证明当前发信人和付款授权。
**判断重点：** 独立核验的对象是“这次变更”，不只核验公司是否存在。参见第二、三、四、八章。
## 题二：监控里一切正常
工作室负责人说，手机能看见摄像画面，所以安全已经安排好了。有人问：“如果半夜出现异常，谁会知道？”现场没有答案。
**可以怎样处理？**
先明确设备能做什么，是否具备相应提醒功能；再与相关人员约定接收、确认和处置。必要的测试要获得服务商与相关人员同意。
**判断重点：** 可观看、可通知、有人响应是不同能力。不要虚构设备本来没有的功能，也不必因此立刻购买整套新设备。参见第十章。
## 题三：备份标志是绿色的
电脑显示同步完成，但你不知道误删后能否恢复，也没有在别处打开过备份。
**可以怎样处理？**
查看服务对版本、删除和恢复的说明，用不影响原件的方式恢复一份测试文件。必要时增加受保护的独立副本。
**判断重点：** 绿色标志证明某项任务报告完成，恢复测试才回答部分可用性问题。参见第一、七章。
## 题四：一百个人都转发了
社交平台上，一张模糊截图被用来指认某人犯罪。你看见多个大账号转发，配文几乎一样。
**可以怎样处理？**
先找原始材料，区分独立调查与重复传播。没有可靠依据时，不继续传播身份指认；如果涉及实际威胁，向适当机构反映已知信息，而不是自行组织追查。
**判断重点：** 转发规模与事实可靠性没有可以直接换算的关系。参见第三、十三、十四章。
## 题五：钱被骗走后，有人主动来帮忙
你公开讲述被骗经历后，陌生人私信称掌握“内部渠道”，保证全额追回，要求先交费用并安装远程协助软件。
**可以怎样处理？**
不继续交出控制权或费用。转向自己核实的支付机构、当地警方或专业服务；保留相关联系记录。
**判断重点：** 对方知道你的遭遇，不能证明他具有真实能力或正当身份。越想迅速挽回，越要保留独立核实。参见第十五章。
## 题六：用假人测试同事是否认真
你读到恶魔岛故事，想偷偷放一个假人，观察值班同事会不会误判，然后公开批评他。
**可以怎样重新设计？**
改为经负责人员批准、参与者知情的模拟练习。说明要测试的流程，不把个人羞辱当作成果；不制造惊吓，不影响真实值守。可以用角色卡先找出确认标准，再讨论实际环境中的限制。
**判断重点：** 创造性迁移应改善可检查的流程，而不是把犯罪中的欺骗重新施加给别人。参见第一、十六章。
---
# 附录四 可直接复制的记录模板
## 模板 A：核验一项重要请求
```text
收到请求的时间：
对方希望我做什么：
这件事是否可以撤回：
我已经直接确认的事实：
只由对方提供的材料：
独立核实入口：
具体需要核对的事项：
核验结果与日期：
尚未解决的问题：
下一步：执行 / 暂停 / 求助 / 放弃
```
“放弃”只是你的参与决定，不是对他人的犯罪认定。
## 模板 B：资料恢复检查
```text
资料名称或类别：
原件位置的简短提示：
独立副本位置的简短提示：
最近一次备份日期：
最近一次恢复测试日期：
恢复后是否成功打开、版本是否正确：
仍依赖同一设备或账户的环节：
需要调整的地方：
```
不在这张表里填写密码、完整恢复码、密钥或证件号码。保存位置提示也应控制访问范围。
## 模板 C：事件记录
```text
记录人及记录时间：
事件发生时间（不确定时注明）：
地点或平台：
我直接看见、听见或实际做过什么：
他人陈述（注明由谁告知）：
我的推测（与事实分开）：
仍在持续的风险：
涉及的交易或工单编号：
原始材料保存位置：
已经联系的正规机构、时间、回执：
下一步由谁处理：
```
对外提供材料前，检查是否包含无关人员隐私。紧急避险和必要处置优先，不为填写完整而耽误求助。
## 模板 D：一次合法的小演练
```text
目标：具体想检查什么？
范围：哪些设备、场所和流程在许可之内？
参与者：谁知情，谁有权批准？
场景：使用什么明确标注的模拟材料？
停止条件：什么情况出现时立即结束？
观察：实际发生了什么？
局限：哪些现实条件没有被模拟？
改进：只选一项具体改动。
复查：怎样知道改动起作用？
```
不使用真实秘密、危险物品或无关人员做试验，也不触发未经协调的真实紧急响应。
---
# 附录五 案例来处、证据边界与延伸阅读
## A. 从归档到本书
写作先使用「罪案迷宫」现有目录，再补查同源完整 HN 归档与原始资料。以下 HN 入口用于追溯讨论，不能替代本书所列的一手证据。
| 主题 | 与本地资料库的关系 | 可追溯的入口 |
|---|---|---|
| 恶魔岛 | 网站原有策展补充；本轮未在网站精选 HN 索引检出 | FBI 案件页 S01 |
| 加德纳博物馆 | 已在网站 HN 选目 | [HN 39744595](https://news.ycombinator.com/item?id=39744595)；案情另向博物馆 S02 核实 |
| 香港预录视频会议诈骗 | 本轮官方资料补充 | 香港政府答复 S04；不冒用其他深伪骗局的 HN 投稿 |
| 麦道夫 | 网站策展纪录片为研究起点 | 本章事实改用 SEC 监察长原始材料 S06 |
| Theranos | 已在网站 HN 选目 | [HN 16585892](https://news.ycombinator.com/item?id=16585892)；原帖指向 SEC 公告 |
| Cloudflare 2022 | 同源全量 HN 归档补查，未预先收进网站精选 | [HN 32410075](https://news.ycombinator.com/item?id=32410075) |
| Dropbox 2022 | 同源全量 HN 归档补查 | [HN 33420717](https://news.ycombinator.com/item?id=33420717) |
| Mat Honan 2012 | 同源全量 HN 归档补查 | [首篇 HN 4347985](https://news.ycombinator.com/item?id=4347985)；[恢复复盘 HN 4398744](https://news.ycombinator.com/item?id=4398744) |
| Twitter 2020 | 同源全量 HN 归档补查 | [HN 24834896](https://news.ycombinator.com/item?id=24834896) |
| Strava 数据暴露 | 同源全量 HN 归档补查；属隐私研究，不冒称犯罪后果已发生 | [HN 16249955](https://news.ycombinator.com/item?id=16249955)；本书使用研究机构原文与官方设置说明 |
| 哈顿花园 | 已在网站 HN 选目 | [HN 11298811](https://news.ycombinator.com/item?id=11298811)；本书另读法院量刑说明 |
| 枫糖浆盗案 | 已在网站 HN 选目 | [HN 10367590](https://news.ycombinator.com/item?id=10367590)；本书另读加拿大最高法院摘要 |
| Nutshell 微缩场景 | 网站策展补充；属教学模型，不是单一案件的完整重建 | Smithsonian 展览档案 S23 |
| 咬痕与错案研究 | 网站策展材料及本轮研究报告补查 | NIST S24、研究报告 S25 |
| Zodiac 340 | 网站 HN 选目与策展来源重合 | [HN 39916282](https://news.ycombinator.com/item?id=39916282)；团队论文 S26 |
| 防护与事后处置指南 | 网站原有安全选目及本轮官方补充 | 以下 FTC、警方、平台帮助与政府来源 |
## B. 原始来源与核验范围
核验日统一为 **2026-11-03**。这里的“已读”指读到相关正文或报告章节，不表示独立重审案件，也不表示每份报告都逐页通读。
| 编号 | 来源 | 本书使用范围与限制 |
|---|---|---|
| S01 | [FBI：Alcatraz Escape](https://www.fbi.gov/history/cases-and-criminals/alcatraz-escape) | 已读案件介绍；假头、离开牢房及结局的不确定性。材料用语另见 S31、S32。 |
| S02 | [Isabella Stewart Gardner Museum：The Theft](https://www.gardnermuseum.org/about/theft) | 已读博物馆案件说明；假警察进入与十三件作品失窃。 |
| S03 | [Police.uk：Keep burglars out of your property](https://www.police.uk/cp/crime-prevention/protect-home-crime/keep-burglars-out-property/) | 已读上门冒充与独立核验建议；英国号码和法律安排不照搬。 |
| S04 | [香港特区政府：LCQ9: Combating frauds involving deepfake，2024-06-26](https://www.info.gov.hk/gia/general/202406/26/P2024062600192.htm) | 已读回复；采用 2024 年 1 月案件的预录会议、无真实交互、五个账户及约港币两亿元等事实，不推断当前进度。 |
| S05 | [FTC：Scammers use AI to enhance their family emergency schemes，2023-03](https://consumer.ftc.gov/consumer-alerts/2023/03/scammers-use-ai-enhance-their-family-emergency-schemes) | 已读正文；声音不单独证明身份，使用已知号码另行联系。 |
| S06 | [SEC OIG：Investigation of Failure of the SEC to Uncover Bernard Madoff’s Ponzi Scheme，2009，执行摘要](https://www.sec.gov/files/news/studies/2009/oig-509-exec-summary.pdf) | 核对摘要第 4、20—21 页的第三方取证与交易核验缺口；未通读全部调查卷宗。 |
| S07 | [SEC：Theranos, CEO Holmes, and Former President Balwani Charged With Massive Fraud，2018-03-14](https://www.sec.gov/newsroom/press-releases/2018-41) | 已读指控及和解公告；不把指控混同刑事裁决。 |
| S08 | [DOJ：U.S. v. Elizabeth Holmes, et al.](https://www.justice.gov/usao-ndca/us-v-elizabeth-holmes-et-al) | 核对 2022 年陪审团裁决范围；不声称复核完整证物。 |
| S09 | [Cloudflare：The mechanics of a sophisticated phishing scam and how we stopped it，2022-08-09](https://blog.cloudflare.com/2022-07-sms-phishing-attacks/) | 已读企业原始复盘；保留企业调查、自述与商业立场的限制。 |
| S10 | [Dropbox：How we handled a recent phishing incident that targeted Dropbox，2022-11-01](https://dropbox.tech/security/a-recent-phishing-campaign-targeting-dropbox) | 已读企业原始披露；一次性码、代码库访问与权限范围，不保证未披露影响为零。 |
| S11 | [FTC：How To Recognize and Avoid Phishing Scams](https://consumer.ftc.gov/articles/how-recognize-avoid-phishing-scams) | 已读正文；从独立入口联系机构等一般防护原则。 |
| S12 | [Mat Honan：How Apple and Amazon Security Flaws Led to My Epic Hacking，2012-08-06](https://www.wired.com/2012/08/apple-amazon-mat-honan-hacking/) | 已读当事人复盘；不是完整公开鉴定报告，不当作当前漏洞教程。 |
| S13 | [Mat Honan：How I Resurrected My Digital Life After an Epic Hacking，2012-08-17](https://www.wired.com/2012/08/mat-honan-data-recovery/) | 已读恢复经过；不承诺普通人具有同样恢复条件或速度。 |
| S14 | [Google 帮助：使用备用验证码登录](https://support.google.com/accounts/answer/1187538?hl=zh-Hans) | 已读官方说明；仅用于说明一种平台的恢复安排，其他平台另核。 |
| S15 | [New York DFS：Twitter Investigation Report，2020-10](https://www.dfs.ny.gov/reports-and-publications/other-reports/Twitter_Report) | 核对第 5—8、16—17 页的冒充技术支持与内部工具问题；监管报告不是所有相关人的终审判决。 |
| S16 | [Citizen Lab：Fit Leaking，2018-01-29](https://citizenlab.ca/fit-leaking-citizen-lab-research-fitness-tracker-privacy/) | 已读研究机构介绍；信息暴露不能扩写成已证实的后续袭击。 |
| S17 | [Strava：How Do I Edit My Map Visibility on Strava?](https://support.strava.com/en-us/articles/15402012-how-do-i-edit-my-map-visibility-on-strava) | 已读当前帮助页；区分地图可见性、活动受众和跨服务同步。界面与规则以后可能变化。 |
| S18 | [美国国防部：Use of Geolocation-Capable Devices, Applications, and Services，2018-08-03](https://media.defense.gov/2018/Aug/06/2001951064/-1/-1/1/GEOLOCATION-DEVICES-APPLICATIONS-SERVICES.PDF) | 补充核对位置、规律和人员信息暴露；未把军事管理要求当作普通人的法律义务。 |
| S19 | [英国法院：R v Collins and others，2016](https://www.judiciary.uk/wp-content/uploads/2016/03/r-v-collinsothers.pdf) | 核对第 3—4、8、11 段；不摘录进入或破坏步骤，不采用未直接读到的警方未出警原声明。 |
| S20 | [加拿大最高法院：R. v. Vallières，2022，Case in Brief](https://scc-csc.ca/judgments-jugements/cb/2022/39162/) | 已读官方公众摘要；判决全文本轮返回 403，未声称通读。 |
| S21 | [Police.uk：Protect yourself from street robbery](https://www.police.uk/cp/crime-prevention/personal-safety-how-to-stay-safe/mugging-street-robbery/) | 已读街头防护建议，使用人身安全优先的原则，不写成保证。 |
| S22 | [Hampshire Police and Crime Commissioner：Personal Safety](https://www.hampshire-pcc.gov.uk/get-involved/crime-prevention/out-and-about/personal-safety) | 已读出行、返程、公共场所求助等建议；具体情形仍需现场判断。 |
| S23 | [Smithsonian：Murder Is Her Hobby: Frances Glessner Lee and The Nutshell Studies of Unexplained Death](https://americanart.si.edu/exhibitions/nutshells) | 已读展览说明；综合案例与教学模型，不是训练效果实验。 |
| S24 | [NIST IR 8352：Bitemark Analysis: A NIST Scientific Foundation Review，2023](https://doi.org/10.6028/NIST.IR.8352) | 核对第 4—5 页结论及主要针对皮肤咬痕的范围。 |
| S25 | [John Morgan：Forensic Testimony Archaeology: Analysis of Exoneration Cases and its Implications for Forensic Science Testimony and Communications，最终报告，2023-02-20](https://www.ojp.gov/pdffiles1/nij/grants/306259.pdf) | 核对第 15—18、72—74 页的样本、限制与咬痕讨论；受 NIJ 委托，不等同 DOJ 政策。 |
| S26 | [Oranchak、Blake、Van Eycke：The Solution of the Zodiac Killer’s 340-Character Cipher，2024 论文版本](https://arxiv.org/html/2403.17350v1) | 核对解码叙述与第 7.3、8.1 节身份讨论；未重跑算法。 |
| S27 | [FTC：How To Avoid a Scam](https://consumer.ftc.gov/articles/how-avoid-scam) | 已读冒充、制造问题或奖赏、催促、限定付款方式等警讯；用于一般核验与暂停原则。 |
| S28 | [FTC：What To Do if You Were Scammed](https://consumer.ftc.gov/articles/what-do-if-you-were-scammed) | 已读支付与信息暴露处置；美国征信、身份盗用和举报制度不直接移植。 |
| S29 | [FTC：Refund and Recovery Scams](https://consumer.ftc.gov/articles/refund-and-recovery-scams) | 已读主动接近、预付、承诺追回等风险；不据此否定所有正规收费服务。 |
| S30 | [北京市通信管理局：常用紧急救助及公益服务号码说明，2022-08-29](https://bjca.miit.gov.cn/zwgk/tzgg/art/2022/art_8d4eb93ee3424f30826c97ee400e8937.html) | 本轮从官方搜索索引核对完整号码表；直接打开超时。仅列大陆 110、119、120 等用途，不称已全文打开。 |
| S31 | [NPS：Alcatraz Collections](https://www.nps.gov/alca/learn/historyculture/collections.htm?fullweb=1) | 已读馆藏总览，假头材料写法与 FBI 案件介绍不同；未冒称读到已重定向的旧单件藏品页。 |
| S32 | [FBI：Dummy Head 实物图注](https://www.fbi.gov/image-repository/dummy-head.jpeg/view) | 已读图注，其中材料写作 cement；与案件介绍的 plaster 一并保留差异，不合成制作配方。 |
| S33 | [Victoria Police：Residential Information Kit](https://www.police.vic.gov.au/sites/default/files/2019-01/Residential-Information-Kit-2017-%28PRINT-VERSION%29_0.pdf) | 已读住宅被侵入时的安全建议；只用不贸然进入原则，当地号码不照搬。 |
| S34 | [FBI：Art Crime](https://www.fbi.gov/investigate/transnational-organized-crime/art-crime) | 馆藏原始机构资料；本轮再核对照片、描述及物品记录用途。个人器材记录是本书的类比建议。 |
| S35 | [FBI/CISA：#StopRansomware: Snatch Ransomware，2023-09-20](https://www.ic3.gov/CSA/2023/230920.pdf) | 核对第 14 页离线备份和恢复测试；不照搬全部机构技术措施与频率。 |
| S36 | [Google：Secure a hacked or compromised Google Account](https://support.google.com/accounts/answer/6294825) | 已读账户恢复、设备、恢复联系方式、双重验证和异常转发等检查项目；不把某一平台界面当作所有平台的步骤。 |
| S37 | [FTC：Cybersecurity for Small Business](https://www.ftc.gov/business-guidance/small-businesses/cybersecurity) | 已读技术支持诈骗处置部分；受影响计算机断网与取得可信帮助，其他设备按条件处理。 |
## C. 对本书尤其重要的几个未确定之处
1. 恶魔岛假头存在且参与掩饰，不等于三名逃离者已经证实生还；官方材料名称也存在差异。
2. 企业事件复盘提供第一手调查说明，但不等于独立审计，也不能保证后续没有新发现。
3. Strava 一节讲信息暴露，不添加未经证实的盗窃、跟踪或袭击后果。
4. Theranos 的指控、和解和不同罪名裁决分开写；产品失败本身不能自动推出诈骗。
5. 错案研究的样本不能直接变成所有鉴定工作的错误率；一个案例也不能证明一种建议的通用效果。
6. 所有虚构情景、练习和“守法迁移”均已标明性质。它们是供读者思考和小规模试用的方法，不伪装成真实成功案例。
## D. 继续阅读的顺序
如果只想核对核心论证，可以依次读：
1. **FBI 恶魔岛档案 S01**：练习区分已经发生的事与仍未知的结果。
2. **SEC 监察长摘要 S06**：看核验怎样在机构流程里中断。
3. **Cloudflare 与 Dropbox 两份复盘 S09、S10**：比较名称相近的防护为何有不同机制。
4. **Smithsonian 微缩场景说明 S23**：把“先观察、再解释”变成练习。
5. **NIST 报告 S24 与 Zodiac 论文 S26**：检查方法与结论各自的边界。
无需先读完全部材料才开始做一件小事。选择最贴近自己生活的一章，完成一次核验或整理，再根据实际遇到的问题继续读。
---
**版本说明**
本书保留案例来源、核验范围及不确定之处。在线版可在 [hn-crime-investigation.zhongwen.ai](https://hn-crime-investigation.zhongwen.ai/handbook/) 按章节阅读，也可下载完整 Markdown，继续批注和整理。