肩窥

本文约需 2 分钟阅读

肩窥 (Shoulder Surfing) 是指越过他人肩膀偷看屏幕或键盘，从而窃取密码、 PIN 码等机密信息的手法。在咖啡馆、电车、机场等公共场所风险尤其高，它是一种无需高超技术的低技术攻击，但造成的危害十分严重。随着远程办公的普及，2024-2025 年间咖啡馆和共享办公空间的受害报告不断增加。它被归类为社会工程学的一种。

偷看不留痕迹所带来的后果

偷看既不会在设备上留下痕迹，也不会在通信记录中留下痕迹。即便屏幕被拍摄，该设备的操作记录上排列的也只是普通操作，事后回看同样看不出缺少了什么。发现的契机几乎只限于被窃取的信息真正被使用的时刻，而即便到了那一步，也没有留下任何材料可以区分：信息是被人看走的，还是别处泄露的凭据被重复使用，抑或是设备本身已被入侵。由此可以引出两点。第一，这类风险无法用受害发生的件数来管理。件数少并不能作为安全的证据，因为能看到的只是被察觉到的那一部分。管理的对象只能放在实施的一侧，也就是在什么地方输入什么内容，而不是放在结果上。第二，是察觉到可能被看到之后的处置顺序。由于没有可供确认的材料，先把事实弄清再行动的做法会让判断一直悬而未决。在产生怀疑的那一刻就把相关凭据作废并更换，比等待确认更快了结此事。此外，对方所获得的并不只是被输入的那串字符。当时显示在屏幕上的内容同样被看到了，因此应以更换凭据无法挽回全部影响为前提，一并回顾自己是在显示着什么内容的状态下作业的。

肩窥的手法

除了直接偷看之外，还有用智能手机摄像头拍摄、使用望远镜从远处观察、滥用监控摄像头画面等手法。主要目标是 ATM 上的 PIN 输入、智能手机的解锁，以及笔记本电脑上的密码输入。

实际受害情景

存在这样的情况：在咖啡馆工作时登录网上银行，身后座位上的人用智能手机拍摄屏幕，导致 ID 和密码泄露。此外，也有报告称在机场休息室访问公司内部系统时，邻座人员偷看到 VPN 的认证信息，进而导致企业网络遭到非法入侵。在出差地和共享办公空间工作的风险尤其高，需要将其作为远程办公时的安全措施加以应对。

应对方法

使用防窥过滤膜 (防偷看膜) 是最便捷且有效的方法。养成输入密码时确认周围环境的习惯，以及善用生物识别认证也很有效。如果通过密码管理器的自动填充功能使用随机生成的密码，就能将键盘输入降到最低，大幅降低被偷看的风险。请将其与公共场所的安全措施一起付诸实践。