攻击者真的会翻好几年前的推文吗？

会。旧推文长期可被搜索引擎和归档检索，而且包含大量“只有熟人知道”的细节，正好是社会工程最想要的素材。

哪些旧推文信息最危险？

雇主与同事、出差度假时间、宠物和子女名字、生日、常去地点。这些能用来伪造熟络话术或直接降低撞库难度。

密码仍可能被盗，但攻击者拿不到第二步验证码，通常进不去重要账号。两步验证是性价比最高的兜底。

先做数字足迹体检，把含雇主、住址、生日的推文集中标出，再分批处理；同时排掉 SIM 换卡隐患。不要指望一次删光。

一通逼真的钓鱼之所以得手，多半是因为攻击者比你同事还了解你，而非技术有多高。素材就来自你自己几年前发的推文。本文拆开这条攻击链。

社会工程的核心是“让受害者相信对方是自己人”。旧推文提供了大量可信细节：你供职的公司、合作的同事、常去的咖啡馆、刚出生的猫的名字。攻击者把这些拼起来，伪造一封“IT 部门”或“老板”的消息，你很难第一时间识破。

攻击者看到你发过“在 A 公司做运营，最近在招人”，于是用伪造的 A 公司邮箱给你发“招聘系统升级，请点链接重设密码”。链接是钓鱼页，登录即被盗。这类手法和我们整理的 X 私信钓鱼骗局高度重合，区别只是素材来自你的历史推文。

第一，给重要账号开启两步验证，钓鱼页拿到密码也进不去。第二，对“熟人”发来的链接先核对发件地址，别只看名字。第三，定期清理含个人信息的旧推文，缩小攻击者的素材库。具体防护可看 X 账号钓鱼防范 2026，万一中招按被盗账号恢复 FAQ 处理。

盲目删容易漏，也不可能删光所有历史。更稳的做法是先做一次数字足迹体检，把含雇主、住址、生日等敏感信息的推文集中标出来，再分批处理。顺手把 SIM 换卡的隐患也排掉，参考 SIM 换卡攻击锁定账号。访问 digital-footprint-health.shop 开始免费体检。

把上面的信息组合起来，攻击者能做出相当逼真的骗局。比如你曾发过“下周去上海出差，求推荐静安寺附近的咖啡”，又发过“我们公司用某协作工具”，攻击者便能以“上海分公司的同事”身份，发来“出差期间账号被锁，请点链接解封”的消息。地点、公司、出差状态全部对得上，你很容易信以为真。

更隐蔽的是“慢热型”。对方先在正常话题下和你互动几天，建立熟悉感，再在某个节点抛出带链接的请求。这种不靠技术的手法，恰恰最难防，因为它利用的是你对“熟人”的信任，而不是系统漏洞。定期清理旧推文里的地点和公司信息，等于提前拆掉了这类素材。