这起案例跟一家做国防科技和网络安全业务的承包商企业有关。这家企业承接了多个军工单位和政府部门的涉密信息系统集成和维护项目，员工的涉密等级比较高，很多人在入职的时候都签过保密协议接受过安全审查。他们的一个核心工程师在外出差期间使用了一款比较流行的约会社交App，想打发一下出差在外的无聊时间。这款约会App的核心功能就是基于地理位置推荐附近的人。用户注册以后系统会自动获取用户当前的GPS定位，然后按照距离远近把附近同样在使用这款App的其他用户推荐出来。双方如果互相点了喜欢就可以开始聊天。这位工程师在出差的城市打开了这款App，他的实时位置被系统精确定位了。系统根据他的位置推荐了一些附近的用户。他通过App匹配上了一个看起来条件不错的女性用户，双方在App上聊了几天感觉很好约在了线下见面。见面的时候一切都很正常，对方表现得非常友善迷人，两人一起吃了饭聊了很多，工程师也觉得是一次愉快的约会。但问题在于这次约会从头到尾都不是一场偶然的邂逅。对方的真实身份是受雇于某个跟该承包商的国防项目存在利益关系的外部情报机构的操作人员。他们利用工程师在出差期间使用约会App产生的地理位置信息锁定了他，然后通过App的匹配机制主动跟他建立了联系。在约会过程中对方通过巧妙的谈话技巧从工程师嘴里挖出了一些跟他的工作内容有关的信息，包括他正在参与的项目类型、他出差要去的部队驻地、他跟哪些单位的哪些人有工作联系等等。这些信息被操作人员记录以后传递给了委托方。工程师回到单位以后跟同事闲聊时提到了这次约会经历，引起了单位安全部门的警觉。安全部门介入以后对他进行了详细的背景调查和询问，最终确认了他的确在非主观意愿的情况下泄露了工作信息。虽然他的行为没有主观故意的泄密意图，但客观上造成了保密信息的违规外传。这名工程师因此被调离了涉密岗位并接受了内部纪律处分，而窃取情报的那一方已经拿到了他们想要的信息。

这条典型的蜜罐诱捕链路我们来完整复盘。第一个环节是工程师的行踪被约会App定位捕获。他在出差期间在手机上打开了约会App，App立刻请求获取设备的GPS定位权限。他点了同意以后他的精准位置信息即在App内被记录下来并且用于附近的用户推荐算法。约会App的数据本身在服务商的服务器上存储着，并且可以通过某些渠道被非正常访问或者被人员利用来筛选特定目标。情报机构的人员在这里所做的就是通过某种数据渠道获取了特定区域内的活跃约会App用户列表，然后从中筛选出跟国防承包商项目相关的可疑用户。或者是他们在出差目的地提前知道该工程师的到来，然后安排人员在App上主动寻找和匹配。无论是哪种方式地理位置是这条链条启动的基础。第二个环节是情报操作人员利用App的匹配功能建立了联系。对方使用伪造的社交账号资料伪装成一个在出差所在地生活的普通女性用户。她通过App的附近用户推荐找到了工程师的账号资料，然后通过右滑匹配和主动发起聊天的方式跟工程师建立了线上联系。双方在App上聊了几天以后关系升温，对方提议线下见面。这个建立联系的过程从表面上看跟平台上千千万万真实的社交匹配没有任何区别，工程师完全不会起疑心。第三个环节是线下的见面和信息套取。双方见面吃饭聊天，对方在谈话过程中通过非常自然的引导方式从工程师嘴里套出了一些跟工作相关的细节。比如说假装好奇问你在哪里上班平时做什么工作，工程师可能出于展示自己或者想给对方留下好印象的心态透露了一些他所在单位的信息和手头正在做的事情。在轻松社交的氛围中人的心理防备会明显放松，对方经过专业训练的话术又让人感觉只是在普通聊天而不是被询问。第四个环节是获取的信息被整理和上报。对方的操作人员把约会过程中获取的关于工程师工作背景、出差目的、项目信息、单位关系等零散信息整理成了一份情报报告提交给了委托方。虽然单项信息的保密级别都不算特别高，但几项信息组合在一起就能拼出一个对委托方有实际价值的完整画面。他们知道了这承包商派了什么人、去哪个军事单位出差、在忙什么类型的项目、跟哪些协作单位有关联。第五个环节是组织内部的追责。工程师回到单位后无意中跟同事聊到约会经历引起了警觉。单位安全部门介入调查，工程师在接受询问的时候才意识到自己可能犯了错。事件最终以工程师被调离涉密岗位接受处分告一段落。但这只是内部的处理结果，从情报博弈的角度来说，委托方已经拿到了他们想要的信息，而损失已经实实在在发生了。

这个案例在国防科技和涉密行业中引起了比较严肃的讨论。约会社交App基于位置推荐用户的机制，让用户的位置信息变得对平台上的其他人可见。这个机制本身是App功能设计的一部分不是什么安全问题，但当它被有情报收集意图的对手利用的时候就会变成一个非常有效的目标定位和接触工具。出差在外使用这类App的涉密人员，在不经意间就暴露了自己的实时位置，而且连接触到的对象是谁也无法确认。几点非常严肃的建议给涉密单位和涉密人员。第一，涉密人员在出差和进入涉密场所期间严格遵守单位的手机使用管理规定。在涉密场所和出差执行公务期间禁止开启和使用任何基于位置推荐的社交类App。这个规定不应该只是纸面上的要求而是在执行层面要有严格的管理和监督。第二，涉密人员应该对在社交平台上的身份暴露保持警惕。不要在个人社交账号上公开自己的真实工作单位、职位、出差行程等信息。避免在App上的用户资料中填写跟工作相关的详细信息。第三，涉密人员在出差过程中如果确需使用社交平台应当使用单独的非工作手机和设备，并且不在设备的设置中授权不必要的定位权限。对于约会类App的位置权限应当在使用完毕后立即收回。第四，涉密单位应该将约会App和社交平台的蜜罐攻击风险纳入涉密人员的反间谍培训课程中，通过真实案例分析让涉密人员充分意识到这种社交场景下的情报窃取风险。不要让你的位置信息变成了对手找到你、接近你的引路牌。在这个信息高度互通的数字社交时代，你在约会App上的每一次滑动右滑和消息发送，可能都是你在主动回应一张精心编好的网。