社会工程和网络钓鱼

社会工程学攻击的目标是人，而不是技术。攻击者不必突破防火墙，而是利用信任、恐惧、好奇心或助人心理，诱骗某人交出信息、访问权限或金钱。

这往往是最容易入侵的方式：既然可以说服某人直接交出密码，又何必费力破解密码呢？在安全防护中，人往往是最薄弱的环节。

网络钓鱼是最常见的社会工程学攻击：攻击者发送看似来自受信任来源的欺诈性电子邮件或消息，诱使受害者点击恶意链接、打开受感染的附件，或在虚假网站上输入凭据。

网络钓鱼邮件可能会冒充您的银行或 IT 部门，制造紧迫感，让您来不及思考就采取行动。它会广撒网，一次发送给许多人。

有针对性的变体更加危险。鱼叉式网络钓鱼会利用特定对象的个人信息定制消息，因此更具欺骗性。捕鲸式攻击则针对首席执行官等高价值管理人员。

由于这些消息经过个性化定制和充分调查，比普通网络钓鱼更难识别，而且往往能在大规模攻击活动失败的地方得手。

网络钓鱼并不只通过电子邮件进行。语音钓鱼使用电话，例如由虚假的客服人员套取密码。短信钓鱼则使用包含恶意链接的短信。

攻击者会跨渠道传播，因为人们可能会提防可疑邮件，却很容易接听电话或点击短信链接，尤其是那些看起来很紧急的消息。

借口会编造一个看似可信的情境来套取信息，例如攻击者冒充 IT 支持人员，声称需要验证您的登录信息才能解决问题。冒充是指假装成值得信任的人，无论是当面还是远程进行。

虚构的情境会降低受害者的警惕性，使其按照要求行事，而这些要求在平时本来会引起他们的质疑。

有些社会工程学攻击发生在现实环境中。尾随进入（或搭便车进入）是指不刷卡认证，跟随已获授权的人员通过安全门。肩窥是指观察他人输入密码或 PIN。

翻找垃圾是从丢弃的纸张和设备中获取敏感信息。这些例子提醒我们，安全不仅涉及计算机，也包括对实体环境的警觉。

诱饵会故意放置诱人的东西，例如把标有“Payroll”的 USB 驱动器丢在停车场，希望好奇的人将其插入设备并感染自己的机器。

互惠交换以信息或访问权限换取某种好处，例如虚假的技术支持人员承诺，只要您提供远程访问权限就会帮忙。两者都利用了人们对获利或获得帮助的渴望。

社会工程学通过利用心理因素取得成功：权威（我们会服从看似掌权的人）、紧迫感（我们会在压力下迅速行动）、恐惧、信任以及乐于助人。

识别这些触发因素是第一道防线。当消息迫使您立即行动或绕过正常流程时，这种压力本身就是值得停下来警惕的信号。

最有效的防御来自人员和流程：

• 安全意识培训，帮助用户识别攻击。
• 验证流程，例如在处理请求前回拨已知号码进行确认。
• 多因素身份验证，这样仅凭窃取的密码还不足以完成访问。
• 建立鼓励而非惩罚对可疑请求提出质疑的文化。

危险信号包括突如其来的紧迫要求、笼统的问候语、拼写和语法错误、发件人地址不匹配或异常、链接的真实目的地与显示文本不一致，以及索要凭据或付款的请求。

点击前将鼠标悬停在链接上，检查其真实 URL，并通过独立渠道验证异常请求，可以有效阻止大多数网络钓鱼攻击。

社会工程学攻击的是人而不是机器，手段包括网络钓鱼（以及鱼叉式网络钓鱼、捕鲸式网络钓鱼、语音网络钓鱼、短信网络钓鱼）、借口、诱饵、尾随进入等。它利用权威、紧迫感、恐惧和信任。防御主要依靠人员：安全意识培训、验证流程和多因素身份验证。

检验您对社会工程学的了解。

社会工程学操纵的是人，而不是技术。网络钓鱼及其变体（鱼叉式网络钓鱼、捕鲸式网络钓鱼、语音网络钓鱼、短信网络钓鱼），以及借口、诱饵和尾随进入，都会利用权威、紧迫感和信任。防御依靠人员：安全意识培训、验证流程和多因素身份验证。