社会工程学与钓鱼攻击防范

引言

再坚固的技术防线，也可能被一个“轻信的人”击穿。行业统计显示，相当比例的入侵始于钓鱼或社会工程。它攻击的是“人”，而非系统——技术漏洞能打补丁，人性的漏洞难补。

一、什么是社会工程学

它利用人的信任、恐惧、贪婪或疏忽，诱导其主动交出信息或执行危险操作。核心不是“攻破系统”，而是“说服人自己打开门”。

六大影响原理（Cialdini）

互惠、承诺一致、社会认同、喜好、权威、稀缺——攻击者常制造“紧迫”（稀缺）和“来自老板”（权威）的话术。

二、常见手法

1. 钓鱼邮件：伪装成银行、IT、快递，诱导点击恶意链接或下载附件。

2. 短信钓鱼（Smishing）/ 电话钓鱼（Vishing）：同理迁移到短信与电话。

3. 商务邮件诈骗（BEC）：冒充高管要求财务转账。

4. pretexting（铺垫）：编造合理身份套取信息（如假扮供应商核账）。

5. 诱饵（Baiting）：用免费 U 盘、奖品诱导。

6. 尾随（Tailgating）：跟着有权限的人混进机房/办公区。

三、开放情报（OSINT）

攻击者会先通过 LinkedIn、官网、泄露库收集员工姓名、职位、邮箱，再精准定制话术。你晒的“组织架构”可能就是别人的攻击地图。

四、如何识别

• 检查发件人域名是否真实，留意 micros0ft.com、arnazon.com 这类拼写陷阱。

• 警惕两类情绪诱导：“天上掉馅饼”和“紧急威胁（账号将冻结/老板急要）”。

• 链接悬停看真实地址；不轻易下载未知附件、不启用宏。

• 对“领导转账”类请求，一律电话二次确认。

五、组织层面的防御（技术/流程/人）

技术防线：邮件网关过滤 + 浏览器隔离 + EDR + 强制 MFA
流程防线：转账前电话二次确认、敏感操作审批、最小权限
人的防线：定期钓鱼演练 + 随手可上报的渠道 + 不责怪的文化

• 钓鱼演练：定期发模拟钓鱼邮件，提升识别率。

• 上报渠道：让员工能一键举报可疑邮件，且举报不被追责。

• MFA：即使凭据被骗走，第二因子仍能挡住多数登录。

六、事件响应

发现中招后：断网隔离、改密（含复用密码）、吊销会话/令牌、查日志确认影响范围、通知相关方。

七、深度伪造（前瞻）

AI 语音/视频换脸让“冒充老板”更逼真。应对：关键操作坚持多通道确认（电话+当面），不唯声音/视频是从。

小结

网络安全从来不只是技术问题。把“人”训练成最后一道防线，再配合技术与管理手段，才能形成闭环。到此，网络安全基础系列告一段落——希望能帮你建立第一性原理的安全观：先想攻击面，再谈防御。

延伸

• 本系列前四篇：攻击面、XSS/SQLi、密码学、身份认证

• 推荐：定期做钓鱼模拟演练