是什么

社会工程学（Social Engineering）：不攻击技术系统，而是攻击人——通过欺骗、操纵心理来获取信息或权限。

核心洞察：系统的安全强度取决于最弱的环节，而人往往是最弱的环节。

再强的密码学，也挡不住用户自己把密码告诉别人。

常见形式

一、钓鱼（Phishing）

批量：发送伪装成银行、快递、平台的邮件或短信，诱导点击恶意链接。

鱼叉式钓鱼（Spear Phishing）：针对特定个人定制内容（如先研究受害者的职位、同事、正在处理的项目）。成功率远高于批量钓鱼。

鲸钓（Whaling）：针对高管的鱼叉式钓鱼。

克隆钓鱼：复制一封真实的邮件（含附件或链接），替换其中的链接为恶意地址后重发，声称"这是更新版本"。

二、假冒身份（Pretexting）

攻击者编造一个场景来获取信任：

  • 冒充 IT 支持："我是技术部的，需要你的密码来修复问题"；
  • 冒充快递、银行、公检法；
  • 冒充供应商发送伪造的账单。

三、诱饵（Baiting）

利用贪婪或好奇：

  • 在公共场所丢弃带恶意软件的 U 盘（"机密资料"），等待有人捡起插入电脑；
  • 声称提供免费下载、免费会员等。

四、尾随（Tailgating / Piggybacking）

物理层面：跟随有权限的人进入受控区域——通常靠"帮忙扶一下门"这样的社交礼貌。

五、交换条件（Quid Pro Quo）

"我帮你解决问题，你给我提供信息/执行某个操作。"

常用的心理操纵手段

一、制造紧迫感

"你的账户将在 24 小时内被关闭，请立即点击验证。"

效果：让人来不及核实，绕过理性判断。

二、制造恐惧

"我们发现你的账户有异常登录""你涉嫌违法"。

恐惧会降低人的审慎程度，促使立即行动。

三、利用权威

冒充领导、公检法、官方机构。人们倾向于服从权威。

四、利用信任与乐于助人

攻击者往往装作需要帮助的人（"我忘带门禁了"）。

五、信息过载与疲劳

反复发送登录请求（MFA 疲劳攻击），直到用户不耐烦地点了"同意"。

防御

对个人

一、对"紧急"保持警惕

越是紧急、越是要求立即行动的信息，越应该停下来核实。

二、独立验证

如果收到"银行"的电话或邮件，不要使用其中提供的联系方式——自己查找官方渠道（从官网、App、银行卡背面获取号码）主动联系。

三、检查链接

  • 悬停（手机上长按）查看链接的真实地址；
  • 注意域名的细微差异（如 exarnple.com 用 rn 冒充 m，或者 example.com.evil.com 这种后缀欺骗）；
  • 直接输入网址访问，而非点击邮件中的链接。

四、不要凭邮件/电话提供凭证

任何合法机构都不会通过电话或邮件索要你的密码、验证码。

五、启用 2FA（尤其是抗钓鱼的 Passkey/硬件密钥）。

六、对"天上掉馅饼"保持怀疑。

对组织

一、安全培训

定期进行安全意识培训，包括模拟钓鱼演练（在合规和知情的前提下）。

注意：单纯的"点击率下降"不一定是培训有效的充分证据，还需关注报告率是否提高。

二、流程设计

技术手段优于依赖人的判断：

  • 敏感操作要求二次确认；
  • 财务转账要求双人复核和独立渠道确认；
  • 关键操作不能仅凭一封邮件或一通电话执行。

三、最小权限

即使某个账号被攻破，其能造成的损害也应受限。

四、建立报告文化

员工发现可疑情况时，应该能轻松、无责地报告——而不是担心被追责。

一个清醒的认识

社会工程学攻击之所以有效，是因为它利用的是人类心理中那些在正常社会交往中很有价值的特质——信任、乐于助人、服从权威、对紧急情况的响应。

因此，防御不能只靠"提高警惕"，还要靠流程和技术设计来减少对个人判断的依赖。

说明：本文为安全领域的知识整理。