防范社会工程学攻击的方法
本文约需 8 分钟阅读
提到安全措施，很多人首先想到的是防火墙和加密等技术防御手段。然而，攻击者最常瞄准的并非系统漏洞，而是人类心理上的弱点。社会工程学是一种不使用技术手段、通过欺骗人类来获取机密信息的攻击方法 - 无论系统多么坚固，如果人成为弱点就毫无意义。根据 Verizon 2024 年数据泄露调查报告 (DBIR)，约 68% 的数据泄露涉及人为因素，截至 2025 年这一趋势仍在持续。此外，Proofpoint 2024 年 State of the Phish 报告指出，以社会工程学为起点的攻击成功率同比上升了 15%。加之 2024 年以来，利用生成式 AI 的语音克隆和深度伪造视频进行冒充攻击急剧增加，传统的"语言不自然""外观可疑"等判别标准正逐渐失效。本文将介绍典型的攻击手法、心理防御策略以及安全管理密码的原则。
社会工程学成功的心理机制
社会工程学是利用人类的信任感、恐惧心、好奇心、对权威的服从等心理倾向，非法获取密码和机密信息的手法的总称。与技术性黑客攻击不同，它针对的不是系统漏洞而是人类的判断失误，因此仅靠安全软件无法完全防范。
这种攻击之所以成功率高，与心理学家罗伯特·西奥迪尼提出的"影响力六原则"密切相关：互惠性（受人恩惠就想回报）、承诺与一致性（一旦答应就难以拒绝）、社会认同（别人都在做就觉得是对的）、喜好（难以拒绝好感对象的请求）、权威（容易服从权威人物的指示）、稀缺性（对限量事物感到更有价值）。攻击者巧妙地组合这些原则，引导目标自愿提供信息。
受害者往往意识不到自己正在遭受攻击，事后回顾时才发现异常的情况并不少见。一个常见的误解是认为"我不会被骗"，但社会工程学的目标并不仅限于 IT 素养低的人。即使是安全专家，面对精心设计的攻击也可能上当。
典型的攻击手法
借口攻击
借口攻击 (Pretexting) 是攻击者编造虚假场景（借口），冒充可信人物来套取信息的手法。例如，冒充 IT 支持人员打电话说"由于系统紧急维护，需要确认您的密码"。
攻击者会事先调查目标的所属部门、上司姓名、内部系统名称等，使对话更具说服力。"我是受某某部长委托联系您的"这种利用权威的话术来消除目标警惕心是典型手法。值得注意的是，攻击者会从社交媒体的公开资料和企业组织架构图中收集信息，因此审视在线信息公开范围也是防御措施之一。如果您在 LinkedIn 个人资料中列出了详细的职务内容或上司姓名，这些都可能成为借口攻击的素材。
诱饵攻击
诱饵攻击 (Baiting) 是利用目标的好奇心或欲望将其引入陷阱的手法。典型的例子是将植入恶意软件的 USB 存储设备放置在办公室停车场或电梯厅，等待有人捡起并插入电脑。
USB 存储设备上通常贴有"人事考核一览""工资数据"等引人注目的标签，当有人出于好奇试图查看内容时，恶意软件就会执行。美国国土安全部的实验表明，放置在停车场的 USB 存储设备约有 60% 被人捡起并连接到电脑。在线上，伪装成免费软件或电影下载的恶意软件分发也是诱饵攻击的一种。
尾随攻击
尾随攻击 (Tailgating) 是跟在正式员工身后进入门禁区域的物理攻击手法。攻击者伪装成双手抱着包裹的快递员，请求"能帮我扶一下门吗？"从而通过安全门禁。
一旦进入建筑物内部，就可以窥视无人看管的电脑屏幕，或通过肩窥偷看桌上便条上写的密码。物理安全与数字安全密切相关。
语音钓鱼与短信钓鱼
语音钓鱼 (Vishing) 是通过电话进行的钓鱼攻击，短信钓鱼 (Smishing) 是通过短信进行的钓鱼攻击。它们以"您的账户检测到未授权访问，请提供密码进行身份验证"等紧急措辞，迫使目标在慌乱中泄露信息。
近年来，来电显示伪造技术不断进步，可以让来电看起来像是从正规企业的电话号码打来的。仅凭电话号码判断对方的合法性是危险的。根据 FBI 互联网犯罪投诉中心 (IC3) 2024 年报告，仅在美国，语音钓鱼和短信钓鱼造成的损失总额就达到每年约 6 亿美元，且呈上升趋势。截至 2025 年，利用 AI 模仿本人声音的语音克隆技术被用于语音钓鱼攻击的案例也有报告，"听起来像本人所以安全"的判断已经不再适用。
关于识别和防御电子邮件及网络欺诈的详细指南，请参阅钓鱼防护一文。AI 生成的语音和视频冒充的兴起也在深度伪造与身份欺诈指南中有所介绍。同时建议了解AI 生成钓鱼攻击的威胁中的最新手法。
心理防御策略
要对抗社会工程学，不仅需要技术措施，还需要有意识地控制自己的心理反应。请在日常中牢记以下四个原则。
- 不要被紧迫感迷惑："如果不立即处理，您的账户将被停用"等制造恐慌的表述是攻击者的惯用手段。请先停下来，冷静确认情况。正规服务很少要求立即响应，花几分钟确认不会造成问题。
- 独立验证对方身份：如果通过电话或邮件被要求提供信息，请使用官方网站上列出的联系方式回拨确认，而不是使用对方提供的联系方式。
- 避免盲从权威：不要仅凭"这是上司的指示""这是管理层的要求"等说辞就做出判断，请通过正规渠道确认。
- 感觉不对就停下来：如果感到违和感，请相信自己的直觉。如果是正规的请求，花时间确认不会有问题。
想要系统学习心理防御策略的读者，可以参考 Amazon 上的社会工程学防御相关书籍。
社会工程学防御自查清单
请使用以下清单检查您个人或组织的防御态势。如果有任何一项回答为"否"，建议尽快实施相应的对策。
- 当通过可疑电话或邮件被要求提供个人信息时，是否有回拨确认的习惯？
- 是否已审查社交媒体隐私设置，将公开信息控制在最低限度？
- 是否严格遵守不向任何人口头透露密码的规则？
- 是否遵守不打开来源不明的 USB 存储设备或文件的规则？
- 是否在所有支持双重认证的服务上都启用了该功能？
- 组织是否定期进行钓鱼演练？
- 事件报告流程是否明确，是否有鼓励报告的文化？
不口头共享密码的原则
在社会工程学对策中，有一个特别重要的原则：绝不向任何人口头透露密码。正规的 IT 支持人员和服务提供商绝不会通过电话或邮件询问您的密码。当有人要求您确认密码时，应判断这是一次攻击。
即使是同事或上司，也不应该共享密码。如果需要共享账户，请创建专用的共享账户，或使用密码管理器的共享功能。关于安全共享密码的方法，请参阅密码安全共享方法一文。口头共享密码不仅有被旁人听到的风险，还无法追踪谁在何时访问了什么。一个常见的误解是"与信任的人口头分享是安全的"，但这忽略了第三方可能在窃听或对方可能将密码写在便条上的风险。
与技术对策的结合
仅靠心理防御策略存在局限性，因此将其与技术对策相结合以构建多层防御非常重要。
- 双重认证的引入：即使密码泄露，启用双重认证也能防止未授权登录。特别是兼容 FIDO2 的硬件密钥具有抗钓鱼能力，仅凭社会工程学获取的认证信息无法突破。
- 加强邮件过滤：正确配置 SPF、DKIM、DMARC，从技术上阻止伪造邮件到达目标。
- 端点保护：禁用 USB 设备的自动运行，降低诱饵攻击的风险。
社会工程学不仅限于外部攻击者。员工和承包商的内部威胁也会利用信任和访问权限，组织层面的对策请参阅内部威胁防御指南。
关于社会工程学受害案例和组织防御策略，可以参考 Amazon 上的组织信息安全防御案例集。
利用 パスつく.com 的防御策略
在将社会工程学攻击的损害降到最低方面，パスつく.com 是一个有效的工具。
首先，为每个服务设置不同的随机密码，即使一个密码泄露，也能防止损害扩散到其他服务。使用 パスつく.com 的批量生成功能，可以高效地为多个服务创建密码。
此外，パスつく.com 生成的随机密码不是人类能记住的字符串，因此本身就难以口头传达。即使被要求"请告诉我您的密码"，最安全的回答是诚实地说"密码保存在密码管理器中，我自己也记不住"。
由于社会工程学利用的是人类心理，因此很难完全防范。但是，通过了解攻击手法、掌握心理防御策略、使用 パスつく.com 生成的强密码，可以大幅降低受害风险。
按经验水平分类的防御建议
根据自己的技术水平循序渐进地采取社会工程学对策是有效的。
面向初学者（从这里开始）
- 如果被要求"请告诉我您的密码"，无论对方是谁都要拒绝
- 点击邮件或消息中的链接前，先确认发送者
- 收到可疑联系时，不要独自判断，与家人或同事商量
- 不要在社交媒体个人资料中公开工作单位或职位等详细信息
面向中级用户（进一步加强防御）
- 检查邮件头中的发送域名，识别冒充行为
- 在组织内提议并实施钓鱼演练，提高整个团队的抵抗力
- 引入兼容 FIDO2 的硬件安全密钥，转向具有抗钓鱼能力的认证方式
- 检查 SPF、DKIM、DMARC 的配置状态，加强邮件防伪造措施
现在就能做的事
- 在 パスつく.com 上生成 16 个字符以上的随机密码，并设置到最重要的邮箱账户
- 在使用中的主要服务上启用双重认证（最好是认证应用或 FIDO2 密钥）
- 审查社交媒体隐私设置，将公开信息控制在最低限度
- 与家人和同事分享"不口头透露密码"的规则
- 确认收到可疑联系时的报告渠道（公司内部窗口或警方网络犯罪咨询窗口）
常见问题
- 社会工程学和网络钓鱼有什么区别？
- 网络钓鱼是社会工程学的一种手法。社会工程学是利用人类心理弱点的所有手段的总称，包括电话伪装、冒充访问和翻垃圾箱等。
- 企业防范社会工程学攻击最有效的方法是什么？
- 定期的安全意识培训与模拟钓鱼演练相结合是最有效的。仅靠技术措施无法防止人为判断失误，因此持续培养员工识别可疑请求的能力至关重要。
- 接到要求提供个人信息的电话时，如何判断是否是真实的？
- 正规企业或机构不会通过电话询问密码或 PIN 码。如有疑虑，请挂断电话，使用官方网站上列出的号码回拨确认。如果对方催促您快速行动，需要特别警惕。
这篇文章对您有帮助吗？