社会工程学（Social Engineering）

社会工程学（Social Engineering）是一种通过对人的操纵、欺诈和误导，而非直接通过技术手段，来获取信息、访问权限或财物的非传统攻击方式。以下列举了一些常见的社会工程学技巧：

1. 伪装身份：

   • 攻击者冒充权威人士（如IT支持人员、警察、律师、公司高层等），通过电话、电子邮件或面对面交流来骗取信任，然后索要敏感信息或请求执行特定操作。

2. 情感操纵：

   • 利用同情、恐惧、贪婪、好奇等情绪引诱受害者上钩。例如，攻击者可能会制造紧急情况，促使受害者在紧张焦虑下放弃警惕，提供所需信息。

3. 鱼叉式网络钓鱼（Spear Phishing）：

   • 发送高度定制的钓鱼邮件或消息，这些邮件看起来像是来自熟人、同事或熟悉的机构，里面包含恶意链接或附件，诱骗收件人点击或下载，从而植入恶意软件或泄露敏感信息。

4. 水坑攻击（Watering Hole Attack）：

   • 攻击者研究目标群体常访问的网站，然后侵入这些网站并在其中嵌入恶意代码，当目标访问这些网站时，就会无意中下载恶意软件或泄漏信息。

5. 物理入侵：

   • 攻击者通过假装维修人员、送货员或新员工等角色，混入目标地点，伺机偷窃实物资料或电子设备，或者在无人注意时安装监听设备或恶意硬件。

6. 诱饵文件：

   • 创建看似有价值的文件（如财务报告、热门电影、内部文档等），并通过电子邮件、USB闪存驱动器等方式分发，当受害者打开或复制文件时，便会激活恶意软件。

7. 电话欺诈：

   • 冒充客服、税务机关、银行工作人员等进行电话诈骗，诱骗受害人透露个人信息，甚至引导其转账或支付所谓的“罚款”。

防范社会工程学攻击的关键在于提高安全意识，进行频繁的安全培训，落实严格的验证和授权流程，并保持对异常情况的高度警惕。同时，组织应建立并完善内部沟通渠道和信息共享机制，以便及时发现并应对潜在的社会工程学攻击。