什么是社会工程学？
社会工程学是一种利用人类心理而非技术漏洞来窃取信息的网络攻击技术。无论安全系统多么强大，如果操作它的人可以被欺骗，那就毫无意义。
在安全领域，人们常说"最薄弱的环节是人的因素"。社会工程学正是对这一人类弱点的系统性利用。
常见技术
钓鱼
通过邮件或网站冒充合法组织，诱骗受害者输入登录凭据或个人信息。这是最常见的社会工程学形式，约占所有网络攻击的 36%。更多详情请参阅我们的邮件安全指南。
鱼叉式钓鱼
针对特定个人或组织的高度定向钓鱼攻击。攻击者研究目标的个人详情，职位、同事姓名、近期活动，以制作令人信服的消息。
借口攻击
创造虚构的场景 (借口) 来从目标处获取信息。例如，冒充 IT 部门员工打电话说"我们需要你的密码进行安全检查"。
诱饵攻击
在 USB 驱动器或 CD 等物理介质上植入恶意软件，利用好奇心让人插入。贴上"工资表"或"机密"等标签，将设备留在办公室停车场或公共区域。
尾随
一种物理入侵技术，攻击者跟随授权员工通过安全门或办公室入口。常见策略包括携带包裹并请人"帮忙开门"。
交换条件
"我给你一些东西来换取信息"的方式。例如，冒充技术支持专家，提出"免费修理你的电脑"以获取远程访问权限。
语音钓鱼
也称为电话钓鱼，是一种基于电话的钓鱼攻击。攻击者冒充银行或信用卡公司，声称"你的账户检测到欺诈活动"来获取卡号或 PIN 码。
为什么人们会上当
社会工程学之所以成功，是因为所有人类共有的心理倾向。如需深入了解这些原理，社会工程学心理学书籍提供了有价值的见解：
- 服从权威：人们倾向于遵从上级或官方机构的指示
- 互惠：当别人为你做了什么，你会感到有义务回报
- 紧迫感：时间压力会损害冷静、理性的判断
- 好感：更难拒绝你觉得讨人喜欢的人的请求
- 社会认同："大家都在做"提供了一种安心感
- 稀缺性："限时"或"独家优惠"触发冲动行为
如何保护自己免受社会工程学攻击
养成验证习惯
每当意外的联系 (邮件、电话、消息) 要求提供个人或认证信息时，始终通过独立渠道验证发送者的身份。不要使用邮件中的电话号码，通过官方网站上列出的号码直接联系该组织。
最小化公开信息
你在社交媒体上分享的信息，雇主、职位、生日、家庭详情，可以被用作鱼叉式钓鱼的弹药。检查你的隐私设置，避免分享超出必要的信息。
结合技术保障
感觉不对时暂停
如果有任何感觉不对的地方，停下来想一想。被催促、被要求遵循不寻常的程序、或被呈现看起来好得不像真的优惠，这些都是警告信号。
总结：理解人性的弱点，守护自己
社会工程学攻击的不是技术，而是心理。了解手法，并养成对可疑联络必定通过另一条途径核实的习惯，就是最好的防御。再与技术层面的对策结合起来，防御力还能进一步提升。
请用 IP 确认查看浏览器的安全设置，把技术面的防御状况也一并掌握。
相关术语
常见问题
社会工程学只是线上威胁吗？
不是。还有大量线下手法：电话冒充 (语音钓鱼)、当面冒充、翻找垃圾桶 (垃圾搜寻)、越过肩膀偷看屏幕 (肩窥) 等。
懂技术的人也会上当吗？
会。社会工程学攻击的不是技术漏洞，而是人的心理。它利用服从权威、对紧急情况的应激、好意的互惠等人人都有的心理倾向，与技术能力无关，任何人都可能受害。