"我不可能被骗"，技术员最容易这么想
技术员觉得自己懂数据安全，不会上当。
但社工攻击，恰恰是利用你的"自信"。
针对技术员的 4 种社工攻击
攻击一：技术支持钓鱼
场景： 攻击者冒充 IT 部门，要求你"验证账号"或"安装补丁"。
话术：
- "我们检测到你的账号异常登录，请点击链接验证"
- "你的 VPN 需要升级，请下载最新客户端"
- "IT 部门要求所有员工重置密码，点击这里"
为什么技术员容易中招：
- 觉得"IT 部门发的不可能有假"
- 习惯点击技术相关链接
- 对"安全更新"不设防
攻击二：GitHub/GitLab 钓鱼
场景： 攻击者发送伪装成 GitHub 通知的邮件。
话术：
- "你有新的 Pull Request"
- "你的仓库有安全漏洞"
- "你的 SSH Key 即将过期"
为什么技术员容易中招：
- 每天处理大量 GitHub 通知
- 不仔细检查每封通知
- 点击"查看详情"是本能反应
攻击三：招聘钓鱼
场景： 攻击者冒充猎头或 HR，发送"高薪职位"信息。
话术：
- "某大厂高薪招聘，你有兴趣吗？"
- "我们有一个技术合伙人机会"
- "请发一份你的简历到 xxx"
为什么技术员容易中招：
- 对高薪机会缺乏防备
- 简历中可能包含敏感信息
- 主动泄露技术栈和项目信息
攻击四：技术社区钓鱼
场景： 攻击者在技术社区（Stack Overflow、V2EX、掘金）发送钓鱼信息。
话术：
- "这个技术问题的解决方案在这里"
- "我写了一个开源工具，你可以试试"
- "我发现了你项目的一个漏洞"
为什么技术员容易中招：
- 信任技术社区
- 习惯点击社区中的链接
- 对"技术解决方案"不设防
如何防范社工攻击？
1. 不要因为"技术相关"就放松警惕
- IT 部门的通知也可能是伪造的
- GitHub 通知也可能是钓鱼
- 技术社区的链接也可能是陷阱
2. 多渠道核实
- 收到 IT 部门通知，打电话确认
- 收到 GitHub 通知，直接登录 GitHub 查看
- 收到招聘信息，通过官方渠道确认
3. 不在非安全渠道透露敏感信息
- 不在邮件中发送密码
- 不在聊天中发送凭证
- 不把简历发给来路不明的人
4. 保持怀疑态度
- 对所有未经确认的信息保持怀疑
- 先核实，再行动
- 不因为是"技术相关"就降低警惕
一句话总结
技术员不是社工攻击的免疫者，反而是高风险目标。保持怀疑、多渠道核实、不在非安全渠道透露信息。
标签： 开发安全、社工攻击、钓鱼防范、信息安全意识