最难防范的攻击，不是技术，是人性
你可能认为：我有强密码、我开了多因素认证、我装了杀毒软件，我很安全。
但攻击者不走技术路线，他们走"人"的路线。
什么是社工攻击？
社工攻击（社会工程学攻击）= 利用人性的弱点，获取信息或权限。
不需要破解密码，只需要让你"愿意"说出密码。
社工攻击的 5 种方式
方式一：冒充熟人
场景： 攻击者冒充你的同事、领导、朋友，向你索要信息。
话术：
- "我是 IT 部门的小王，需要你的密码验证一下"
- "我是你领导，有个紧急文件要处理，把你的账号给我用一下"
- "我是你朋友的朋友，他让我联系你"
为什么危险： 你会放松警惕，因为你"认识"对方。
方式二：利用权威
场景： 攻击者冒充权威机构，要求你提供信息。
话术：
- "我是公安，需要你配合调查"
- "我是银行客服，需要你验证账户"
- "我是税务局，需要你提供财务信息"
为什么危险： 权威让你不敢拒绝。
方式三：制造紧迫感
场景： 攻击者制造紧急情况，让你来不及思考。
话术：
- "你的账号马上要被封了"
- "你的亲人生病了，需要钱"
- "限时优惠，马上结束"
为什么危险： 紧迫感让你失去理性判断。
方式四：利用善意
场景： 攻击者请求你帮忙，利用你的善意。
话术：
- "我手机没电了，能借你手机打个电话吗？"
- "我进不去办公室，能帮我刷一下卡吗？"
- "我不会用这个系统，能帮我操作一下吗？"
为什么危险： 善意让你愿意帮助。
方式五：钓鱼网站/邮件
场景： 攻击者发送伪装成官方网站的链接或邮件。
话术：
- "您的账号需要验证"
- "您的快递已到达"
- "您有一笔退款待领取"
为什么危险： 看起来和真的一样。
如何防范社工攻击？
1. 核实身份
- 不轻信自称熟人、权威的电话/消息
- 通过官方渠道核实
- 回拨已知号码确认
2. 不在电话/消息中透露敏感信息
- 不透露密码
- 不透露验证码
- 不透露银行卡信息
3. 遇到紧急情况先冷静
- 紧急情况不要立即行动
- 先核实真实性
- 和家人、同事商量
4. 保持怀疑态度
- 对任何要求提供信息的请求保持怀疑
- 先确认，再行动
- 不因为"认识"就放松警惕
一句话总结
社工攻击利用人性弱点，比技术攻击更难防范。核实身份、不透露敏感信息、紧急情况先冷静、保持怀疑态度。
标签： 新技术安全、社工攻击、钓鱼防范、信息安全意识