社交工程攻击：定义、常见类型及防范措施

社交工程攻击：定义与核心原理

1. 什么是社交工程攻击？

社交工程攻击（Social Engineering）
是一种利用人性弱点（轻信、好奇、恐惧、贪婪）进行欺骗、诱导、操纵，从而获取信息、权限或数据的攻击方式。

它不攻击技术、不破解系统、不利用漏洞，而是攻击“人”。

一句话总结：
社交工程 = 攻击人心，而非攻击设备。

社交工程攻击：核心特点

2. 攻击特点

1. 不需要技术工具
2. 成功率极高
3. 隐蔽性强
4. 难以被防火墙、WAF、IPS 拦截
5. 企业最容易失守的环节

社交工程攻击：常见攻击类型

3. 最常见 6 大类攻击方式

3.1 钓鱼攻击（最常见）

• 钓鱼邮件
• 钓鱼短信
• 钓鱼链接
• 钓鱼二维码
• 伪装成银行、官方、同事、领导

3.2 诱饵攻击

• U盘木马
• 捆绑软件
• 虚假破解版、福利软件

3.3 冒充欺骗

• 冒充领导
• 冒充同事
• 冒充客服
• 冒充技术人员

3.4 尾随攻击

• 尾随进入办公区
• 无权限进入机房、门禁区域

3.5 信息收集

• 套问密码
• 套问内部信息
• 从朋友圈、招聘信息收集敏感数据

3.6 勒索恐吓

• 虚假违法通知
• 虚假账户冻结
• 恐吓诱导操作

社交工程攻击：攻击流程

4. 攻击流程图

社交工程攻击：防范措施

5. 最有效、最实用的防范措施

5.1 加强安全意识培训（最核心）

• 不相信陌生信息
• 不随意扫码
• 不点开陌生链接
• 不下载不明软件

5.2 严格验证身份

• 涉及资金、密码、敏感信息必须电话/当面二次确认
• 领导指令、财务转账必须多重验证

5.3 技术防护

• 邮件网关过滤钓鱼邮件
• 浏览器恶意网址拦截
• 终端杀毒软件
• 禁用U盘自动运行

5.4 制度规范

• 最小权限原则
• 双因素认证（2FA）
• 严禁密码明文、简单密码
• 严禁内网信息外泄露

5.5 物理安全

• 门禁严格管理
• 不随意给陌生人开门
• 办公区访客登记

5.6 定期演练

• 企业定期钓鱼演练
• 强化员工识别能力

社交工程攻击：一句话安全口诀（超好记）

6. 防骗安全口诀

不轻信、不扫码、不点链接、不泄密、不贪小便宜、凡事多核实！

社交工程攻击：最终总结

7. 核心总结（必背）

1. 社交工程攻击 = 利用人性弱点进行欺骗
2. 不靠技术，靠话术、伪装、诱导
3. 常见类型：钓鱼、冒充、诱饵、尾随、套取信息
4. 防范核心：安全意识 + 身份验证 + 技术防护 + 制度管理
5. 人是安全的第一道防线，也是最后一道防线