社会工程攻击通过操纵手段诱使人们泄露信息或授予访问权限。它针对的是人性，而非技术。攻击者会建立信任、制造紧迫感，并利用人们乐于助人的心理。例如，有人冒充IT人员打电话，有人冒充高管发送电子邮件要求汇款，还有人拿着写字板，巧舌如簧地绕过前台。手法多种多样，但目标却如出一辙：诱使目标做出不该做的事情。

社会工程攻击之所以有效，是因为它能绕过技术控制。防火墙无法阻止客服人员为看似合法的人重置密码。2020 年的 Twitter 黑客事件就利用了电话社交工程手段，诱骗员工交出账号凭证。攻击者随后控制了多个知名账号，并发布了比特币诈骗信息。FBI 将其称为一次有组织的社交工程攻击。防御始于提高安全意识，但仅仅提高意识是不够的。流程更为重要。通过独立渠道验证身份。要求对敏感操作进行审批。限制任何个人的权限。目标是让谎言更难得逞。培训固然重要，但完善的流程能够弥补培训的不足。

常见的社会工程学技巧

• 网络钓鱼——基于电子邮件的欺骗行为
• 语音钓鱼——语音电话诈骗
• 预设情境——捏造的场景
• 诱饵——提供诱人的优惠，例如免费的U盘
• 尾随——尾随他人进入安全区域

社会工程利用的是信任。防御的关键在于核实，而不是怀疑。